Эксперимент пошел не по плану
В списке разработчиков ядра Linux произошли изменения – из него исключен Университет Миннесоты (University of Minnesota, UMN). Такое решение, пишет портал Neowin, принял лично Грег Кроа-Хартман (Greg Kroah-Hartman) – ответственный за поддержку стабильной ветки ядра.
Кроа-Хартман подчеркнул, что сотрудники Университета выпускали патчи для Linux, содержавшие различные уязвимости, и делали они это намеренно. В вузе была сформирована специальная исследовательская группа, которая проводила эксперимент по изучению возможности внедрения скрытых уязвимостей в различные проекты с открытым исходным кодом. Входящие в нее разработчики в ходе своего исследования наблюдали за реакцией Linux-сообщества и попутно готовили статью «Возможность скрытого внедрения уязвимостей в программное обеспечение с открытым кодом с помощью поддельных коммитов» (On the Feasibility of Stealthily Introducing Vulnerabilities in Open-Source Software via Hypocrite Commits).
В своем письме разработчикам из Университета Миннесоты Хартман написал: «Вы и ваша группа публично признались в отправке патчей с известными ошибками, чтобы увидеть, как сообщество (разработчиков – прим. CNews) ядра отреагирует на них, и опубликовали документ, основанный на этой работе». «Теперь вы снова отправляете новую серию явно неправильных исправлений, и что я должен думать об этом?», – добавил он.
Суть конфликта
Университет Миннесоты в рамках своего исследования незаметно внедрил в ядро Linux уязвимость Use-After-Free, но сообщество посчитало это этичным экспериментом. Гнев Грега Кроа-Хартмана вызывала еще одна попытка умышленной «порчи» ядра. Он связался с автором патча, которым оказался студент факультета компьютерных наук и инженерии Адитья Пакки (Aditya Pakki), и тот попытался оправдаться, заявив, что разработал «новый статистический анализатор», и что подготовил патч в соответствии с результатами проверки в нем.
«Эти патчи были отправлены как часть нового статистического анализатора, который я написал, и его чувствительность явно невысока. Я отправил патчи в надежде получить обратную связь», – заявил Пакки в ответном письме Кроа-Хартману. «Очевидно, это неправильный шаг, но ваши предвзятые предубеждения настолько сильны, что вы делаете необоснованные утверждения. Я не буду больше отправлять патчи из-за такого отношения, которое не только нежелательно, но и пугает новичков и неспециалистов», – добавил он.
В ответ на это Кроа-Хартман направил Пакки длинное письмо с описанием того, как он видит ситуацию. «Очевидно, эти исправления НЕ были созданы инструментом статистического анализа, обладающим каким-либо интеллектом, поскольку все они являются результатом совершенно разных шаблонов, и все они, очевидно, даже ничего не исправляют. Итак, что я должен думать, кроме того, что вы и ваша группа продолжаете экспериментировать с разработчиками сообщества ядра, рассылая такие бессмысленные патчи? <…> Наше сообщество приветствует разработчиков, которые хотят помочь и улучшить Linux. Это НЕ то, что вы пытаетесь сделать», – написал он.
Неутешительный итог
Грег Кроа-Хартман решил исключить Университет Миннесоты из числа разработчиков ядра Linux. Все новые патчи, присылаемые связанными с ними программистами, не будут приниматься к рассмотрению и в новые сборки Linux больше не попадут.
Более того, Кроа-Хартман заявил, что в качестве дополнительной ответной меры из ядра будут отозваны все ранее принятые патчи Университета для их повторного рецензирования. Степень вероятности их повторного возвращения в состав ядра он не уточнил.
На момент публикации материала Кроа-Хартман откатил около 190 исправлений, присланных с адресов «@umn.edu». Все они отправлены на проверку, и некоторые из них успели пройти ее – сомнительные элементы в них обнаружены не были, однако ряд патчей все же содержали небольшие ошибки.
К разбору ситуации подключилось и руководство Университета Миннесоты. Замдекана факультета компьютерных наук и инженерии Лорен Тервин (Loren Terveen) опубликовала в Twitter официальное заявление факультета.
«Руководство факультета компьютерных наук и инженерии Миннесотского университета узнало сегодня о деталях исследования безопасности ядра Linux, проводимого одним из его преподавателей и аспирантов. Используемый метод исследования вызвал серьезные опасения в сообществе ядра Linux, и на сегодняшний день это привело к тому, что университету запретили вносить вклад в ядро Linux», – говорится в этом заявлении.
«Мы очень серьезно относимся к этой ситуации. Это направление исследований немедленно приостановлено. Мы изучим метод исследования и процесс, с помощью которого этот метод исследования был одобрен, определим соответствующие меры по исправлению положения и при необходимости защитимся от будущих проблем», – добавила Лорен Тервин. Отчет о результатах этой проверки Университет передаст сообществу разработчиков.
Поделиться
