Klíčový člen opouští projekt Nginx z bezpečnostních důvodů

Podle serveru Arstechnica opustil Nginx jeden z hlavních vývojářů Maxim Dounin, protože se domnívá, že se již nejedná o open source a bezplatný projekt ve prospěch komunity. Dounin založil freenginx a uvedl, že jej budou provozovat vývojáři, nikoli korporátní organizace.

Dounin byl jedním z prvních a stále nejaktivnějších vývojářů open source projektu Nginx a jedním z prvních zaměstnanců společnosti Nginx Inc., založené v roce 2011 za účelem komerční podpory softwaru webového serveru. Podle W3techs se Nginx nyní používá v přibližně třetině webových serverů na světě , následovaný Apache.

Společnost Nginx Inc. byla v roce 2019 získána seattelskou společností F5. Koncem roku 2019 však byli dva z vedoucích pracovníků společnosti Nginx, Maxim Konovalov a Igor Sysoev, zadrženi a vyslýcháni ruskými agenty v jejich domovech. Internetová společnost Rambler si nárokuje vlastnictví zdrojového kódu Nginxu, protože byl vyvinut v době, kdy tam Sysoev pracoval (pracoval tam i Dounin). I když se zdá, že k trestnímu stíhání nedošlo, skutečnost, že ruská společnost využila populární open source součást webové infrastruktury, vyvolala určité obavy.

Sysoev opustil F5 a projekt Nginx začátkem roku 2022. Později téhož roku, kvůli ruské vojenské kampani na Ukrajině, F5 ukončila veškerou činnost v této zemi. Několik vývojářů Nginx založilo společnost Angie na podporu uživatelů Nginx v Rusku. Dounin v té době také opustil F5, ale udržel si svou roli v projektu Nginx jako dobrovolník.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx je open source webový server s největším podílem na trhu.

Dounin uvedl, že nové netechnické vedení F5 nedávno předpokládalo, že vědí, jak provozovat open source projekty. Skupina se zejména rozhodla manipulovat s bezpečnostní politikou, kterou Nginx používal po léta, a obejít tak vývojáře. Řekl, že to znamenalo, že už neměl kontrolu nad tím, jaké změny byly v Nginxu provedeny, a proto se rozhodl odejít.

Komentáře na The Hacker News , včetně komentáře od zaměstnance, o kterém se předpokládá, že je z F5, ukazují, že Dounin namítá proti přiřazení zveřejněných zranitelností CVE k QUIC. I když to není ve výchozím nastavení Nginxu povoleno, podle dokumentace Nginxu je QUIC součástí hlavní verze aplikace, obsahuje nejnovější funkce a opravy chyb a je vždy aktualizován.

V rozhovoru pro The Hacker News Dounin uvedl, že tým F5 bez jakékoli diskuse ignoroval jak projektovou politiku, tak názory obecných vývojářů. I když konkrétní kroky nebyly nutně špatné, celkový přístup byl problematický.

Podle serveru Astechnica společnost F5 uvedla, že lituje Douninova odchodu a dodala, že úspěšné open source projekty, jako je Nginx, vyžadují velkou a rozmanitou komunitu přispěvatelů a přísné oborové standardy pro přiřazování a hodnocení známých zranitelností. Společnost se domnívá, že se jedná o správný přístup k vývoji vysoce bezpečného softwaru pro její zákazníky a komunitu.

Zdrojový odkaz