道歉无用,被 Linux “拉黑”的明尼苏达大学还在努力重获信任

CSDN2021-05-07
在经历道歉、配合调查等一系列努力之后,近日 Linux 社区还是给了明尼苏达大学“重获信任”的希望:如果学校能提高其”汇入 Linux 内核代码的质量”,或许 Linux 社区就会恢复与明尼苏达大学的合作。

编者按:本文来自微信公众号“CSDN”(ID:CSDNnews),整理:郑丽媛,36氪经授权发布。

上个月,“Linux 拉黑明尼苏达大学(UMN)”事件在开发者圈内引起了轩然大波:明尼苏达大学 Kangjie Lu 教授带领的研究团队因故意向 Linux 引入漏洞,导致整所大学被禁止参与 Linux 内核开发。(详情可查看:为了写论文给 Linux “投毒”,导致整个大学都被 Linux 拉黑!

这对于明尼苏达大学而言,无疑是一场灾难,在被“拉黑”之后校方也公然表示已暂停该研究并尽快调查。所幸,在经历道歉、配合调查等一系列努力之后,近日 Linux 社区还是给了明尼苏达大学“重获信任”的希望:如果学校能提高其”汇入 Linux 内核代码的质量”,或许 Linux 社区就会恢复与明尼苏达大学的合作。

涉事人员公开致歉,Linux 社区并不原谅

起初,在事情还未进行到“拉黑”这一步时,涉事学生 Aditya Pakki 还硬怼了 Linux 内核维护者 Greg Kroah-Hartman 一通,称他的怀疑是“近乎诽谤的疯狂指控”。

可在整所学校都被 Linux 禁止参与内核开发后,或许是意识到事情闹大了,Kangjie Lu 教授以及涉事学生 Qiushi Wu 和 Aditya Pakki 联合署名发表了一封致 Linux 内核社区的公开道歉信:“对于我们的研究小组对 Linux 内核社区造成的任何伤害,我们深表歉意。”

在这封致歉信中,该研究小组承认了实验方式的错误:“我们非常抱歉。Hypocrite Commits 论文中使用的方法是不恰当的。”他们也承认没有事先与 Linux 社区进行协商并取得同意,对此他们的解释为:如果提前告知的话,Linux 维护者就会格外注意他们提交的补丁,从而影响研究结果。

研究小组在信中一直强调,他们并不是真的要伤害社区:“虽然我们的目标是提高 Linux 的安全性,但现在我们明白了,让社区成为研究对象,并在其不知情或未经允许的情况下浪费大家的精力审查这些补丁,是对社区的伤害。我们只想让大家知道,我们绝不会故意伤害 Linux 内核社区,也绝不会引入安全漏洞。我们的工作是抱着美好的目标进行的,实验都是为了寻找和修复安全漏洞。”

此外,对于其他来自明尼苏达大学的补丁,涉事人员在信中表示它们与 Hypocrite Commits 事件无关,都是善意的、真诚的。研究小组在最后还表示将在未来“做得更好,还有很多贡献,并将努力工作以重新获得信任”。

不过,这种显然违背了开发者之间信任的行为,并非公开道歉就可以解决的,因而 Linux 社区对他们的致歉并不接受,Greg Kroah-Hartman 对此回应道:

“如你们所知,Linux 基金会和 Linux 技术顾问委员会已于 4 月 23 日向贵校递交了一封信,概述了为了使贵组和贵校能够重新获得 Linux 内核社区的信任而需要采取的具体行动。在你们采取这些行动之前,我们没有任何关于这个问题进一步讨论的必要。”

彼时,对于 Greg Kroah-Hartman 所说的“这些行动”外界还不甚了解,不过从昨日 Linux 技术顾问委员会发布的对明尼苏达大学补丁全面检查的结果报告中,我们或许可以窥见一二。

重获信任的唯一途径

据 Linux 技术顾问委员会的结果报告,来自明尼苏达大学的 435 个提交均被重新审查过,其中“绝大多数的提交都是没有问题的”。

不过还是有 39 个提交是不正确的,需要修复;有 25 个提交存在漏洞,不过已经由后面的提交修复了;有 12 个提交有问题,不过现在看来不是很重要;还有 9 个在 Kangjie Lu 教授的研究团队成立之前就存在的漏洞提交,其中有一个已经根据其作者的要求进行了删除。

此外,报告还发现,5 个故意提交的恶意漏洞补丁是用两个假身份提交的,这违反了向 Linux 内核贡献代码的明文要求。对此,Linux 技术顾问委员会推测,明尼苏达大学似乎允许研究人员在签署提交的时候使用伪造的身份。

虽然在这次全面审查中,Linux 技术顾问委员会没有在明尼苏达大学的提交中发现新的漏洞,不过内核开发者还是觉得必须进行大量的审查。正如 Greg Kroah-Hartman 所说的:“我们被要求要彻查到底。”因为无论可能性有多小,漏洞代码都有可能被故意放入程序中。

与此同时,明尼苏达大学也积极配合 Linux 技术顾问委员会的调查及要求,全面披露了每个人的行为以及 Hypocrite Commits 项目的实现过程。

Linux 技术顾问委员会也分别对 Linux 社区和明尼苏达大学给出了相应的处理方案:

对 Linux 社区:“Linux 技术顾问委员会将与研究人员共同创建一个文档,解释在与内核(和一般的开源项目)一起工作时所有研究小组应遵循的最佳规范。”

对于明尼苏达大学,由于该大学失去了 Linux 社区的信任,因此Linux 技术顾问委员会要求明尼苏达大学与许多公司和其他研究组织一样:

“选定一组经验丰富的内部开发者,对提议并入内核的代码在公开提交之前对其进行审查并提供反馈。这样会使社区不再需要反复提醒开发者基本规范,例如遵守编码标准和全面测试补丁,以此产生更高质量的补丁,在内核社区中遇到的问题会更少。”

目前看来,这或许也是明尼苏达大学逃离 Linux “黑名单”的唯一途径,在此之前,明尼苏达大学的提交还是不受 Linux 社区的待见。

信任的打破只需一个谎言,重获信任却需要付出无尽的努力。望各位开发者以此为戒,切勿重蹈覆辙。

参考链接:

https://www.zdnet.com/article/linuxs-technical-advisory-board-reports-on-the-umn-hypocrite-commits-patches/

https://lkml.org/lkml/2021/5/5/1244

+1
5

好文章,需要你的鼓励

参与评论
登录后才能参与讨论哦...
后参与讨论
提交评论0/1000

请回复有价值的信息,无意义的评论将很快被删除,账号将被禁止发言。

文章提及的项目

下一篇

营收大幅缩水,净利润同样不容乐观。24家中,有19家公司在2020年净利润为亏损,亏损率接近80%。其中万达

2021-05-07

36氪APP让一部分人先看到未来
36氪
鲸准
氪空间

推送和解读前沿、有料的科技创投资讯

一级市场金融信息和系统服务提供商

聚焦全球优秀创业者,项目融资率接近97%,领跑行业