En forskargrupp från University of Minnesota, vars ändringsförslag nyligen blockerades av Greg Kroah-Hartman, publicerade ett öppet brev med ursäkter och en förklaring av sina motiv. Det är värt att påminna om att gruppen sysslade med att undersöka svagheter i granskningen av inkommande patchar och bedöma möjligheten att främja ändringar med dolda sårbarheter till kärnan. Efter att en av gruppens deltagare skickade en tvivelaktig patch med meningslös fix gjordes antagandet att forskarna åter försökta experimentera med kärnutvecklarna. Eftersom sådana experiment potentiellt utgör en säkerhetshot och tar tid från utvecklarna av kärnan beslutades det att blockera mottagandet av ändringsförslag och skicka alla tidigare godkända patchar för omgranskning.
I sitt öppna brev deklarerade gruppens deltagare att deras aktivitet motiverades uteslutande av goda avsikter och önskan att förbättra granskningsprocessen av ändringar genom att identifiera och åtgärda svagheter. Gruppen har under många år studerat processer som leder till sårbarheter och arbetar aktivt med att upptäcka och åtgärda sårbarheter i Linux-kärnan. Det påstås att alla av de 190 patchar som skickades för omgranskning är legitima, åtgärdar befintliga problem och innehåller inga avsiktliga fel eller dolda sårbarheter.
Den oroande studien om främjandet av dolda sårbarheter genomfördes i augusti förra året och begränsades till att skicka tre patchar med fel, varav ingen kom in i kärnans kodbas. Aktiviteten kopplad till dessa patchar begränsades enbart till diskussion, och främjandet av patcharna stoppades innan ändringarna lades till i Git. Koden för de tre problematiska patcharna presenteras för tillfället inte, då det skulle avslöja identiteterna hos dem som utförde den initiala granskningen (informationen kommer att avslöjas efter att ha erhållit samtycke från utvecklarna som inte identifierade felen).
Huvudkällan för forskningen var inte egna patchar, utan analys av tidigare tillagda externa patchar som senare ledde till sårbarheter. Teamet vid universitetet i Minnesota har ingen koppling till tillägget av dessa patchar. Totalt studerades 138 problematiska patchar som orsakade buggar, och vid tidpunkten för publiceringen av forskningsresultaten hade alla relaterade fel blivit åtgärdade, inklusive med deltagande av forskarteamet.
Forskarna uttrycker sin ånger över att de använde en olämplig metod för att genomföra experimentet. Felet var att forskningen genomfördes utan att få tillstånd och utan att informera gemenskapen. Motivet för den dolda aktiviteten var önskan att uppnå experimentets renhet, eftersom en avisering kunde ha dragit särskild uppmärksamhet till patcharna och deras bedömning på oklara grunder. Trots att målet var att förbättra säkerheten i kärnan, har forskarna nu insett att det var olämpligt och oetiskt att använda gemenskapen som försökskanin. Forskarna försäkrar att de aldrig avsiktligt skulle skada gemenskapen eller tillåta nya sårbarheter att införas i den fungerande koden för kärnan.
Vad gäller den meningslösa patch som blev katalysatorn för blockeringen, så har den ingen koppling till den tidigare forskningen och är kopplad till ett nytt projekt som syftar till att skapa verktyg för automatiserad upptäckte av buggar som uppstår till följd av tillägg av andra patchar.
Nu försöker gruppens medlemmar hitta sätt att återvända till utvecklingsarbetet och avser att återuppbygga sina relationer med Linux Foundation och utvecklarcommunityt, bevisande sin nytta för att öka säkerheten i kärnan och uttrycker sitt önskemål att arbeta intensivt för gemensam nytta och återställande av förtroende.
Källa: opennet.ru
