לפני כמה ימים אירוע חריג התרחש, אשר זעזע את קהילת ליבת לינוקס, וזהו לינוס טורוואלדס הורה על השעיה מיידית של חשבונו של קיס קוק באתר kernel.org., לאחר זיהוי קיומם של קומיטים שעברו מניפולציה במאגר Git של מפתח זה.
קיס קוק, זכה להכרה על מנהיגותו בצוות האבטחה של אובונטו ולתחזוקה של יותר מתריסר תת-מערכות הקשורות לאבטחה של הליבה, נאסר זמנית עליה להגיש שינויים עד להבהרת העובדות.
שינוי כותבים וחתימות במאגר Kees Cook
הבעיה נבעה מבקשת שינוי התאגדות.s לענף הליבה 6.16, שבו לינוס זיהה הפניות למאגר שהכיל קומיטים שעברו מניפולציה עם את שמו כמחבר ומאשר, למרות שלא ביצע אותם בעצמו. אחת הדוגמאות החמורות ביותר הייתה קיומו של קומיט כפול, זהה בתוכנו למקור אך עם גיבוב SHA1 שונה, שכלל באופן שקרי את חתימתו של לינוס טורוואלדס.
השינויים האלה לא ניתן לייחס זאת רק לטעות מקריתl במהלך פעולת ריבייס של git, מכיוון שהם כללו שינויים מסיביים של מידע רגיש, כולל מעל 6.000 קומיטים שנכתבו מחדש, כאשר 330 מהם נושאים את שמו של לינוס כמחבר.
תגובתו של טורוואלדס: חשדות למניפולציה מכוונת
לינוס טורוואלדס לא הסתיר את דאגתו ותיאר את האירועים כבעלי פוטנציאל זדוני:
"כתיבה מחדש אחת או שתיים יכולה להיות טעות. אבל אלפים מהם, רבים מהם עם חתימתי המזויפת, אינם כאלה", הצהיר.
בהתחשב בגודל השינויים ובסיכון לשלמות עץ הליבה הרשמי, טורוואלדס שאל את קונסטנטין ריאביצב, מנהל תשתית kernel.org, qלחסום את הגישה של קיס קוק עד להבהרת המצב.
בתגובה, קיז קוק הסביר כי היו לו בעיות טכניות לאחרונה שיכול היה להוביל לאירוע. הוא אמר, כונן ה-SSD שלך חווה שגיאות במהלך פעולות העתקה, מה שגרם לפגיעה במספר מאגרים. לאחר שגיאות אלו, הוא ניסה לשחזר את מצב המאגר שלו באמצעות git rebase וכלי אוטומציה שונים.
עם זאת, פעולות אלו בוצעו על ענפים קריטיים, כגון for-next/hardening ו- for-linus/hardening, אשר הובילו לשינוי מקרי של היסטוריית המאגר, כולל שינוי ביצירת ה-commits. למרות ההסבר שלו, לינוס היה סקפטי.:
אני לא מבין איך עקיפה מקרית יכולה לקרות, קל וחומר עם כמות כזו של שינויים."
האשם האמיתי: git-filter-repo וטריילרים של b4
בהודעה מאוחרת יותר, קיס קוק זיהה את מקור הטעות הסבירשימוש משולב בשני כלים, טריילרים של git-filter-repo ו-b4, אשר מניפולציות בהיסטוריית ה-commit וקדימונים (תגיות כמו Signed-off-by:) ב-commits.
שימוש לא נכון זה מהרווחים היה גורם לכתיבה מחדש אוטומטית של אלפי קומיטים, כולל החלפת המחבר בערך ברירת המחדל (במקרה זה, לינוס טורבאלדס), בלי שקיס שם לב לטעות באותו זמןקונסטנטין ריאביצב, מחבר כלי b4, אישר תיאוריה זו וטען כי לא הייתה כוונה זדונית מצד קוק. למעשה, המערכת כבר יצרה אזהרות שהתעלמו מהן.
לאחר שהמצב הובהר, גישתו של קיס קוק ל-kernel.org שוחזרה. כאמצעי מניעה, הוכרז כי הכלי b4 יכלול בדיקת אבטחה חדשה, זה ימנע מעתה והלאה שינוי של פקודות קומיט שהכותרות שלהן אינה תואמת את זהות המשתמש הנוכחי. זה נועד למנוע שגיאות דומות ולהגן על שלמות קוד המקור של הליבה.
קיס, מצידו, התחייב לשחזר את הענפים שנפגעו. מטלאים בודדים ולנתח לעומק את השלבים שהובילו לשגיאה. למרות זאת התקרית גרמה למתיחות ביחסים בתוך הקבוצה פיתוח ליבה, הדגיש גם את החשיבות של שימוש בכלי שכתוב היסטוריה בזהירות, במיוחד בפרויקטים קריטיים כמו ליבת לינוקס.
לבסוף, ראוי לציין כי תקרית זו בין לינוס טורבאלדס לקיס קוק משמשת כאזהרה לגבי הסכנות הטמונות במניפולציה של היסטוריית התחייבויות וכי בזכות ההתערבות המהירה מהאחראים על kernel.org ועל שקיפות התהליך, המצב הובא תחת שליטה.
לבסוף, אם אתם מעוניינים ללמוד עוד על כך, תוכלו לבדוק את הפרטים הבאים קישור