Команда из Университета Миннесоты пояснила мотивы экспериментов с сомнительными коммитами в ядро Linux
25 апреля 2021 года
Группа исследователей из Университета Миннесоты, приём изменений от которой на днях был заблокирован Грегом Кроа-Хартманом, опубликовала открытое письмо с извинениями и пояснением мотивов своей деятельности. Напомним, что группа занималась исследованием слабых мест рецензирования поступающих патчей и оценкой возможности продвижения в ядро изменений со скрытыми уязвимостями. После поступления от одного из участников группы сомнительного патча с бессмысленным исправлением было сделано предположение, что исследователи вновь пытаются проводить эксперименты над разработчиками ядра. Так как подобные эксперименты потенциально представляют угрозу безопасности и отнимают время у коммитеров было решено заблокировать приём изменений и отправить все ранее принятые патчи на повторное рецензирование.
В своём открытом письме участники группы заявили, что их деятельность была мотивирована исключительно благими намерениями и желанием улучшить процесс рецензирования изменений, путём выявления и устранения слабых мест. Группа уже много лет изучает процессы, приводящие к появлению уязвимостей, и активно работает по выявлению и устранению уязвимостей в ядре Linux. Утверждается, что все из отправленных на повторное рецензирование 190 патчей являются легитимными, исправляют существующие проблемы и не содержат преднамеренных ошибок или скрытых уязвимостей.
Вызвавшее опасение исследование по продвижению скрытых уязвимостей было проведено в августе прошлого года и ограничилось отправкой трёх патчей с ошибками, ни один из которых не попал в кодовую базу ядра. Связанная с данными патчами активность ограничилась только обсуждением и продвижение патчей было остановлено на стадии до добавления изменений в Git. Код трёх проблемных патчей пока не приводится, так как это раскроет лица тех, кто проводил начальное рецензирование (информация будет раскрыта после получения согласия от разработчиков, не распознавших ошибки).
Основным источником исследования были не собственные патчи, а анализ когда-либо добавленных в ядро чужих патчей, из-за которых в последующем всплывали уязвимости. К добавлению данных патчей команда Университета Миннесоты не имеет никакого отношения. Всего было изучено 138 проблемных патчей, приводивших к появлению ошибок, и к моменту публикации результатов исследования все связанные с ними ошибки были исправлены, в том числе при участии команды, проводившей исследование.
Исследователи сожалеют, что они воспользовались неуместным методом проведения эксперимента. Ошибкой было то, что исследование было проведено без получения разрешения и без уведомления сообщества. Мотивом скрытой деятельности было желание добиться чистоты эксперимента, так как уведомление могло привлечь отдельное внимание к патчам и их оценке не на общих основаниях. Несмотря не то, что целью было улучшение безопасности ядра, сейчас исследователи осознали, что использование сообщества в качестве подопытного кролика было некорректным и неэтичным. При этом исследователи уверяют, что никогда намеренно не навредили бы сообществу и не допустили бы внесению новых уязвимостей в рабочий код ядра.
Что касается бессмысленного патча, который послужил катализатором блокировки, то он не имеет отношения к прошлому исследованию и связан с новым проектом, нацеленным на создание инструментария для автоматизированного выявления ошибок, появляющихся в результате добавления других патчей.
Сейчас участники группы пытаются найти пути возврата к участию в разработке и намерены наладить свои отношения с Linux Foundation и сообществом разработчиков, доказав свою полезность в деле повышения безопасности ядра и выразив желание усиленно работать для общей пользы и возвращения доверия.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
