ミネソタ大からLinuxに送られた脆弱性を含む貢献の件

Greg K-H @gregkh Linux kernel developers do not like being experimented on, we have enough real work to do: lore.kernel.org/linux-nfs/YH%2… 2021-04-21 17:27:05 Yoshimasa Niwa @niw ミネソタ大学がLinuxから追放された模様... “I will now have to ban all future contributions from your University and rip out your previous contributions” lore.kernel.org/linux-nfs/YH%2… 2021-04-22 01:24:20

[mori99]

消防署の体制についての論文を書くために、消防署にいたずら電話したようなものか。これを許せば同じ事をする多数に対応する必要が出るので、それは、激怒するわな

[cad-san]

人を見たら実験材料と思うようなタイプの人間はOSSのコミュニティーからは退場していただく必要があるとは思う。

[t-tanaka]

こういう行為を事前にに止めようとする仕組みを作るのはコストパフォーマンスが悪い。見つけ次第，今回のような厳重な措置をとる，というの正しい対処だと思う。徹底的にやるべき。

[takeim]

羽田空港の脆弱性示すためにハイジャックした輩がいたな。アメリカ同時多発テロより前のことだったか

[ysync]

ossはforkした上で自分で何かする分には自由だろうけど、linux foundationに対する業務妨害はダメやろ。法人に人権は無いと考えるのも一つの解釈かもしれんが対応するのは人やぞ。

[ryuichi1208]

“ミネソタ大からのアクセスを検知したらバックドアを仕込んだカーネルをダウンロードさせるんだ。そしてミネソタ大が気がつくか実験して、後に論文を書く。” すごい発想💡

[houyhnhm]

いやまあ脆弱性を含むコードをpushしてきたメンバーがいるところのコードを戻すのは仕方ないんじゃないかな。そこも含めてこういうケースの対応なんだから。

[rxjun]

開発者の善意によって成り立つOSSに対して故意に脆弱性を送り込むってコミュニティーの存在意義を揺るがしかねないのでは。

[table]

社会学っぽい。再現どころか実験さえできない研究分野がある事はもっと一般化されて欲しい。ありがとうミネソタ大、さよならミネソタ大

[findup]

生半可な対応で済ますと、それこそどこかの国のサイバー攻撃部隊が本気で入れ込みに来るみたいな可能性まで考えざるを得なくなるのでは。

[tattyu]

これ気が付いたのって実際論文が出たからで「多くの目があれば大丈夫」だった訳じゃないので論文書かない悪意あるコミッターがいたら防げないよね。OSSで善意に頼った運用の限界の壁はあると思う。

[b4takashi]

大学としても一旦認めちゃった形なのか

[flont]

ボロボロだった一時期のOpenSSLあたりにやったら、ソーカル事件のような評価になったかもしれない

[Lat]

大学ごとBANは当然の反応かな。／逆にそれっぽい出鱈目な論文の査読を依頼して、大学の査読制度を研究の対象として論文を書いたとか言われたらブチ切れるでしょ。読むだけじゃ終わらず文献を確認したり検証するので。

[togetter]

大学側がOK出しちゃったか...こういうバグは外部だから見つけられたのかもしれないけど、危険な行為だよね。

[doroyamada]

バリアフリー化が遅れていることを示すために無人駅で乗降しようとした人を思い出した。

[kako-jun]

ダイハード4.0のガブリエル。追放された確信犯はテロリストへ……

[yyamano]

ソーカル事件との違いは何だろうか。対象が正しいと思えるかどうかでこのような行為に対する印象が変わる？

[volx]

倫理を取っ払ったらどれくらいの速度で技術進歩がなされるのかの研究かな？

[kazkun]

これ、OSS界隈から追放レベルたな。

[zgmf-x20a]

ヒトでなくても倫理的にどうかとなるわな。

[hatest]

脆弱性を含む貢献じゃなくて、たちの悪いいたずらだろ

[mimosafa]

怖い

[maninthemiddle]

“そのオープン性で繁栄したがすべてのパッチを精査するのは困難であり攻撃の余地がある”までは分かるとして、 ”ここでは実験としてLinuxl Kernelを攻撃対象とする” いきなり総本山のコアにミサイルぶち込むのドン引

[programmablekinoko]

Linusが多少丸くなったとは言え過酷なレビューで知られるLKMLでこんな事をするとは命知らずな・・・

[yujimi-daifuku-2222]

広義の脆弱性ではあるけれど、基本無料のコミュニティに悪意のユーザーを前提としたガチガチの精査、管理体制が馴染むかというとちょっとな。

[uunfo]

20年ほど前あるメーリングリストで訳の分からない発言で議論をかき回した人が社会学の実験としてやった、論文の素材をありがとうみたいなことを言ってたのを思い出した／ソーカル事件も／最後まで読むと印象が変わる

[mas-higa]

Ruby gems にも偽 gem 登録して、どれくらいダウンロードされるか研究してたヤツいなかったっけ?

[urandom]

研究倫理が軽視されるならもはや普通に攻撃するのと変わらない。/ ただ、Linuxカーネル開発プロセスの堅牢性が示されたという“成果”はあった

[m_insolence]

筆頭著者のFAQでは論文発表前にLinuxコミュニティに報告してるとのことだったのに何故こんなことにと思ったら最後のほうに纏められてた。吊し上げられてアジア人差別までくらってる筆頭著者が不憫。

[mobanama]

"この1件Junior PhDの外部とのやり取りは全部Reviewしましょうという教訓な気がする"他人ごとではないな

[minamihiroharu]

企業がセキュリティーチェックのために、外部のコンサルに侵入を試みてもらう、ってのに近いような気がするが、開発コミュニティーに伏せて実施して論文書いてウマーってなったら、それはブチギレ案件になるかもなあ

[knok]

「OSS projects would be suggested to update the code of conduct, something like “By submitting the patch, I agree to not intend to introduce bugs”」これは「ふざけるな」といわれてもやむなし。CoCのスコープじゃないだろう

[momonga_dash]

OSSってストレス溜まりそう

[babelap]

研究倫理って何？　みたいな人らは退場してもらわんと

[wata88]

ここのチーム、前にも怒られてたのに、懲りずに今度はLinuxを攻撃してきた。退場願いたい

[tyoro1210]

『後続研究で問題あるパッチ送り続けたのとAditya氏の態度でブチ切れた』槍玉にあがってる論文自体は問題化してなかったみたいだし、後続の話しが気にはなるけどMLまで追っ掛ける気にはならんな

[zyugem]

ヒトを対象とした研究に該当しそうだな

[njamota]

信頼にもとづくシステム構築の利点は効率化で、悪意はこれを毀損する。信頼と貢献が快感で悪意には嫌悪を感じるのは、この事態を抑制するため。これらの感情は事態を動かすエージェントで動機は経済的理由。

[JULY]

結果、Linux kernel のコミュニティは、結構、しっかりしている事が分かった。