Le responsable de Linux Greg Kroah-Hartman a envoyé une demande de modification de la version 5.13 du noyau Linux pour faire face au chagrin causé par les chercheurs de l'université du Minnesota. Il y a un mois, l'Université s'est vu interdire de contribuer au noyau Linux lorsqu'il a été révélé que les chercheurs de l'université essayaient de soumettre intentionnellement des bogues dans le noyau via des correctifs en tant que « commits hypocrites » dans le cadre d'un document de recherche douteux. Les développeurs du noyau Linux ont finalement terminé la révision de tous les correctifs de l'université du Minnesota afin de résoudre les fusions problématiques dans le noyau et de nettoyer ou corriger les correctifs qui font problème.Avec plus de 28 millions de lignes de code, le noyau Linux est l'un des plus grands projets logiciels de l'histoire moderne. Des contributeurs du monde entier et de différents domaines soumettent chaque jour un grand nombre de correctifs aux responsables du noyau Linux, afin qu'ils soient examinés avant d'être officiellement fusionnés avec l'arborescence officielle du noyau Linux. Cependant, pour des besoins d’expérimentation, des chercheurs de l'Université américaine du Minnesota ont choisi de soumettre des correctifs contenant furtivement des vulnérabilités de sécurité au noyau Linux et ils ont été pris la main dans le sac par les responsables du noyau Linux.
Ces derniers rédigeaient un document de recherche sur la possibilité de soumettre des correctifs à des projets open source contenant des vulnérabilités de sécurité cachées afin de mesurer scientifiquement la probabilité que ces correctifs soient acceptés et fusionnés. Ils ont utilisé le noyau Linux comme l'une de leurs principales expériences, en raison de sa réputation bien connue et de son adaptation dans le monde entier. Quelques jours après qu’ils aient été pris par les responsables du noyau Linux et ont été publiquement humiliés, l’université sous le coup d’un bannissement s’est excusée.
« Notre objectif était d'identifier les problèmes liés au processus d'application des correctifs et les moyens de les résoudre et nous sommes désolés que la méthode utilisée dans l'article sur les "commits hypocrites" ait été inappropriée. Comme de nombreux observateurs nous l'ont fait remarquer, nous avons commis une erreur en ne trouvant pas le moyen de consulter la communauté et d'obtenir sa permission avant de réaliser cette étude ; nous l'avons fait parce que nous savions que nous ne pouvions pas demander la permission aux mainteneurs de Linux, sinon ils seraient à l'affût des correctifs soumis dans le cadre de notre étude. Bien que notre objectif était d'améliorer la sécurité de Linux, nous comprenons maintenant qu'il était blessant pour la communauté d'en faire un sujet de recherche et de gaspiller ses efforts en examinant ces correctifs à son insu et sans sa permission », avait indiqué l’Université dans une lettre d’excuse rendue publique.
« Nous voulons simplement que vous sachiez que nous ne ferions jamais de mal de façon intentionnelle à la communauté du noyau Linux et que nous n'introduisons jamais de failles de sécurité. Notre travail a été mené avec les meilleures intentions du monde et consiste à trouver et à corriger les failles de sécurité... Nous sommes une équipe de recherche dont les membres consacrent leur carrière à l'amélioration du noyau Linux. Nous nous efforçons de trouver et de corriger les vulnérabilités de Linux depuis cinq ans... Bien que cette situation ait été douloureuse pour nous aussi et que nous soyons sincèrement désolés pour le travail supplémentaire que la communauté du noyau Linux a entrepris, nous avons tiré de cet incident des leçons importantes sur la recherche avec la communauté open source. Nous pouvons faire mieux et nous le ferons et nous pensons que nous avons beaucoup à apporter à l'avenir et nous travaillerons dur pour regagner votre confiance », avait-elle ajouté.
La réponse du responsable du noyau Linux n’était pas moins explicite que la lettre d’excuse. « Merci pour votre réponse. Comme vous le savez, la Fondation Linux et le conseil consultatif technique de la Fondation Linux ont soumis une lettre vendredi à votre université décrivant les actions spécifiques qui doivent être entreprises pour que votre groupe, et votre université, puissent travailler à regagner la confiance de la communauté du noyau Linux. Jusqu'à ce que ces actions soient entreprises, nous n'avons plus rien à discuter sur ce sujet. Merci », avait-il répondu.
Quelques jours après le refus des excuses des chercheurs impliqués dans le scandale des « commits hypocrites » qui a éclaboussé la communauté Linux, la Fondation Linux aurait adressé un certain nombre de demandes à l'Université du Minnesota auxquelles elle doit répondre avant que son personnel ne soit autorisé à contribuer à nouveau au noyau. La fondation exige que l'Université du Minnesota lui fournisse « toutes les informations nécessaires pour identifier toutes les propositions de code vulnérable connu de toute son expérience ».
« Veuillez fournir au public, de manière accélérée, toutes les informations nécessaires pour identifier toutes les propositions de code connu pour être vulnérable de toute expérience de l'Université du Minnesota. Les informations doivent inclure le nom de chaque logiciel ciblé, les informations de commit, le nom supposé de l'auteur, l'adresse e-mail, la date et l'heure, le sujet et/ou le code, afin que tous les développeurs de logiciels puissent rapidement identifier ces propositions et éventuellement prendre des mesures correctives pour ces expériences », exige la lettre signée par Mike Dolan, vice-président senior et directeur général des projets de la Fondation Linux.
Cette nouvelle collaboration semble avoir porté des fruits positifs. En effet, les développeurs du noyau Linux auraient finalement terminé la révision de tous les correctifs de l'Université du Minnesota afin de résoudre les fusions problématiques dans le noyau et de nettoyer ou corriger leurs correctifs qui faisaient problème. Envoyé jeudi par Greg Kroah-Hartman, il s'agissait de correctifs char/misc pour la version 5.13-rc3 du noyau Linux. Alors que les corrections char/misc à ce stade intermédiaire du cycle du noyau ont tendance à ne pas être trop excitantes, cette demande de retrait contient les changements pour traiter les correctifs des chercheurs de l'Université du Minnesota.
Greg a reconnu que : « la majorité de ces modifications sont les retombées du réexamen par l'Université du Minnesota de toutes les soumissions précédentes. Cela a entraîné un grand nombre de retours en arrière ainsi que des modifications, de sorte qu'il n'y a aucune régression des corrections potentielles apportées par ces personnes ». « Je tiens à remercier les plus de 80 développeurs différents qui ont participé à la révision et à la correction de ce problème », a-t-il mentionné.
Cependant, des questions subsistent quant aux processus en coulisses, comme celles posées par Filipo Valsorda, cryptographe et ingénieur logiciel, concernant la prise de décisions de confiance sur la base des domaines de messagerie. Un mois plus tard, son point de vue reste valable : « C'est peut-être une opinion impopulaire, mais je pense que "ne fusionner les choses qu'après avoir vérifié qu'elles sont valides" devrait peut-être être la politique par défaut du logiciel le plus utilisé au monde », a-t-il indiqué sur son compte tweeter.
Source : Liste de diffusion
Et vous ?
Que pensez-vous de cette avancée sur le sujet ?Voir aussi :
Des chercheurs ont secrètement tenté d'ajouter des vulnérabilités au noyau Linux, et ont fini par être bannis Linux : Greg Kroah-Hartman refuse les excuses via lettre ouverte des chercheurs impliqués dans le scandale des « commits hypocrites », ou d'introduction secrète de vulnérabilités au noyau La Fondation Linux veut des détails sur toutes les contributions au noyau Linux faites par l'université du Minnesota, avant qu'elle ne soit autorisée à contribuer à nouveau au noyau Linus Torvalds annonce la disponibilité de la version 5.12 du kernel Linux, elle apporte la prise en charge de l'hyperviseur ACRN et améliore l'écriture NFS Eager 
