Grupa badawcza z Uniwersytetu Minnesoty, której zmiany zostały niedawno zablokowane przez Grega Kroah-Hartmana, opublikowała list otwarty z przeprosinami i wyjaśnieniem motywów swojej działalności. Przypomnijmy, że grupa zajmowała się badaniem słabości w recenzowaniu przesyłanych łat i oceną możliwości wprowadzania do jądra zmian z ukrytymi lukami. Po przesłaniu przez jednego z uczestników grupy wątpliwej łatki z bezsensowną poprawką, wysunięto przypuszczenie, że badacze ponownie próbują eksperymentować z deweloperami jądra. Ponieważ takie eksperymenty potencjalnie stwarzają zagrożenie dla bezpieczeństwa i marnują czas komitujących, zdecydowano o zablokowaniu przyjmowania zmian i ponownym rozpatrzeniu wszystkich wcześniej przyjętych łat.
W swoim liście otwartym członkowie grupy stwierdzili, że ich działalność była motywowana wyłącznie dobrymi intencjami i chęcią poprawy procesu recenzowania zmian poprzez identyfikację i eliminację słabości. Grupa od wielu lat bada procesy prowadzące do powstawania luk i aktywnie pracuje nad identyfikowaniem i eliminowaniem luk w jądrze Linux. Twierdzi się, że wszystkie z 190 łat przesłanych do ponownej recenzji są legitymne, naprawiają istniejące problemy i nie zawierają zamierzonych błędów ani ukrytych luk.
Badanie, które wzbudziło niepokój dotyczący wprowadzania ukrytych luk, przeprowadzono w sierpniu ubiegłego roku i ograniczyło się do wysłania trzech łat z błędami, z których żadna nie trafiła do bazy kodu jądra. Aktywność związana z tymi łatkami ograniczyła się jedynie do dyskusji, a wprowadzanie łat zatrzymano na etapie przed dodaniem zmian do Git. Kody trzech problematycznych łat na razie nie są ujawniane, ponieważ ujawnienie ich mogłoby zidentyfikować osoby, które przeprowadzały wstępną recenzję (informacja zostanie ujawniona po uzyskaniu zgody od deweloperów, którzy nie zauważyli błędów).
Głównym źródłem badania nie były własne patche, lecz analiza cudzych patchów, które kiedykolwiek zostały dodane do jądra, a które później ujawniały podatności. Zespół Uniwersytetu Minnesoty nie ma związku z dodaniem tych patchy. Łącznie zbadano 138 problematycznych patchy, które prowadziły do błędów, a w momencie publikacji wyników badania wszystkie związane z nimi błędy zostały naprawione, w tym z udziałem zespołu prowadzącego badanie.
Badacze żałują, że zastosowali niewłaściwą metodę przeprowadzenia eksperymentu. Błędem było przeprowadzenie badania bez uzyskania pozwolenia i bez powiadomienia społeczności. Motywem ich ukrytej działalności było pragnienie osiągnięcia czystości eksperymentu, ponieważ powiadomienie mogło przyciągnąć uwagę do patchy i ich oceny nie na ogólnych zasadach. Pomimo że celem było poprawienie bezpieczeństwa jądra, badacze teraz zdali sobie sprawę, że wykorzystanie społeczności jako królika doświadczalnego było niepoprawne i nieetyczne. Przy tym badacze zapewniają, że nigdy celowo nie chcieliby zaszkodzić społeczności i nie dopuśćiliby do wprowadzenia nowych podatności do działającego kodu jądra.
Jeśli chodzi o bezsensowny patch, który był katalizatorem blokady, to nie ma on związku z wcześniejszym badaniem i jest związany z nowym projektem, którego celem jest stworzenie narzędzi do automatyzacji identyfikacji błędów, które pojawiają się w wyniku dodawania innych patchy.
Obecnie członkowie grupy starają się znaleźć sposoby na powrót do współpracy w rozwijaniu i mają zamiar nawiązać swoje relacje z Linux Foundation i społecznością programistów, dowodząc swojej użyteczności w podnoszeniu bezpieczeństwa jądra oraz wyrażając chęć do intensywnej pracy dla wspólnego dobra i odbudowy zaufania.
Źródło: opennet.ru
