华人教授涉嫌向Linux内核提交恶意代码，所在大学被整个列入黑名单

不懂就问,为什么要给linus提供patch? 对提交者的益处有哪些? Ban UMN 对UMN的伤害是什么?
ruoshuifushui 发表于 2021-04-22 16:07

这个问题可以问问华为老任和腾讯小马。 在Linux基金会董事会， 华为腾讯各有一席， 而且华为腾讯也是Linux基金会的白金赞助者. 现在国内厂家单位削尖脑袋钻美国开源社区（还有Apache基金会等等）。 Linux Foundation Members - Linux Foundation
对UMN， 上次教授拉皮条是各人行为， 这次是学校系里的项目。 UMN得给个各方满意的结果， 否则学校声誉受损。

回复 393楼bud的帖子
谢谢了. 看了link, 单位很多. 看来此事引出了个大问题.

不懂就问,为什么要给linus提供patch? 对提交者的益处有哪些? Ban UMN 对UMN的伤害是什么?
ruoshuifushui 发表于 2021-04-22 16:07

本来针对开源平台的bug打补丁是造福大家的事情。提交者是没钱拿的，但是这种事情做多了，在圈内多少都会有些影响力，有些人纯粹是冲着开心，有些人冲着可以长脸，有些人冲着简历好看。但是故意打垃圾补丁以此证明“你们的代码审核有问题”这种事，额……
对于明大而言，最大的问题也就是名声有损了。校方监管不力、学术不规范的锅只怕是甩不掉的。

其实我一直在想这些open source的code是谁来review的，写的人可以是in good faith，但不代表code没有bug啊，就算是微软苹果也一直patch patch的来fix bugs。。。只要是人写的东西就有可能有bug。。。所以到底这个review process可靠不可靠啊？当然我不是支持故意提交有bug的程序给别人怎么工作量。。。
hijklmn 发表于 2021-04-22 16:11

没谁能保证代码审核百分之百地可靠，这跟是不是open source无关；如你所言，人都会犯错误。不然公司为啥除了代码审核，还得上各种SA和regression test，要QA sign off，比较重要的补丁还得一层层领导批准呢？
唯一的不同就是故意往linux里塞垃圾的行为比在公司里更难得到惩罚，linux社区也只能把学校办了不让他们继续送补丁，而且这还是在教授自我暴露之后；如果教授就一直躲在零零七的马甲背后，他们估计除了办零零七也不能做啥。这要是换了个公司，分分钟可以炒了干这种事的人。

其实我一直在想这些open source的code是谁来review的，写的人可以是in good faith，但不代表code没有bug啊，就算是微软苹果也一直patch patch的来fix bugs。。。只要是人写的东西就有可能有bug。。。所以到底这个review process可靠不可靠啊？当然我不是支持故意提交有bug的程序给别人怎么工作量。。。
hijklmn 发表于 2021-04-22 16:11

leader会review的 但人家不想review这种啊 就把你ban了

回复 363楼might的帖子
手动点赞👍

果然是国家一换，评论过万

因为到现在为止，大家都是以good faith的真诚来提交代码。
而从现在开始，大家明白了，有很多not in good faith的人也会来提交代码。所有人都看到这个问题，所有的“坏人”也都看到了这个问题，这将造成future成千万倍的工作量的增长。
比如我是个高中生，我现在明白了，我可以毫无顾忌地去submit代码，你们reviewer就去996吧。 比如我是个黑客，我现在明白了，原来我可以写一段看似安全，但是恰好我能利用的代码，累死你们reviewer.
你们公司几个reviewer能干什么？这可是全世界数量级的submit.
huashan2018 发表于 2021-04-22 13:13

你真的太高估人性了
这个教授的团队绝对不是第一个这么做的，但是很有可能是第一个用这个发论文的

玩大了？

没谁能保证代码审核百分之百地可靠，这跟是不是open source无关；如你所言，人都会犯错误。不然公司为啥除了代码审核，还得上各种SA和regression test，要QA sign off，比较重要的补丁还得一层层领导批准呢？
唯一的不同就是故意往linux里塞垃圾的行为比在公司里更难得到惩罚，linux社区也只能把学校办了不让他们继续送补丁，而且这还是在教授自我暴露之后；如果教授就一直躲在零零七的马甲背后，他们估计除了办零零七也不能做啥。这要是换了个公司，分分钟可以炒了干这种事的人。
coalpilerd 发表于 2021-04-22 17:03

哪个公司会因为员工写的code有bug而解雇员工啊。。。程序写出来到publish中间那么多testing的环节都保证不了程序没有bug，所以open source是怎么保证质量的，我一直没想明白。。。

哪个公司会因为员工写的code有bug而解雇员工啊。。。程序写出来到publish中间那么多testing的环节都保证不了程序没有bug，所以open source是怎么保证质量的，我一直没想明白。。。
hijklmn 发表于 2021-04-22 19:35

不会因为（无意的）bug解雇，但是如果公司发现员工故意在公司产品里送恶意代码就会解雇了。我司的security training如是说。

结合之前的帖子再次证明，国内这种没有真正人文思想教育，只想“师夷长技以制夷” 玩命儿强调理工科的，培养出一大批没有道德底线的邪恶科学家邪恶工程师，改基因造病毒搞网络防火墙什么都干得出来。
iloveGelato 发表于 2021-04-21 17:05

西方倒是有人文思想教育，杀的人家印第安人都要灭绝了，人家印第安人找谁说理去。

西方倒是有人文思想教育，杀的人家印第安人都要灭绝了，人家印第安人找谁说理去。
Bellissima 发表于 2021-04-22 19:49

楼上那种人，就是找到点儿啥由头，就要讽刺攻击国内一把，就是以此显示她自个儿比国内的人高明罢了。
她高明不高明咱没兴趣去研究，但这种故意因为一个个例就骂一大把人的表现，充分体现了她的素质。

回复 181楼ReesWitherspoon的帖子
你不要理那个五毛，他就是个叼盘侠。

哪个公司会因为员工写的code有bug而解雇员工啊。。。程序写出来到publish中间那么多testing的环节都保证不了程序没有bug，所以open source是怎么保证质量的，我一直没想明白。。。
hijklmn 发表于 2021-04-22 19:35

linux从来就没有保障啊
linux社区的基础逻辑是“好人远多于坏人，所以好人这边的技术水平也远高于坏人，可以在绝大部分情况下防止坏人的破坏”
这个逻辑其实是很有问题的。越核心的领域，有资格提交patch 和review patch的人就越少，那么这个假设就越脆弱
假如有某个核心大佬被买通，或者某个组织常年斥巨资深入研究，那么他们基本可以把整个开源社区玩弄于股掌
比如加密算法领域的椭圆曲线NSA后门事件，社区花了10年才达成共识。但是最终也没有定论

不会因为（无意的）bug解雇，但是如果公司发现员工故意在公司产品里送恶意代码就会解雇了。我司的security training如是说。
coalpilerd 发表于 2021-04-22 19:38

我司任何产品上线都要请一个专门的团队来做penetration test，看你这个产品会不会被常见的攻击手段攻破
照你这么说，这个团队早就全体开除了。

我司任何产品上线都要请一个专门的团队来做penetration test，看你这个产品会不会被常见的攻击手段攻破
照你这么说，这个团队早就全体开除了。
helloterran3 发表于 2021-04-22 22:49

针对产品的penetration test是以developer的身份往main branch里送恶意代码？这倒是首次听闻。

我司任何产品上线都要请一个专门的团队来做penetration test，看你这个产品会不会被常见的攻击手段攻破
照你这么说，这个团队早就全体开除了。
helloterran3 发表于 2021-04-22 22:49

你应该没看懂他们做了个啥

我司任何产品上线都要请一个专门的团队来做penetration test，看你这个产品会不会被常见的攻击手段攻破
照你这么说，这个团队早就全体开除了。
helloterran3 发表于 2021-04-22 22:49

銀行出錢請人來做駭客安全測試 跟外面的人在沒有銀行的同意下搞駭客 畢竟是不一樣

太缺德了。

UMN做出回应了

UMN CS系对linux foundation的诉求做出了回应：1.公开数据 2.撤稿 3.撇清IRB责任(IRB做的没错) 4.今后加强教育
https://www.zdnet.com/article/the-linux-foundations-demands-to-the-university-of-minnesota-for-its-bad-linux-patches/
https://drive.google.com/file/d/1z3Nm2bfR4tH1nOGBpuOmLyoJVEiO9cUq/view

UMN CS系对linux foundation的诉求做出了回应：1.公开数据 2.撤稿 3.撇清IRB责任(IRB做的没错) 4.今后加强教育
https://www.zdnet.com/article/the-linux-foundations-demands-to-the-university-of-minnesota-for-its-bad-linux-patches/
https://drive.google.com/file/d/1z3Nm2bfR4tH1nOGBpuOmLyoJVEiO9cUq/view
maobiao 发表于 2021-04-28 13:09

看到公开信了
https://drive.google.com/file/d/1z3Nm2bfR4tH1nOGBpuOmLyoJVEiO9cUq