Commit malevoli nel kernel Linux?

Linux sta prendendo piede rispetto a Windows nel nuovo decennio. La tendenza è già iniziata una decina di anni fa, a dire il vero, ma ora è Linux la star e Windows solo una vecchia gloria.
Per questo motivo abbiamo assistito anche all’aumento del malware per la piattaforma del pinguino ed è noto che vi sia chi cerca di far inserire codice malevole nel kernel Linux.

Perchè? Non ci vuole molto a capire a dire il vero.

Ieri Greg Kroah-Hartman, probabilmente il secondo sviluppatore più famoso del kernel Linux dopo Linus, ha vietato all’Università del Minnesota (UMN) di contribuire al progetto del kernel Linux open-source.
Kroah-Hartman ha anche deciso di annullare tutti i commit inviati da qualsiasi indirizzo email UMN fino a quel momento.
Lo sviluppatore scrive che: “È stato riscontrato che i commit dagli indirizzi @umn.edu sono stati inviati in ‘malafede’ per provare a testare la capacità della comunità del kernel di rivedere le modifiche ‘note dannose’.”
Continua poi con: “Per questo motivo, tutti le richieste di modifica da questo gruppo devono essere annullate dall’albero del kernel e dovranno essere riesaminate per determinare se sono effettivamente una soluzione valida.”
“Fino al completamento del lavoro, [rimuoveremo] queste modifice per garantire che non vengano introdotti problemi nella base di codice”, ha affermato in seguito Kroah-Hartman in una serie di e-mail pubblicate.

Riferimento: https://lore.kernel.org/lkml/20210421130105.1226686-38-gregkh@linuxfoundation.org/

L’anno scorso, dei ricercatori dell’UMN avevano compilato un documento dettagliato in cui affermavano che l’obiettivo di una ricerca era quello di migliorare la sicurezza del processo di applicazione delle patch nel software open-source dimostrando che è possibile inviare delle patch che introducono bug.
I ricercatori hanno anche affermato che la proposta di una patch è stata fatta tramite scambi di posta elettronica e il rimedio non è mai stato inserito in alcun ramo di codice o nel kernel Linux.
I ricercatori hanno chiesto sinceramente scusa ai manutentori di Linux per aver fatto sprecare loro tempo nella revisione delle patch “dannose”, aggiungendo che: “Avevamo considerato attentamente questo problema, ma non siamo riusciti a trovare una soluzione migliore in questo studio”.

Brad Spengler, Presidente di Open Source Security Inc. ha valutato la questione, definendo questa una “reazione eccessiva” da parte dei manutentori del kernel Linux.

Spengler fa notare che molte persone, incluso lui stesso, avevano denunciato le sospette richieste di patch ai manutentori di Linux l’anno scorso, ma che non è stato fatto molto prima dell’invio in blocco di queste richieste.