Исследователям удалось добавить в ядро Linux уязвимый код

Use after free

Корчеватель 2.0?

а, ясно

Так они же умышленно внесли эти уязвимости, не для развития ядра как такового, а ради того, чтобы вскрыть проблему недостаточной компетентности при оценке вносимых изменений, что влечёт:

а) Необходимость перелопачивания кода ядра, ради вскрытия изменений внесённых по злому умыслу

б) Остро встают вопросы к разработчикам и системе управления разработкой.

из контекста сообщений можно сделать вывод

Нет, нельзя.

а что ты там куда-то кого-то не отдашь миру (и мне) совершенно погоды не сделает.

• In 2019 Minnesota was ranked 41st in the world by the Academic Ranking of World Universities (ARWU)

• Endowment $3.87 billion (2020)

• Academic staff 3,804

• Students 49,148 (Spring 2020)

Посмотрим через год-два во сколько им эксперимент обошёлся.

У нас было двадцать пять корпораций, два идеолога, один фонд сбора пожертвований, беклог, наполовину наполненный багами, и целое море разработчиков по всеми миру, а так же целый гитхаб, континиус интегрейшен, тьма автотестов и 12 независимых аудитов.

Не то, чтобы всё это было категорически необходимо при разработке, но если уж начал собирать ядро, то к делу надо подходить серьёзно.

патамушта линупс давно скатился в вёдра говнокода, которые никто не хочет поддерживать ибо «не на зарплате что-бы читать чужие наколенные бредни», лучше бы подождали с камингаутом до попадания в rhel 8.4 условный, где «на зарплате» - может тогда ойбиэм бы таки озаботилась полноценной ревизией базы ядра и откукоживанием не-базы в модули

а пока - слава смелым китайцам, позор тупым банхаммер сотрясателям!

это просто смотря как смотреть:) мне не пришло в голову назвать замену одной проблемы на другую починкой. в любом случае откатом коммита проблема возвращается.

Посмотрим через год-два во сколько им эксперимент обошёлся.

[зевнул и почесал щетину]

я лучше посмотрю, что Линус скажет. какое мне дело до универа минессоты?

1. ничего не дает
2. hiew

Да мне тоже, собственно. Просто интересно посмотреть, как сильно идиоты сами себя наказали.

не для развития ядра как такового

улучшение security-процесса влияет на развитие ядра в лучшую сторону

проблему недостаточной компетентности при оценке вносимых изменений, что влечёт:

нет, совершенно нет. они не указывают на некомпетентность совершенно.

если таким образом ядро линукса у меня дома станет лучше, я буду благодарен этим достаточно умным «идиотам».

А если серьёзно, то это наглядная демонстрация того факта, что OSS не более безопасный, чем проприетарный код.

Только у даунов это наглядная демонстрация.

если таким образом ядро линукса у меня дома станет лучше, я буду благодарен этим достаточно умным «идиотам».

Мы с пацанами на конфе перетрём этих идиотов за пивом, у всех улучшится настроение, линукс от этого станет лучше.

Да мне тоже, собственно.

и китайским студентам. они просто вернутся на родину работать, как пентестеры.

я помню истории, когда промышленная вирусня использовала цифровые подписи, похищенные у корпораций. если китайским студентам удалось из сша закомитить хрень, представляю, что можно закомитить на бюджете.

Цюши У и Канцзе Лу

Герои. Линукс решето. Спасибо им за очередное доказательство.

было принято решение больше никогда не принимать патчи от людей из этого заведения.

слабаки.

Мы с пацанами на конфе перетрём этих идиотов за пивом, у всех улучшится настроение, линукс от этого станет лучше.

да забей ты. мир не ограничен америкой. эти конфы волнуют только тебя и твоих коллег. у меня нет ни одного знакомого, кто бы там бывал. и китайцы у себя работу найдут.

да забей ты. мир не ограничен америкой. эти конфы волнуют только тебя и твоих коллег. у меня нет ни одного знакомого, кто бы там бывал.

Ну, как бы, у нас в семье это жизнь: по линуксовым конференциями шариться =)

я говорю, проблема-то глобальная на самом деле. безопасность софта держится не столько на технических проверках, сколько на доверии и организации. этот фейл с exchange... при растущей кодовой базе человек все больше и больше будет не в состоянии все отлавливать.

AI еще не начали тренировать на какие-то типовые ситуации, интересно.

Выходит, модель BSD всё-таки будет безопаснее в этом плане? В FreeBSD, если не ошибаюсь, все правки делают несколько человек, и только они могут это делать. Их избирают там на сколько-то лет … поправьте, если не прав. Но суть в том, что никакой васян извне просто так не внесёт правку в ядро.

я говорю, проблема-то глобальная на самом деле. безопасность софта держится не столько на технических проверках, сколько на доверии и организации.

А ещё - падение морали. Ещё древние греки на это жаловались.

ну скандал же с VPN только недавно был. совершенно никакой разницы. поменьше кодовая база разве что.

Ох, чуваки попали…

Да не, ничего с Linux не случится. Накрайняк Линус отбрехается)

Интересно, а Патрик Фолькердинг может поэтому не бросает так долго свой проект, зная об этой проблеме? Если так, то Slackware имеет самое безопасное ядро/ПО. Круто, если так. Всегда уважал этот дистр.

Патч действительно должны перепроверить и в список рассылки выслать результат, был ли он вредоносным или нет. Очень важно, чтобы это подтвердили публично.

Косвенное доказательство, что коммит не вредоносный (или не относится к этому исследованию): в исследовании написано:

We submit the three patches using a random Gmail account to the Linux community and seek their feedback

Судя же по https://www.lkml.org/lkml/2019/3/19/887:

Signed-off-by: Aditya Pakki pakki001@umn.edu

Ещё очень важный момент из исследования:

In all the three cases, maintainers explicitly acknowledged and confirmed to not move forward with the incorrect patches.

То есть даже если коммит и был сделан, то ответственность после этого уже на мейнтейнерах, а не на исследователях.

Всё правильно они сделали, остановись они на пол пути, можно было бы сказать «а мы бы в стэйбл не пропустили», когда АНБ будет патчи подобные включать в ядро, на кого и куда жаловаться будут?

Ты переоцениваешь влияние рынка. Поклонники MMT («magic money tree» theory или как некоторые её по недоразумению называют «modern money theory») уже в фед. резерве. Их ставленник в овальном офисе. Напечатают $$$ и отсыпят синему региону, какой вопрос вообще.

А ещё - падение морали.

ну, греки, положим, не жаловались. не знаю, может, эту проблему тоже надо как-то подтвердить экспериментом. а то, может, и не проблема даже.

там все стоковое. все, как у всех.

Исследователи шли по улице и раздавали прохожим тумаки, чтобы проверить, какой процент популяции сможет увернуться. Широкой общественности может быть интересно то, что местный шериф, получив пощечину, ударился в слезы и начал звать маму. Правда потом, проплакавшись, отбил исследователям почки, но к этому они должны были быть готовы.

С одной стороны, для широкой общественности знание об уязвимости обладает большей ценностью, чем нанесенный коммюнити ущерб. С другой, право что-то проверять и требовать должно быть пропорционально размеру донатов…

Я обратил внимание, что там ядро очень долго задерживается, его крайне редко обновляют.

подтвердить экспериментом.

например, следующая новость на лоре: на пьяной вечеринке спуфингу удалось добавить свой уязвимый ДНК-код в будущее человечества. является ли падение морали проблемой для линуксоида?

Я обратил внимание, что там ядро очень долго задерживается, его крайне редко обновляют.

тогда тебе на RedHat надо. я еще на 2.6.32 сижу вот прям сейчас.

Все они правильно сделали. Не хватало ещё с авторами устаревшего при рождении жирноведра что-то обсуждать.

хах, типикал китайцы.

но ревью надо проводить внимательнее, конечно.

Если не линукс, не бсд, то что? Что нам остаётся? Новость прям огорчила, не ожидал …

Правда потом, проплакавшись, отбил исследователям почки аннулировал их клубную карту в боулинг.

улучшение security-процесса влияет на развитие ядра в лучшую сторону

Нет, т.к. вы не разделяете конечный продукт от разработчиков - в «здоровом теле здоровый дух», а качественная разработка, возможна только при компетентных разработчиках, но тут имеется чёткая иерархия - разработчики влияют на ядро намного больше, чем ядро на разработчиков и данное исследование демонстрирует, что с слоем контроля качеством всё не так уж хорошо.

нет, совершенно нет. они не указывают на некомпетентность совершенно

Как раз указывают, т.к. иначе бы в ядро впускали бы все подряд изменения, если этого не происходит, то значит есть какой-никакой контроль качества, который несколько недоработал, возможно и не критично, но всё же это показывает сколь хрупка безопасность ядра в текущий момент и тут либо улучшить контроль качеста, либо менять модель разработки и например уменьшить жирность изменений, которые порой могут быть 100+ т.строк текста.

Исследователям удалось добавить в ядро Linux уязвимый код (комментарий)

пока решения нет. чем меньше кода - тем меньше проблем. => OpenBSD. но и функционала меньше.

может, на rust начнут больше писать.

извини, не осилил.

может, на rust начнут больше писать.

И пихать в ядро монолитную блобовую рустовую библиотеку? :)))

ну шо ты меня-то спрашиваешь?:) не ява хотя бы) у касперского с его ОС для станка спрашивай)

Новость прям огорчила, не ожидал …

ты не расстраивайся. смотри на это, как на цирк, и поменьше сиди за пк, побольше в реальной жизни. а в софте лишь бы явных закладок не было, как у m$.

Какой ужас! Учебное заведение в опале у разработчиков постоянно развива..мутирующего ведра! Как им теперь жидь!?

думаю в теме уже сказали - такое исследоание не имеет смысла, кроме громкого заголовка и сбора лайков в соцсетях ничего не несет…

добавить вредоносный код очень просто, куда угодно в любой ОСС проект, но код найдут рано или поздно и будут сделаны выводы на основе полученного ущерба

анонимных патчей в ядро не принимают, количество людей кто шлет патчи в лучшем случае сотни в месяц, и получат пожизненный бан после отправки вредоносного кода, и клеймо на свое ФИО…

исследование не имеет смысла, патчи шлют реальные люди и отвечают за качество своего кода, и количество реальных людей очень мало, и «новых» просто начнут проверят еще сильнее

Я не сужу адептов клипового мышления.

остановись они на пол пути, можно было бы сказать «а мы бы в стэйбл не пропустили»,

Лорчую

если таким образом ядро линукса у меня дома станет лучше,

Не станет и вот по какой причине, имхо в конечном итоге код ядра поделят на несколько кругов, от внутреннего к наружному:

1. Код без которого никак.
2. Виртуальные машины, security, всё что используют хостеры сайтов, биржи и банки.
3. ответственные технические пременения, такие как кластерные вычисления и всякие рабочие станции(Amdgpu, opencl).
4. Бытовое иимедийное применение: игры, работа со звуком, vulkan браузеры и т.д.(vulkan, alsa и пр.)
5. одно слово: зоопарк.

Как не сложно догадаться внимание к коду будет всё более спадать от первого круга к более старщему вплоть до полного пофигизма в пятом и твой домашний компьютер будет в лучшем случае в четвёртом, а может и в пятом.