Vlákno názorů k článku
Minnesotská univerzita nesmí přispívat do linuxového jádra, úmyslně vkládala chyby od BobTheBuilder - No, byla to akce dvou doktorandů - nápad...

No, byla to akce dvou doktorandů - nápad ne šťastný, ale reakce je snad ještě horší: odmítnutí všech příspěvků lidí s adresou @umn.edu - to jako fakt?
Zpětně zahodí 230+ příspěvků i z minulosti - jsou to příspěvky těch dvou, nebo kohokoliv z UMN?
Otázka, na kterou ti dva doktorandi chtěli získat odpověď, totiž, zda projde vadný příspěvek do kritického kódu tak úplně nemáme, kromě toho, že se zjevně Kroah-Hartman urazil.
Ta otázka je ale zcela legitimní: prochází opravdu veškerý kód přísnou kontrolou?
Pokud odpověď není naprosto jednoznačné ANO, VŽDYCKY, tak to silně smrdí. A přemrštěná reakce Korah-Hartmana budí podezření, že to tak být nemusí.

Prej nemůžu upravovat, tak edit tady:
"Členové tohoto ústavu totiž v minulosti úmyslně posílali kód s bezpečnostními chybami a dalšími problémy."
Četl jsem to ráno jinde, a tohle tam ještě nebylo. Pokud je to tak, drsnější reakce je na místě, ale blokovat podle @umn.edu? Spíš měli vznést oficiální stížnost na vědeckou radu (IRB), aby jim takové blbiny zatrhli.
A navíc přetrvává, pokud chtějí 230+ příspěvků (zpětně) vyhodit, proč? Protože jsou vadné a přesto prošly, nebo jako akt odplaty? Něco je špatně v obou případech.

IRB neni vedecka rada ale eticka rada. Ze to pres ne proslo je trochu smutne, ale nutno rict, ze vetsinou resi trochu jinou sadu problemu. Takze k otazce "jak moc je deravy code review proces linuxu" muzeme pridat i otazku "jak moc deravy je ethical review proces na univerzitach".

Jinak tech 230+ commitu AFAIK ma byt zahozeno a znovu zkontrolovano. Tezko je to pomsta tem, kteri je poslali, protoze je to prace navic (review a pripadne nahrada jinym kodem) pro ostatni vyvojare kernelu.

No je to každopádně zajímavá věc, která částečně odpovídá na argument, že výhodou open-source je to, že vždycky máte zdrojáky a můžete si ověřit, že nejsou děravé/škodlivé. Kolik miliónů řádků kódu že to má Linux? A kdo na téhle planetě dá ruku do ohně za to, že ten kód je pořád ze 100 % v pořádku. Zjevně nikdo a represe G K-H proti jedné univerzitě (jakkoli je člověk může chápat) nic nemění na tom, že Linux je prostě už příliš velký projekt.

No je to každopádně zajímavá věc, která částečně odpovídá na argument, že výhodou open-source je to, že vždycky máte zdrojáky a můžete si ověřit, že nejsou děravé/škodlivé.

Nikdo za to ruku do ohně nedá. Případy dlouho se vlekoucích a zároveň docela triviálních chyb tu už byly, otevřenost kódu tomu nezabrání.

Tento experiment spíš ukázal, jak je jednoduché udělat záměrné chyby. Být vládou země s velkými prostředky, tak zafinancuju (prostřednictvím nějaké firmy, nebo třeba i školy - záleží na situaci v té zemi) vývoj pro Linux. Takový tým je schopný dlouho přispívat velmi přínosně, ale taky tu a tam zanést drobné chyby (aby nebyl viditelný záměr). V případě krize, dá se přiostřit a risknout zanášet i větší a významnější chyby. To je dopředný proces: vymyslet kombinaci chyb, aby vznikla zneužitelná zranitelnost je řádově jednodušší, než zpětně odhalit a uvidět tu komplexitu.

Etičnost experimentu je relativní. Ano, je možné plísnit Minesotskou univerzitu, protože se etika výzkumů posuzuje a univerzity ji berou vážně. Na druhou stranu, toto mohl udělat kdokoliv, kdo žádné ohledy nemá a nebylo by koho plísnit.

Ja to teda vidim v jinem svetle - nekdo zkousel skodit (at uz byl umysl jakykoliv), a prislo se na to, verejne se o tom mluvi a resi se to.

Jo, blbě jsem to spojil. IRB ovšem rozhodovala ve smyslu, že se to netýká vztahů k lidem, takže jí to nepřísluší a proto nic nenamítá.
Je to fakt spíš na vědeckou radu (ale jak to mají v USA, to nevím).
Ať tak nebo tak, celou univerzitu odstřihnout - no, když vidím, co dělají někteří doktorandi na své triko... Jenže to má i druhou stránku věci: pokud doktorand bude smět dělat jen to, co mu někdo schválí, zabije to tvůrčí iniciativu. Ano, tady ta iniciativa byla pochybná (resp. měli toho po nějakých pokusech nechat).
"Jinak tech 230+ commitu AFAIK ma byt zahozeno a znovu zkontrolovano."
Takže (advocatus diaboli) to znamená, že se commity dostatečně nekontrolují? Ale jo, chápu, že jsou tyhle commity teď podezřelé, je otázka, jestli šmahem všechny.
Jádro Linuxu je kritický software, závisí na tom příliš mnoho věcí všude - odpovídá tomu úroveň kontroly kódu a všechno, co s tím souvisí?

Analogicky, mozna se Microsoft nejdriv mohl domluvit s lidma co vyvyjeji spyware a viry apod, aby toho zanechali a pak az po nejake dobe by je mohl detekovat a blokovat, ze?

No, byla to akce dvou doktorandů - nápad ne šťastný, ale reakce je snad ještě horší: odmítnutí všech příspěvků lidí s adresou @umn.edu - to jako fakt?
Není to třeba tlak na univerzitu, aby přijala etické standardy běžné v naší kulturně-civilizační oblasti?

Ta otázka je ale zcela legitimní: prochází opravdu veškerý kód přísnou kontrolou?
Pokud odpověď není naprosto jednoznačné ANO, VŽDYCKY, tak to silně smrdí.
Co se stane, až zjistíte, že to tak není? Začnete tu přísnou kontrolu dělat sám? Zaplatíte někoho, aby ji dělal?

Připadá mi trochu zvláštní klást takový důraz na otázku, na niž je jednak odpověď všeobecně známá, a za druhé ať se na ní odpoví jakkoli, pr vás se tím nic nezmění.

> Není to třeba tlak na univerzitu, aby přijala etické standardy běžné v naší kulturně-civilizační oblasti?

Myslíš ty samé standardy, které ničí každý pořádný sociální výzkum? Nebo ty, kvůli který se nesmí říkat mater slave nebo blacklist? Nebo ty standardy, které umožnily ničit lidské životy?

Nevidím nic neetického na tomto výzkumu, problém je spíše v realizaci - udělali nepořádek, tak ho měli po sobě uklidit. Před publikací seznámit linuxovou komunitu s tím, ze proběhl výzkum, zde jsou chyby, které jsme zanesli a jejich oprava (případně exkluzivně výsledky pro komunitu vývojářů jádra). Až to bude opravené, tak publikujeme výsledky studie.

Co se stane, až zjistíte, že to tak není? Začnete tu přísnou kontrolu dělat sám? Zaplatíte někoho, aby ji dělal?

Nic jiného, než že se bude k bezpečnosti OSS přistupovat realisticky. Možná trochu pozhasne aura očekávání bezpečnosti u OSS, ale spíš tipuji že se nestane vůbec nic. Profesionálové si netvoří přehnané iluze, takže pro ně to velké překvapení není.

Co se týče té etické stránky, to není o tom, jestli se smí takový výzkum provést. Neetické by bylo, kdyby se dal stejně kvalitní výsledek získat bez ohrožení ostatních. Pokud bylo správně vyargumentováno, že je toto jediná možnost, a bylo s patřičnou péčí zajištěno, aby nedošlo ke skutečnému ohrožení ostatních, pak na výzkumu nic neetického neshledávám.

To, že se tím někomu zbořily iluze není neetické.

Ne, to, že výsledek nejde získat jinak, opravdu není omluva pro ohrožení ostatních. (Navíc ten výsledek jinak získat šlo.)

Pokud mi něco neuniklo, tak oni poslali patch, který něco skutečně opravil, ale zároveň splnil podmínku pro využití (jiné) chyby. V okamžiku, kdy dostali první souhlas, napsali, že je to špatně - takže se to nedostalo do Gitu. Otravovali, ale neohrožovali.
Jenže se ukázalo, že takový záludný patch má šanci projít, a to by mohl být skutečný problém. Přes nastrčeného agenta to může dělat třeba armádní oddělení vím já, severokorejské nebo čínské. Nebo jen někdo z nějakých divných důvodů - viz třeba skotská wikipedie: https://www.theguardian.com/uk-news/2020/aug/26/shock-an-aw-us-teenager-wrote-huge-slice-of-scots-wikipedia

Blbnete. Oni ve skutečnosti nikoho neohrozili, bylo to pod kontrolou. Naopak ukázali na obrovskou slabinu, která by všechny ohrozit mohla!