La semana pasada Greg Kroah-Hartman, desarrollador senior de kernel de Linux anuncio que todos los parches de Linux de la Universidad de Minnesota serían rechazados sumariamente por defecto.
Este cambio de política es el resultado de tres investigadores de la Universidad de Minnesota, Qiushi Wu, Kangjie Lu y Aditya Pakki, que se embarcaron en un programa para probar la resistencia de la comunidad de desarrolladores del kernel de Linux al grupo llamado «Compromisos hipócritas».
Prueba de la comunidad del kernel de Linux
El trío esquema implicó primero encontrar tres errores fáciles de corregir y de baja prioridad en el kernel de Linux, y luego corregirlos, pero corregirlos de una manera que complemente lo que los investigadores de la UMN han llamado una «vulnerabilidad inmadura»:
Usamos una herramienta de escaneo estático para identificar tres «vulnerabilidades inmaduras» en Linux y, como resultado, detectamos tres errores menores reales que se cree que están corregidos. Las «vulnerabilidades inmaduras» no son vulnerabilidades reales porque siempre falta una condición (como el uso de un objeto liberado) […] Estamos creando tres correcciones menores incorrectas o incompletas para corregir los tres errores. Sin embargo, estas correcciones menores introducen las condiciones faltantes de «vulnerabilidades inmaduras».
Los tres investigadores luego enviarían sus parches troyanos a los encargados del mantenimiento del kernel de Linux, para ver si los encargados del mantenimiento detectaban el problema más grave que los investigadores introdujeron al corregir un error menor. Una vez que los encargados de mantenimiento respondieron al parche enviado, los investigadores de la UMN informaron el error introducido por su parche y crearon un parche «apropiado», uno que no introdujera una nueva condición explotable, en su lugar.
Lu, Wu y Pakki publicaron sus resultados en febrero en el 42º Simposio de Seguridad y Privacidad de IEEE.
Respuesta inicial
La semana pasada Greg Kroah-Hartman, desarrollador senior de kernel de Linux regreso 68 correcciones enviadas por personas con direcciones de correo electrónico umn.edu en respuesta a estos «compromisos hipócritas». Además de revertir estos 68 parches existentes, Kroah-Hartman anunció una política de «rechazo predeterminado» para parches futuros de cualquier persona con un @umn.edu habla a.
Kroah-Hartman continuó permitiendo excepciones para tales arreglos futuros si «proporcionan pruebas y usted puede verificarlo», pero continuó preguntando «realmente, ¿por qué perder el tiempo haciendo este trabajo adicional?»
El Departamento de Ingeniería y Ciencias de la Computación de la Universidad de Minnesota respondió a la prohibición «suspendiendo inmediatamente[ing] esta línea de investigación, «prometiendo estudiar el método de los investigadores y el proceso mediante el cual fue aprobado».
Disculpas no aceptadas
Este sábado, el equipo de investigación de la UMN excusa a la comunidad de Linux a través de una carta abierta publicada en la lista de correo del kernel de Linux. La carta abierta de casi 800 palabras suena más ‘espera, no lo entiendes’ que una disculpa:
Solo queremos que sepa que nunca dañaremos intencionalmente a la comunidad del kernel de Linux ni presentaremos vulnerabilidades de seguridad. Nuestro trabajo se ha realizado con las mejores intenciones y es encontrar y reparar los agujeros de seguridad.
El trabajo de “hipócrita se compromete” se completó en agosto de 2020; estaba destinado a mejorar la seguridad del proceso de parcheo en Linux. Como parte del proyecto, investigamos problemas potenciales con el proceso de parcheo de Linux, incluidas las causas de los problemas y sugerencias para resolverlos.
Kroah-Hartman reconoció la carta el domingo, pero estaba claramente menos que impresionado:
Como saben, la Fundación Linux y el Comité Asesor Técnico de la Fundación Linux enviaron una carta a su universidad el viernes en la que se describen las acciones específicas que se deben tomar para que su grupo y universidad puedan trabajar para recuperar la confianza de la comunidad del kernel de Linux.
Hasta que no se tomen estos pasos, no tenemos nada más que discutir sobre este tema.
No sabemos en este momento qué, exactamente, acciones están exigiendo Kroah-Hartman y la Fundación Linux del grupo y su universidad.
