Исследователи извиняются за свои исследования

we are genuinely sorry

Залупу им на воротник за то что 0-day выложили. Группой лиц по предварительному сговору, создали угрозу наступления тяжких последствий, 273.3, до 7 лет. Получили бы по трешке условно, в Штатах наверняка тоже что-то такое есть, надо подавать в суд против этих гавриков (сино-русских шпионов) и против допустившего это универа в целом.

Да что вы мелочитесь, товарищ! К стенке их, к стенке, как предателей родины! А команде ядра премию выпишем.

Хотя возможно тем, кто стоит за этими гнидами, именно это и надо - чтобы подали в суд и шумиха вокруг этого. А там и до попечительского комитета недалеко.

BP Is deeply sorry! (We’re Sorry) https://www.youtube.com/watch?v=15HTd4Um1m4

Ну и пусть извиняются, сами виноваты. А прощать бы я их не стал.

может им стоит выстраивать линию защиты словами NO BRO ITS A PRANK BRO ITS A PRANK AWW SHIEEEET

Это все, что требуется знать о безопасности линукса в частности и опенсорса вообще. Спасибо им.

вот будет угар, если из-за отката 190 нормальных коммитов вновь открылись уязвимости

Извиняться надо было до публикации, стоя на коленях с башкой в пол вымаливать прощение. Они до сих пор членовредительство называют исследованием.

Почему если? Нет патчей - нет патчей. Все баги вновь в строю.

Если я правильно понял переписку разработчиков, они будут досконально изучать каждый из патчей и заново его добавлять. Но могу и ошибаться, потому что читать это нагромождение самоповторяющегося текста очень тяжело.

Тем не менее, он прав: иск тут совершенно уместен.

Linux — это часть критической инфраструктуры.
Отношение к этому «научному исследованию» тут должно быть таким же, как если бы университет внёс изменения в план конструкции подвесного моста так, чтобы он упал от бокового метра в 5м/с.

Тем не менее, он прав: иск тут совершенно уместен.

Иск будет уместен юридически, но позорен по сути. Потому что иного способа привлечь внимание и показать дырявость организационной структуры линукса и субъективность анализа присылаемого просто не существует. Сколько там еще сидит подобных уязвимостей, присланных настоящими профессиональными злоумыщленниками - только им самим известно

вот будет угар, если из-за отката 190 нормальных коммитов вновь открылись уязвимости

потому что надо не откатывать нормальные коммиты, а чинить конкретно указанные )

Этих хотя бы спалили. А сколько засланных агентов намеренно коммитят баги в проприетарщину, страшно подумать.

Так я не понял - их спалили? Или они сами первыми признались, что специально потыкали палочкой?

Ну, у мейнтейнеров подозрения определённо возникли, они покопались, и нашли публикации этих исследований. Сами исследователи в LKML не писали, «как мы ловко вас нае^Wобманули»

А сколько засланных агентов намеренно коммитят баги в проприетарщину, страшно подумать.

Только это тогда не засланные агенты, а профессионалы и в проприетарщине это не баги, а фичи.

Ну, у мейнтейнеров подозрения определённо возникли, они покопались, и нашли публикации этих исследований.

То есть они попросту вообще не скрывали? И вся фишка лишь в том, что они не сообщили ядрописателям? О, так это еще круче.

Какая разница, скрывали или не скрывали, факт, что их спалили. Значит, опенсорс коммюнити стронг, тыщи глаз на страже безопасности, все дела.

Спалили? ) Если они в открытую где-то писали о том, что вот мы добавили дырок и запустили таймер - когда наконец эти тысячи глаз обнаружат? Где-нибудь вообще можно прочитать объективное описание того, что произошло, с раскладкой по времени? Так чтобы без эмоциональных воплей и покаяний?

1. ребята добавили дырок
2. ребята вместо responsible disclosure выложили, блин, статью
3. ребята пошли в бан
4. ребята плачут

Остальное — шелуха.

Ребятам за эту статью надо низко кланяться всем сообществом и вручить им вполне заслуженные ордена и премии

https://github.com/QiushiWu/QiushiWu.github.io/blob/main/papers/OpenSourceInsecurity.pdf

а вот остальное - в самом деле эмоциональная шелуха

Если бы они связались с мэйнтейнерами, закрыли дырки, и только потом её выложили, тогда да. Их дырки, не их дырки — не важно.

Это вопрос морали. Зато так это получилось гораздо эффективнее.

Да, это вопрос морали, и они в него с треском проиграли.

Нет, так получилось эффектнее, не путать с эффективнее. Ну, смотря какая у них была цель. Если нагадить альма-матер, то эффективнее, да. За аппрув социальных экспериментов над людьми, не дававшими согласия, да ещё и публично идентифицируемыми, их комиссии по этике грядёт большая «радость».

Это третья фаза исследования – «мы им сказали, что оставшиеся 190 патчей не относятся к исследованию, и они нам поверили».

То есть они попросту вообще не скрывали?

Их давно спалили и не раз просили перестать присылать заранее сломанные патчи и тратить время ядрописателей. Но они продолжали это делать и при обнаружении лепили нелепые отмазки в списках рассылки

Привлекла внимание не вскрытая исследователями информация, а то, что ядрописателей задолбала эта ситуация и они решили, что в плане человеко-часов и нервотрепки проще вообще не принимать патчи от втянутых в это личностей.

Да, это вопрос морали, и они в него с треском проиграли.

Игры в мораль - даже не вторичны, а третичны по сравнению с главной целью - осознанию необходимости пересмотра подхода к безопасности линукса

Нет, так получилось эффектнее, не путать с эффективнее.

И эффектно и эффективно. Есл бы статью опубликовали постфактум, по закрытию дырок - ее бы скучая полистало пару сотен человек. А так, после громкого взрыва цистерны с овном, игнорировать происшедшее уже тяжело

Их давно спалили и не раз просили перестать присылать заранее сломанные патчи и тратить время ядрописателей. Но они продолжали это делать и при обнаружении лепили нелепые отмазки в списках рассылки

Где-то это описано? Потому что в статье есть таблица, где упоминается вроде как процент обнаруженных уязвимостей. То есть при том, что их якобы спалили, все равно обнаруживали от силы половину присылаемых ими дырок? Молодцы, че, чем дальше - тем больше их уважаю

Ребятам за эту статью надо низко кланяться всем сообществом и вручить им вполне заслуженные ордена и премии

За статью может быть и да, но вот за публикацию собственноручно привнесённой уязвимости до сообщения о ней монтейнерам наказать следовало и им ещё повезло что никто этой уязвимостью не воспользовался чтобы что-то украсть что либо значительное, как минимум им бы пришлось доказывать уже не сообществу, а полиции то, что они не состоят в сговоре с ворами.

Вообще хорошо бы сообщнству написать разъяснение, что

1. проводить такие исследования можно, но баги должны сообщаться куда следует и точно в определённый срок.
2. эксперементы доожны проводится только в случае недрсиаточности уже имеющегося материала.
   (истории ужачных и неудачных попыток отправить в ядро коммит)

Из цитаты видно что они извиняются лишь за то, что нагрузили дополнительной работой, собственно ни за что другое они и не могли бы извиниться, да и за это скорее всего бы не следовало, т.к. это непосредственная работа которую надо сделать, т.е. это самый быстрый способ на пальцах показать места уязвимости через их непосредственное внесение. Честно считаю, что сообществу оказали услугу этим исследованием, при этом совершенно бесплатно.

За что действительно они могли бы извиниться, это за вынесение сора из избы. Нужно было тихонько сообщить нужным людям что их ревью и система принятия кода в ядро не выдерживает никакой критики, и указать места и действия повлекшие к этому плачевному состоянию. Но сдается мне, не меньше сор из избы начало выносить само core team надув щеки и с каждой колокольни порицая как само исследование, так и тех кто принимал в нем участие.

Их же не просто откатили, а откатили, чтобы проверить их вредоносность.

Как я прнимаю их бы не стали особо упрекать если бы они сообщили о уязвимостях в ветку безопасности и выдержали положенный до публикации срок.

Вообще такие эксперементы не доожны одобряться, так как нельзя точно узнать то, действительно ли веедрили уязвимость с целью исследование или само исследование использовали как прикрытие для того чтобы что-то украсть.

Может быть, может нет. После драки кулаками не машут. Есть перегибы с обоих сторон, но со стороны разработчиков ядра, имхо, сейчас перегибы больше, потому что все прекрасно знают что любая проблема вынесенная на широкую публику почти со 100% вероятностью породит еще больше проблем, в виде хейта, травли, и прочих малоприятных вещей. Это нужно было замять тихо, и просто поблагодарить за содействие в поиске уязвимостей, поглубже засунув свое возмущение и эго.

Вообще такие эксперементы не доожны одобряться, так как нельзя точно узнать то, действительно ли веедрили уязвимость с целью исследование или само исследование использовали как прикрытие для того чтобы что-то украсть.

тогда бы не было логики вообще вскрываться, могли бы и дальше портить код ядра.

Идеалист штоле? Ничего не изменится, статья капитанская, так было, так будет.

Где-то это описано?

Мейлинг лист: https://lore.kernel.org/linux-nfs/20210407001658.2208535-1-pakki001@umn.edu/

Разработчики уже были в курсе об этом исследовании и о присылаемых ранее заведомо кривых патчах в ядро. Когда один из них, в очередной раз, спалился за этим занятием, то он даже не сказал что-то типа «упс, попался, звиняйте», а продолжил мазаться, врать и заявил, что он больше не будет отсылать патчи такому убогому комьюнити.

Ядрописатели пришли к выводу, что иметь дело с такими людьми себе дороже.

В этой истории нехватает признания мейтейнерами своего обсёра. Выглядит так, будто они и дальше собираются халтурить, а во всём виноваты плохие исследователи.

Нет, отшельмовали их правильно, потому что правильно они сообщат о уязвимости или нет, что надо думать если за время пребывания в продакшене именно этой уязвимостью кто-то воспользовался?

Лучше сразу сказать что сознательное внедрение уязвимостей в продакшн запрещено, это надо не столько для этого случая, сколько для будущего вообще.

В этой истории нехватает признания мейтейнерами своего обсёра. Выглядит так, будто они и дальше собираются халтурить,

Три вопроса:

1. сколько надо рабочего времени и специалистов чтобы "не халтурить"?
2. деньги можно напечатать, но есть ли нужно количество специалистов на нашей планете вообще?
3. кто всё это "не халтурить" будет оплачивать?

Нет, отшельмовали их правильно, потому что правильно они сообщат о уязвимости или нет, что надо думать если за время пребывания в продакшене именно этой уязвимостью кто-то воспользовался?

Думаю все же, о том что уязвимости просочились в релиз было доложено тут же, и скорее всего узкому кругу лиц. Опять же в продакшене никто не сидит на последнем релизном ядре в общем все не так страшно. Ну и последнее что можно об этом сказать, это то, что скорее всего в ядре есть и другие уязвимости и по сути они ничем не отличаются от этих, просто за них вряд ли кто-то побежит, как вы выразились «отшельмовывать» тех, чьи коммиты привели к этим уязвимостям, просто в виду того, что они не в поле резонанса.

Лучше сразу сказать что сознательное внедрение уязвимостей в продакшн запрещено, это надо не столько для этого случая, сколько для будущего вообще.

Тогда бы исследование потеряло смысл. В данной ситуации все-таки core team должно уступить, имхо, это их работа, они прекрасно знают какая на них ответственность и что тоже самое может происходить прямо сейчас без вообще какого-либо уведомления, но почему-то именно на тех, кто им помогает с этим бороться, они полкана спустили и очень обиделись, опять же имхо, это глупость.

Думаю все же, о том что уязвимости просочились в релиз было доложено тут же, и скорее всего узкому кругу лиц.

Нет, почитай новости о это исследовании, они о уязвимостях сообщили публично до их устранения или истечения срока.

Опять же в продакшене никто не сидит на последнем релизном ядре в общем все не так страшно.

Как я понимаю это зависит от содержания и смысла патча: в отличии от патчей с новым функционалом исправления багов и уязвимостей могут попать непосредственно в продакшн.

я бы предпочел цитаты ). Но, даже если так, в любом случает я уже говорил что у обоих сторон есть перегибы. И согласен с тем что так делать нельзя, это минимум неэтично. Тем не менее они хотя бы вскрылись сами, т.е. злого умысла у них определенно не было.

это могло бы стать проблемой, хорошо что весь этот балаган прекратили вовремя. И сразу как только вывалился релиз, а не через месяц после него, дав время растащить такие патчи.

на опеннете тоже появилось обсуждение: https://www.opennet.ru/opennews/art.shtml?num=55026

можно и там почитать, что народ думает.

скорее всего в ядре есть и другие уязвимости и по сути они ничего не отличаются от этих

1. о одних уяхвимостях может не знать даже их автор.
2. рано или поздно автору придётся давать объяснения сообщетву, причём это сообщество будет разбираться в коде не хуже, а может итлучше него.

Ничего не изменится, статья капитанская, так было, так будет.

Хоть что-нибудь, да изменится. Как минимум спадет розовое настроение у многих пользователей «это же опенсорс! значит все проверяется и все безопасно!»

Точно, идеалист. Эта, ты один такой был.

Разработчики уже были в курсе об этом исследовании и о присылаемых ранее заведомо кривых патчах в ядро. Когда один из них, в очередной раз, спалился за этим занятием, то он даже не сказал что-то типа «упс, попался, звиняйте», а продолжил мазаться, врать и заявил, что он больше не будет отсылать патчи такому убогому комьюнити.Ядрописатели пришли к выводу, что иметь дело с такими людьми себе дороже.

И вместо этого они будут продолжать иметь дело с теми, кто об этом просто не сообщает. Гы.

в общем-то ошибки были всегда, но бомбануло почему-то именно сейчас. Скорее все же банально это вопрос эго. Кортим щелкнули по носу, обличили в том, что на всех уровнях проверки кода, вышестоящий уровень полагается на то, что ниже стоящий уже проделал всю работу и по факту просматривают код по диагонали. Да, исследователи могли бы сообщить на этапе последнего рц, дав возможность самой верхушке команды ревью сохранить лицо и сказать что они еще не смотрели код, но тогда бы это подпортило картину самого исследования.

В общем, не настаиваю, но все-таки это дело лучше замять побыстрее и сделать выводы, как одной, так и другой стороне.