LINUX.ORG.RU

Исследователям удалось добавить в ядро Linux уязвимый код

 ,


4

1

Исследователи из университета Миннесоты — Цюши У и Канцзе Лу в рамках исследования «небезопасности» OSS модели пытались выяснить, насколько вероятно намеренное добавление уязвимостей в проекты. Среди прочего патчи были отправлены в ядро Linux.

В результате код ревью прошли 4 патча, в том числе 3 содержащих уязвимости. Представители проекта Linux обратились с жалобой на исследование к администрации университета, однако не нашли поддержки. Потому было принято решение больше никогда не принимать патчи от людей из этого заведения.

>>> Ссылка на исследование

anonymous

Проверено: xaizek ()
Последнее исправление: xaizek (всего исправлений: 2)

Ответ на: комментарий от balsoft

Так они же умышленно внесли эти уязвимости, не для развития ядра как такового, а ради того, чтобы вскрыть проблему недостаточной компетентности при оценке вносимых изменений, что влечёт:

а) Необходимость перелопачивания кода ядра, ради вскрытия изменений внесённых по злому умыслу

б) Остро встают вопросы к разработчикам и системе управления разработкой.

AKonia ★★
()
Последнее исправление: AKonia (всего исправлений: 1)
Ответ на: комментарий от balsoft

из контекста сообщений можно сделать вывод

Нет, нельзя.

LamerOk ★★★★★
()
Ответ на: комментарий от crypt

а что ты там куда-то кого-то не отдашь миру (и мне) совершенно погоды не сделает.

  • In 2019 Minnesota was ranked 41st in the world by the Academic Ranking of World Universities (ARWU)

  • Endowment $3.87 billion (2020)

  • Academic staff 3,804

  • Students 49,148 (Spring 2020)

Посмотрим через год-два во сколько им эксперимент обошёлся.

mv ★★★★★
()
Последнее исправление: mv (всего исправлений: 1)

У нас было двадцать пять корпораций, два идеолога, один фонд сбора пожертвований, беклог, наполовину наполненный багами, и целое море разработчиков по всеми миру, а так же целый гитхаб, континиус интегрейшен, тьма автотестов и 12 независимых аудитов.

Не то, чтобы всё это было категорически необходимо при разработке, но если уж начал собирать ядро, то к делу надо подходить серьёзно.

anonymous
()

патамушта линупс давно скатился в вёдра говнокода, которые никто не хочет поддерживать ибо «не на зарплате что-бы читать чужие наколенные бредни», лучше бы подождали с камингаутом до попадания в rhel 8.4 условный, где «на зарплате» - может тогда ойбиэм бы таки озаботилась полноценной ревизией базы ядра и откукоживанием не-базы в модули

а пока - слава смелым китайцам, позор тупым банхаммер сотрясателям!

rukez ★★★★
()
Ответ на: комментарий от balsoft

это просто смотря как смотреть:) мне не пришло в голову назвать замену одной проблемы на другую починкой. в любом случае откатом коммита проблема возвращается.

crypt ★★★★★
()
Ответ на: комментарий от mv

Посмотрим через год-два во сколько им эксперимент обошёлся.

[зевнул и почесал щетину]

я лучше посмотрю, что Линус скажет. какое мне дело до универа минессоты?

crypt ★★★★★
()
Последнее исправление: crypt (всего исправлений: 1)
Ответ на: комментарий от AKonia

не для развития ядра как такового

улучшение security-процесса влияет на развитие ядра в лучшую сторону

проблему недостаточной компетентности при оценке вносимых изменений, что влечёт:

нет, совершенно нет. они не указывают на некомпетентность совершенно.

crypt ★★★★★
()
Ответ на: комментарий от mv

если таким образом ядро линукса у меня дома станет лучше, я буду благодарен этим достаточно умным «идиотам».

crypt ★★★★★
()
Ответ на: комментарий от hummer

А если серьёзно, то это наглядная демонстрация того факта, что OSS не более безопасный, чем проприетарный код.

Только у даунов это наглядная демонстрация.

anonymous
()
Ответ на: комментарий от crypt

если таким образом ядро линукса у меня дома станет лучше, я буду благодарен этим достаточно умным «идиотам».

Мы с пацанами на конфе перетрём этих идиотов за пивом, у всех улучшится настроение, линукс от этого станет лучше.

mv ★★★★★
()
Ответ на: комментарий от mv

Да мне тоже, собственно.

и китайским студентам. они просто вернутся на родину работать, как пентестеры.

я помню истории, когда промышленная вирусня использовала цифровые подписи, похищенные у корпораций. если китайским студентам удалось из сша закомитить хрень, представляю, что можно закомитить на бюджете.

crypt ★★★★★
()

Цюши У и Канцзе Лу

Герои. Линукс решето. Спасибо им за очередное доказательство.

было принято решение больше никогда не принимать патчи от людей из этого заведения.

слабаки.

fsb4000 ★★★★★
()
Ответ на: комментарий от mv

Мы с пацанами на конфе перетрём этих идиотов за пивом, у всех улучшится настроение, линукс от этого станет лучше.

да забей ты. мир не ограничен америкой. эти конфы волнуют только тебя и твоих коллег. у меня нет ни одного знакомого, кто бы там бывал. и китайцы у себя работу найдут.

crypt ★★★★★
()
Ответ на: комментарий от crypt

да забей ты. мир не ограничен америкой. эти конфы волнуют только тебя и твоих коллег. у меня нет ни одного знакомого, кто бы там бывал.

Ну, как бы, у нас в семье это жизнь: по линуксовым конференциями шариться =)

mv ★★★★★
()
Ответ на: комментарий от mv

я говорю, проблема-то глобальная на самом деле. безопасность софта держится не столько на технических проверках, сколько на доверии и организации. этот фейл с exchange... при растущей кодовой базе человек все больше и больше будет не в состоянии все отлавливать.

AI еще не начали тренировать на какие-то типовые ситуации, интересно.

crypt ★★★★★
()

Выходит, модель BSD всё-таки будет безопаснее в этом плане? В FreeBSD, если не ошибаюсь, все правки делают несколько человек, и только они могут это делать. Их избирают там на сколько-то лет … поправьте, если не прав. Но суть в том, что никакой васян извне просто так не внесёт правку в ядро.

Desmond_Hume ★★★★★
()
Ответ на: комментарий от crypt

я говорю, проблема-то глобальная на самом деле. безопасность софта держится не столько на технических проверках, сколько на доверии и организации.

А ещё - падение морали. Ещё древние греки на это жаловались.

mv ★★★★★
()
Ответ на: комментарий от Desmond_Hume

ну скандал же с VPN только недавно был. совершенно никакой разницы. поменьше кодовая база разве что.

crypt ★★★★★
()
Ответ на: комментарий от mv

Ох, чуваки попали…

Да не, ничего с Linux не случится. Накрайняк Линус отбрехается)

devl547 ★★★★★
()

Интересно, а Патрик Фолькердинг может поэтому не бросает так долго свой проект, зная об этой проблеме? Если так, то Slackware имеет самое безопасное ядро/ПО. Круто, если так. Всегда уважал этот дистр.

Desmond_Hume ★★★★★
()
Ответ на: комментарий от balsoft

Патч действительно должны перепроверить и в список рассылки выслать результат, был ли он вредоносным или нет. Очень важно, чтобы это подтвердили публично.

Косвенное доказательство, что коммит не вредоносный (или не относится к этому исследованию): в исследовании написано:

We submit the three patches using a random Gmail account to the Linux community and seek their feedback

Судя же по https://www.lkml.org/lkml/2019/3/19/887:

Signed-off-by: Aditya Pakki pakki001@umn.edu

Ещё очень важный момент из исследования:

In all the three cases, maintainers explicitly acknowledged and confirmed to not move forward with the incorrect patches.

То есть даже если коммит и был сделан, то ответственность после этого уже на мейнтейнерах, а не на исследователях.

anonymous
()
Ответ на: комментарий от balsoft

Всё правильно они сделали, остановись они на пол пути, можно было бы сказать «а мы бы в стэйбл не пропустили», когда АНБ будет патчи подобные включать в ядро, на кого и куда жаловаться будут?

zshfan
()
Ответ на: комментарий от mv

Ты переоцениваешь влияние рынка. Поклонники MMT («magic money tree» theory или как некоторые её по недоразумению называют «modern money theory») уже в фед. резерве. Их ставленник в овальном офисе. Напечатают $$$ и отсыпят синему региону, какой вопрос вообще.

anonymous
()
Ответ на: комментарий от mv

А ещё - падение морали.

ну, греки, положим, не жаловались. не знаю, может, эту проблему тоже надо как-то подтвердить экспериментом. а то, может, и не проблема даже.

crypt ★★★★★
()

Исследователи шли по улице и раздавали прохожим тумаки, чтобы проверить, какой процент популяции сможет увернуться. Широкой общественности может быть интересно то, что местный шериф, получив пощечину, ударился в слезы и начал звать маму. Правда потом, проплакавшись, отбил исследователям почки, но к этому они должны были быть готовы.

С одной стороны, для широкой общественности знание об уязвимости обладает большей ценностью, чем нанесенный коммюнити ущерб. С другой, право что-то проверять и требовать должно быть пропорционально размеру донатов…

Zeta_Gundam
()
Последнее исправление: Zeta_Gundam (всего исправлений: 1)
Ответ на: комментарий от mv

подтвердить экспериментом.

например, следующая новость на лоре: на пьяной вечеринке спуфингу удалось добавить свой уязвимый ДНК-код в будущее человечества. является ли падение морали проблемой для линуксоида?

crypt ★★★★★
()
Последнее исправление: crypt (всего исправлений: 1)
Ответ на: комментарий от Desmond_Hume

Я обратил внимание, что там ядро очень долго задерживается, его крайне редко обновляют.

тогда тебе на RedHat надо. я еще на 2.6.32 сижу вот прям сейчас.

crypt ★★★★★
()
Ответ на: комментарий от balsoft

Все они правильно сделали. Не хватало ещё с авторами устаревшего при рождении жирноведра что-то обсуждать.

anonymous
()

хах, типикал китайцы.

но ревью надо проводить внимательнее, конечно.

anonymous
()
Ответ на: комментарий от Zeta_Gundam

Правда потом, проплакавшись, отбил исследователям почки аннулировал их клубную карту в боулинг.

crypt ★★★★★
()
Ответ на: комментарий от crypt

улучшение security-процесса влияет на развитие ядра в лучшую сторону

Нет, т.к. вы не разделяете конечный продукт от разработчиков - в «здоровом теле здоровый дух», а качественная разработка, возможна только при компетентных разработчиках, но тут имеется чёткая иерархия - разработчики влияют на ядро намного больше, чем ядро на разработчиков и данное исследование демонстрирует, что с слоем контроля качеством всё не так уж хорошо.

нет, совершенно нет. они не указывают на некомпетентность совершенно

Как раз указывают, т.к. иначе бы в ядро впускали бы все подряд изменения, если этого не происходит, то значит есть какой-никакой контроль качества, который несколько недоработал, возможно и не критично, но всё же это показывает сколь хрупка безопасность ядра в текущий момент и тут либо улучшить контроль качеста, либо менять модель разработки и например уменьшить жирность изменений, которые порой могут быть 100+ т.строк текста.

AKonia ★★
()
Ответ на: комментарий от Desmond_Hume

Исследователям удалось добавить в ядро Linux уязвимый код (комментарий)

пока решения нет. чем меньше кода - тем меньше проблем. => OpenBSD. но и функционала меньше.

может, на rust начнут больше писать.

crypt ★★★★★
()
Ответ на: комментарий от torvn77

ну шо ты меня-то спрашиваешь?:) не ява хотя бы) у касперского с его ОС для станка спрашивай)

crypt ★★★★★
()
Ответ на: комментарий от Desmond_Hume

Новость прям огорчила, не ожидал …

ты не расстраивайся. смотри на это, как на цирк, и поменьше сиди за пк, побольше в реальной жизни. а в софте лишь бы явных закладок не было, как у m$.

crypt ★★★★★
()
Последнее исправление: crypt (всего исправлений: 1)
Ответ на: комментарий от Korchevatel

Какой ужас! Учебное заведение в опале у разработчиков постоянно развива..мутирующего ведра! Как им теперь жидь!?

anonymous
()

думаю в теме уже сказали - такое исследоание не имеет смысла, кроме громкого заголовка и сбора лайков в соцсетях ничего не несет…

добавить вредоносный код очень просто, куда угодно в любой ОСС проект, но код найдут рано или поздно и будут сделаны выводы на основе полученного ущерба

анонимных патчей в ядро не принимают, количество людей кто шлет патчи в лучшем случае сотни в месяц, и получат пожизненный бан после отправки вредоносного кода, и клеймо на свое ФИО…

исследование не имеет смысла, патчи шлют реальные люди и отвечают за качество своего кода, и количество реальных людей очень мало, и «новых» просто начнут проверят еще сильнее

svv20624
()
Ответ на: комментарий от zshfan

остановись они на пол пути, можно было бы сказать «а мы бы в стэйбл не пропустили»,

Лорчую

anonymous
()
Ответ на: комментарий от crypt

если таким образом ядро линукса у меня дома станет лучше,

Не станет и вот по какой причине, имхо в конечном итоге код ядра поделят на несколько кругов, от внутреннего к наружному:

  1. Код без которого никак.
  2. Виртуальные машины, security, всё что используют хостеры сайтов, биржи и банки.
  3. ответственные технические пременения, такие как кластерные вычисления и всякие рабочие станции(Amdgpu, opencl).
  4. Бытовое иимедийное применение: игры, работа со звуком, vulkan браузеры и т.д.(vulkan, alsa и пр.)
  5. одно слово: зоопарк.

Как не сложно догадаться внимание к коду будет всё более спадать от первого круга к более старщему вплоть до полного пофигизма в пятом и твой домашний компьютер будет в лучшем случае в четвёртом, а может и в пятом.

torvn77 ★★★★★
()
Последнее исправление: torvn77 (всего исправлений: 2)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.