{"id":100020,"date":"2021-04-25T10:22:40","date_gmt":"2021-04-25T08:22:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux"},"modified":"2021-04-25T10:22:40","modified_gmt":"2021-04-25T08:22:40","slug":"komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/komanda-iz-universiteta-minnesoty-poyasnila-motivy-eksperimentov-s-somnitelnymi-kommitami-v-yadro-linux","title":{"rendered":"Een team van de Universiteit van Minnesota heeft de motieven van experimenten met twijfelachtige commits in de Linux-kernel uitgelegd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een groep onderzoekers van de Universiteit van Minnesota, wiens wijzigingsverzoeken onlangs door Greg Kroah-Hartman zijn geblokkeerd, heeft een open brief gepubliceerd met excuses en een verklaring over de redenen achter hun activiteiten. Ter herinnering, de groep was bezig met onderzoek naar kwetsbaarheden in de reviewprocessen van inkomende patches en de mogelijkheid om wijzigingen met verborgen kwetsbaarheden in de kernel door te voeren. Na het ontvangen van een twijfelachtige patch van een van de groepsleden met zinloze correcties werd gesuggereerd dat de onderzoekers opnieuw experimenten op kernel-ontwikkelaars probeerden uit te voeren. Omdat dergelijke experimenten een potentieel beveiligingsrisico vormen en tijd van de committers wegnemen, werd besloten om wijzigingen tijdelijk te blokkeren en alle eerder goedgekeurde patches opnieuw te laten beoordelen. <\/p>\n
In hun open brief verklaarden de groepsleden dat hun activiteiten uitsluitend gemotiveerd waren door goede bedoelingen en de wens om het reviewproces van wijzigingen te verbeteren door kwetsbaarheden te identificeren en aan te pakken. De groep bestudeert al jaren de processen die leiden tot kwetsbaarheden en werkt actief aan het identificeren en verhelpen van kwetsbaarheden in de Linux-kernel. Er wordt beweerd dat alle 190 patches die voor herbeoordeling zijn ingezonden legitiem zijn, bestaande problemen oplossen en geen opzettelijke fouten of verborgen kwetsbaarheden bevatten. <\/p>\n
Het zorgwekkende onderzoek naar het doorvoeren van verborgen kwetsbaarheden vond plaats in augustus vorig jaar en beperkte zich tot het indienen van drie patches met fouten, waarvan geen enkele in de codebase van de kernel is opgenomen. De activiteit met betrekking tot deze patches beperkte zich tot discussies en het doorvoeren van patches werd stopgezet voordat de wijzigingen in Git werden toegevoegd. De code van de drie problematische patches wordt momenteel niet vrijgegeven, aangezien dit de identiteit van de personen die de oorspronkelijke beoordeling hebben uitgevoerd zou onthullen (informatie zal worden vrijgegeven na toestemming van de ontwikkelaars die de fouten niet hebben herkend). <\/p>\n
De belangrijkste bron van het onderzoek waren niet de eigen patches, maar de analyse van eerder toegevoegde patches van derden, die in de toekomst kwetsbaarheden veroorzaakten. Het toevoegen van deze patches was niet de verantwoordelijkheid van het team van de Universiteit van Minnesota. In totaal werden 138 problematische patches bestudeerd die leidden tot fouten, en tegen de tijd van publicatie van de onderzoeksresultaten waren alle gerelateerde fouten verholpen, onder andere met de hulp van het onderzoeksteam. <\/p>\n
De onderzoekers betreuren dat ze een ongepaste methode hebben gebruikt voor het uitvoeren van het experiment. Het was een fout dat het onderzoek werd uitgevoerd zonder toestemming en zonder het gemeenschap op de hoogte te stellen. De motivatie voor de verborgen activiteit was de wens om zuiverheid van het experiment te waarborgen, aangezien een melding de aandacht zou kunnen vestigen op de patches en hun beoordeling niet op een eerlijke manier zou kunnen plaatsvinden. Ondanks het feit dat het doel was om de veiligheid van de kernel te verbeteren, realiseren de onderzoekers zich nu dat het gebruik van de gemeenschap als proefkonijn onjuist en onethisch was. Tegelijkertijd verzekeren de onderzoekers dat ze nooit opzettelijk de gemeenschap zouden schaden of zouden toestaan dat er nieuwe kwetsbaarheden in de functionele kerncode worden ge\u00efntroduceerd. <\/p>\n
Wat betreft de zinloze patch die de katalysator voor de blokkade vormde, deze heeft geen relatie tot het vorige onderzoek en is gerelateerd aan een nieuw project dat gericht is op het cre\u00ebren van een toolkit voor geautomatiseerde foutdetectie, die voortkomt uit de toevoeging van andere patches. <\/p>\n