Почему команда Linux забанила Университет Миннесоты

Реакция сообщества Linux-разработчиков

У Linux-комьюнити знатно пригорело с этой статьи. Одна из главных претензий — исследователи никого не предупредили о своих опытах, а значит, их действия этически ничем не отличаются от поведения злоумышленников и были банальной хакерской атакой на ядро Linux. Аргумент тут простой — существует стандартная практика внешнего тестирования угроз (Red Team security testing), которая предполагает, что кто-то из атакуемых в курсе атаки. А парни из Университета Миннесоты решили посвоевольничать и пренебречь правилами.

Фактически Ву и Лю атаковали не столько сообщество разработчиков, сколько саму философию — ведь пользователь Linux по умолчанию доверяет разработчикам ядра.

Джаред Флойд из Red Hat в комментариях изданию Zdnet выразился ещё резче:

Ещё одна претензия — разработчики потратили своё время и силы на проверку патчей, которые были «экспериментальными». А это неприятно как людям, которые занимаются разработкой Linux в свободное от работы время, так и компаниям, которые спонсируют разработку open source или держат в штате программистов, которые фултайм трудятся над ядром Linux.

В итоге после публикации статьи многие разработчики ядра Linux посчитали, что теперь необходимо пересмотреть и другие патчи от Университета Миннесоты. Правда, до масштабного пересмотра патчей дело так и не дошло.

Продолжение истории

6 апреля 2021 года магистрант Адитья Пакки прислал безобидный, на первый взгляд, патч в ядро Linux со своего университетского адреса. Патч был простой и вроде бы улучшал качество кода, поэтому сначала его утвердили, но уже 9 апреля один из участников сообщества, Эрик Дюмазе, засомневался в качестве патча.

19 апреля ветеран Linux-комьюнити Эл Виро упрекнул коллег за то, что они утвердили патч, который на деле ничего не исправляет. А домен Университета Миннесоты, с которого отправил коммит Пакки, серьёзно повысил градус дискуссии.

Уже на следующий день, 20 апреля, в дело вмешался Грег Кроа-Хартман. Он отправил Пакки письмо: «Пожалуйста, прекратите присылать свои неработающие патчи. Ваш профессор нас дурачит, чтобы таким странным способом опубликовать очередную статью».

После этого участники сообщества проверили четыре предыдущих патча Пакки и обнаружили уязвимости в трёх из них.

На этом история могла бы закончиться, но тут Пакки резко ответил Кроа-Хартману: «Я прошу вас прекратить дикие обвинения, которые граничат с клеветой». Магистрант утверждал, что для этих патчей был использован новый статический анализатор кода, который он сам и написал.

Однако уже 21 апреля Кроа-Хартман опроверг слова Пакки, сказав, что патчи были созданы без использования статического анализатора кода и на деле ничего не исправляют.

В тот же день Грег официально заявил, что коммиты с адреса umn.edu сообщество будет просто-напросто отклонять. И тут же подкрепил слова делом, отклонив 190 сабмитов от людей, связанных с университетом.

23 апреля в дело вступил Линус Торвальдс: он сказал, что действия исследователей подорвали доверие к сообществу, а значит, блокировка университета оправдана. В тот же день Майк Долан, первый вице-президент Linux Foundation, отправил в университет письмо с четырьмя требованиями:

1) предоставить информацию, которая поможет выявить все вредоносные патчи, отправленные во время эксперимента Лю;

2) снять с публикации статью;

3) убедиться в том, что в будущем эксперименты сотрудников университета будут проходить по принятым в сообществе правилам;

4) до начала эксперимента обязательно получать согласие участников.

Два пункта Лю и Ву уже выполнили: они отозвали статью и предоставили все детали своего исследования, а также вместе с Пакки принесли извинения сообществу Linux.