EGY EGYETEM KUTATÁSI CÉLBÓL ADOTT BUGOKAT A LINUX KERNELHEZ, KIRÚGTÁK ŐKET A PROJEKTBŐL

A Minnesota Egyetem kutatása azt vizsgálta, milyen veszélyei vannak a nyílt forráskódú szoftverek fejlesztésének.
Víg Ferenc (J.o.k.e.r)
Víg Ferenc (J.o.k.e.r)
2021. ápr. 26. 12:34
Egy egyetem kutatási célból adott bugokat a Linux kernelhez, kirúgták őket a projektből

A Minnesota Egyetem hallgatói és illetékesei a jelek szerint kényes terepre tévedtek egyik érdekes projektjük során, ugyanis azt próbálták tesztelni, milyen veszélyei vannak a nyílt forráskódú szoftverek fejlesztésének a kártékony kódok bejuttatásának szempontjából, vagyis mennyire védettek ezek a csatornák a hibás kódokat tartalmazó patchekkel szemben – az efféle támadások ugyanis reális veszélyt jelenthetnek. A kutatás keretén belül olyan kódokat nyújtottak be a kutatók a Linux Kernel fejlesztését végző közösségnek, amelyekben különböző bugok, esetenként akár ismert biztonsági rések is szerepeltek.

A Linux Alapítvány nemrégiben tudomást szerzett a kutatásról, amelynek eredményeként a stabil csatornát kezelő fejlesztő, Greg Kroah-Hartman azonnali hatállyal eltávolította a Minnesota Egyetemet az együttműködő közösségből. Arra utasította a résztvevőket, hogy senki se fogadjon be kódokat az umn.edu e-mail címekről, sőt, még az eddig elfogadott kódokat is átvizsgálják és szükség esetén törlik a nem oda való kódrészleteket annak érdekében, hogy megnyugtatóan rendeződjön az ügy.

A kínos incidensre a Minnesota Egyetem Számítástudományi és Mérnöki tanszékének vezetője Mats Heimdahl és helyettes vezetője, Loren Terveen hamar reagált. Közleményükben kifejtik, rendkívül komolyan kezelik ezt a helyzetet, egyúttal pedig le is állították ezt a kutatási ágat és megkezdték a kutatási metódus kivizsgálását, valamint azt a folyamatot is áttekintik, amelynek eredményeként elfogadták ezt a kutatási formát. A vizsgálat eredményeitől függően meghatározzák a megfelelő korrekciós intézkedéseket, valamint szükség esetén arról is gondoskodni fognak, hogy a jövőben ilyesmi ne történhessen meg ismét.

A Linux Alapítvány az eset miatt eltávolította a projektből a Minnesota Egyetemet, és egyelőre kérdéses, visszaveszik-e őket, ha lezárul a belsős vizsgálat, illetve meghozzák a szükséges óvintézkedéseket annak érdekében, hogy a továbbiakban ne történjen ilyesmi, ugyanis az elvesztett bizalmat igen nehéz helyreállítani. Ugyanakkor arra mindenképpen jó az aktuális ügy, hogy a Linux Alapítvány is bevezessen bizonyos védelmi intézkedéseket a hasonló incidensek elkerülésének érdekében, igaz, ilyen irányú szándékról eddig még nem esett szó.

Hírlevél feliratkozás
A feliratkozással elfogadom a Felhasználási feltételeket és az Adatvédelmi nyilatkozatot.

14 hozzászólás

A komment írásához előbb jelentkezz be!
Törölt felhasználó
Törölt felhasználó
2021. ápr. 27. 9:01
#7

A sztorihoz hozzátartozik, hogy nem csak simán értesültek, hanem kiszúrták. Ha az egyetem azt szerette volna megtudni mennyire hatékony a "manyeyeball", akkor felvehették volna a kapcsolatot Linus-ékkal, hogy az utolsó vonalon meg lehessen állítani a kártékony kódot, ha nem szúrnák ki. De nem így tettek, cserébe viszont gyorsan lebuktak. Ami után elindult a "mi csak egy új kódelemzővel dolgozunk" duma. Erre szóltak nekik, hogy bárki más ilyesmit csinál jelzi a commitnál, de ők végig úgy tettek, mintha profinak szánt emberi eredetű kód lenne (látszik is a beküldeni kívánt anyagon, hogy nem olyan, amit bármilyen elemző vagy generátor alakítana). Nahezek után indult meg a "mi csak kutatunk" narratíva. Amikor kivágták őket, az egyetem a válaszában amúgy nem kért elnézést. Csak sajnálta, ami történt, de nem kértek bocsánatot.

_PARASZT_
_PARASZT_
2021. ápr. 26. 15:24
#6

Érdekes, mikor "kutatási céllal" szándékosan szétfeedelek egy lanet, akkor engem is reportolni akarnak meg banolni, miért lehet ez???

thestock
thestock
2021. ápr. 26. 15:02
#5

De én aszittem hogy csak a vindózban vannak lyukak!!! Most vonhatom be alufóliával a szervereket ha azt szeretném hogy ne lássanak beléjük!!

rtagore
rtagore
2021. ápr. 26. 14:38
#4

Úgy lett volna korrekt, ha az egyetem értesíti a linuxos közösséget erről a kutatásról, nem pedig máshonnan tudják meg a disznóságot. Ki tudja, nincs-e köze mindehhez a titkosszolgálatnak? A linuxosok jól teszik, ha ódzkodnak ettől az egyetemtől.

Balucsek
Balucsek
2021. ápr. 26. 16:08

@rtagore Mert akkor már nem lett volna hiteles a dolog. Ha előre szólnak hogy kimennek ellenőrizni az építkezést akkor nem lesznek ott a feketén alkalmazottak, és mindenki szigorúan be tartja aznap a biztonsági és védőfelszereléssel kapcsolatos szabályokat aztán másnap már Gazsi félpucéran sétál biztosítókötél nélkül az 5 emelet álványzatán, miközben a feje felett emelnek át pár tonnát. Ezzel szemben ha bejelentés nélkül razziázol felméred a tényleges problémákat. Itt is ez volt a cél. Hogyan tudod úgy tesztelni processzeik rosszindulatú kódok elleni felkészültségét anélkül, hogy figyelmeztetnéd őket? Persze lehetett volna, hogy csak valami apróbb easter egget raknak bele ami nem árt, de azt meg nem biztos, hogy ugyan úgy kiszűrik az esetleges biztonsági toolok, mint egy rosszindulatú kódot. Esetleg lehettett volna, hogy pár szakit bevonnak akik ha benne marad releaselés előtt megnyomja a nagy piros gombot ami megállítja a kiadást, csak ott is ki tudja kinek kotyogják még el és mennyire hiteles az eredmény. Hát így sikeresen letesztelték a következményeit is :)

Tapir_606
Tapir_606
2021. ápr. 26. 14:07
#3

arról nincs hír, h be is került ilyen commit
a sztori úgy kezdődött, hogy a Linux Foundation értesült róla, hogy az egyetemen folyik 1 ilyen project
(sry, ezt reply-ba akartam)

mullerdavid
mullerdavid
2021. ápr. 27. 18:05

@Tapir_606 https://lore.kernel.org/lkml/20210421130105.1226686-25-gregkh@linuxfoundation.org/

This reverts commit 20eca0123a35305e38b344d571cf32768854168c.

Commits from @umn.edu addresses have been found to be submitted in "bad
faith" to try to test the kernel community's ability to review "known
malicious" changes. The result of these submissions can be found in a
paper published at the 42nd IEEE Symposium on Security and Privacy
entitled, "Open Source Insecurity: Stealthily Introducing
Vulnerabilities via Hypocrite Commits" written by Qiushi Wu (University
of Minnesota) and Kangjie Lu (University of Minnesota).

Because of this, all submissions from this group must be reverted from
the kernel tree and will need to be re-reviewed again to determine if
they actually are a valid fix. Until that work is complete, remove this
change to ensure that no problems are being introduced into the
codebase.

KikiGames
KikiGames
2021. ápr. 26. 14:06
#2

"A Minnesota Egyetem kutatása azt vizsgálta, milyen veszélyei vannak a nyílt forráskódú szoftverek fejlesztésének." 

Áh, semmilyen. Csak egy egész egyetemet tiltottak ki a projectből!

Tapir_606
Tapir_606
2021. ápr. 26. 13:46
#1

avagy: atombombát lövünk ki, hogy bemutassuk a NATO rakétaelhárító pajzsának hibáit
erre kíváncsi leszek, mire jut a vizsgálat, hogy ez a nyomorék project átment a rostán :D

Tapir_606
Tapir_606
2021. ápr. 26. 16:01

@Tapir_606 hmm... ez a lélegeztetőgépes szöveg Covid óta nem annyira vicces már
így elég parasztul jött ki, elnézést :D

Vissza az oldal tetejére