Um grupo de pesquisadores da Universidade de Minnesota, cujas contribuições foram recentemente bloqueadas por Greg Kroah-Hartman, publicou uma carta aberta pedindo desculpas e explicando os motivos de suas ações. Vale lembrar que o grupo estava investigando as vulnerabilidades no processo de revisão de patches submetidos e avaliando a possibilidade de promoção para o núcleo de mudanças com vulnerabilidades ocultas. Após receber um patch questionável de um dos membros do grupo, com uma correção sem sentido, surgiu a suspeita de que os pesquisadores estavam novamente tentando realizar experimentos com os desenvolvedores do núcleo. Como tais experimentos apresentam uma ameaça potencial à segurança e consomem o tempo dos comitês, decidiu-se bloquear a aceitação de alterações e enviar todos os patches anteriormente aceitos para revisão novamente.
Em sua carta aberta, os participantes do grupo afirmaram que suas ações foram motivadas exclusivamente por boas intenções e o desejo de melhorar o processo de revisão de mudanças, identificando e corrigindo vulnerabilidades. O grupo já estuda há muitos anos os processos que levam à introdução de vulnerabilidades e trabalha ativamente para identificá-las e corrigi-las no núcleo do Linux. Afirma-se que todos os 190 patches enviados para revisão novamente são legítimos, corrigem problemas existentes e não contêm erros intencionais ou vulnerabilidades ocultas.
A pesquisa que levantou preocupações sobre a promoção de vulnerabilidades ocultas foi realizada em agosto do ano passado e limitou-se a enviar três patches com erros, nenhum dos quais foi incluído na base de código do núcleo. A atividade associada a esses patches foi restrita apenas à discussão e a promoção dos patches foi interrompida antes de quaisquer mudanças serem adicionadas ao Git. O código dos três patches problemáticos ainda não é apresentado, pois isso revelaria a identidade daqueles que conduziram a revisão inicial (as informações serão divulgadas após a obtenção do consentimento dos desenvolvedores que não identificaram os erros).
A principal fonte da pesquisa não foram os próprios patches, mas a análise de patches terceiros que foram adicionados ao kernel, causando vulnerabilidades posteriormente. A equipe da Universidade de Minnesota não tem relação com a adição desses patches. Foram estudados 138 patches problemáticos que resultaram em erros, e na hora da publicação dos resultados da pesquisa, todos os erros associados já haviam sido corrigidos, incluindo com a participação da equipe que conduziu o estudo.
Os pesquisadores lamentam ter utilizado um método inadequado para realizar o experimento. A falha foi ter conduzido a pesquisa sem obter permissão e sem notificar a comunidade. O motivo para a atividade secreta foi o desejo de manter a clareza do experimento, já que a notificação poderia chamar atenção à avaliação dos patches em condições não equitativas. Apesar de o objetivo ser melhorar a segurança do kernel, os pesquisadores agora percebem que usar a comunidade como cobaia foi incorreto e antiético. Eles reforçam que nunca teria sido sua intenção prejudicar a comunidade ou introduzir novas vulnerabilidades no código funcional do kernel.
Quanto ao patch sem sentido que serviu como catalisador para o bloqueio, ele não tem relação com a pesquisa anterior e está associado a um novo projeto voltado para a criação de ferramentas para a detecção automatizada de erros que surgem em decorrência da adição de outros patches.
Atualmente, os membros do grupo estão tentando encontrar maneiras de retornar à participação no desenvolvimento e pretendem restabelecer seus relacionamentos com a Linux Foundation e a comunidade de desenvolvedores, provando sua utilidade no aumento da segurança do kernel e expressando o desejo de trabalhar intensamente para o bem comum e recuperar a confiança.
Fonte: opennet.ru
