Un miembro principal abandona el proyecto Nginx por preocupaciones de seguridad.

Según Ars Technica , Maxim Dounin, uno de los desarrolladores principales, ha abandonado Nginx porque considera que ya no es un proyecto de código abierto y gratuito en beneficio de la comunidad. Dounin fundó freenginx y afirmó que estará gestionado por desarrolladores, no por organizaciones corporativas.

Dounin fue uno de los primeros y más activos desarrolladores del proyecto de código abierto Nginx, y uno de los primeros empleados de Nginx Inc., empresa fundada en 2011 para dar soporte comercial al software del servidor web. Según W3techs , Nginx se utiliza actualmente en aproximadamente un tercio de los servidores web del mundo , seguido de Apache.

Nginx Inc. fue adquirida por F5, con sede en Seattle, en 2019. Sin embargo, a finales de ese mismo año, dos ejecutivos de Nginx, Maxim Konovalov e Igor Sysoev, fueron detenidos e interrogados por agentes rusos en sus domicilios. La empresa de internet Rambler reclamó la propiedad del código fuente de Nginx, ya que este se desarrolló durante la época en que Sysoev trabajaba allí (Dounin también trabajaba en la empresa). Si bien no parece que se hayan presentado cargos penales, la intrusión de la empresa rusa en una parte tan popular de la infraestructura web de código abierto ha generado cierta preocupación.

Sysoev dejó F5 y el proyecto Nginx a principios de 2022. Más tarde ese mismo año, debido a la campaña militar rusa en Ucrania, F5 cesó todas sus operaciones en ese país. Varios desarrolladores de Nginx fundaron Angie para brindar soporte a los usuarios de Nginx en Rusia. Dounin también dejó F5 en ese momento, pero continuó colaborando con el proyecto Nginx como voluntario.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx es el software de servidor web de código abierto con mayor cuota de mercado en la actualidad.

Dounin afirmó que la nueva dirección no técnica de F5 asumió recientemente que sabían cómo gestionar proyectos de código abierto. En concreto, el grupo decidió modificar la política de seguridad que Nginx llevaba años utilizando, sin consultar a los desarrolladores. Añadió que esto significaba que ya no podían controlar los cambios realizados en Nginx, por lo que decidió marcharse.

Los comentarios en The Hacker News , incluido uno de un empleado que se cree que trabaja para F5, muestran que Dounin se opone a la asignación de CVE publicados a QUIC. Si bien no está habilitado en la configuración predeterminada de Nginx, según la documentación de Nginx, QUIC está incluido en la versión principal de la aplicación, contiene las últimas funciones y correcciones de errores, y siempre está actualizado.

En declaraciones a The Hacker News , Dounin afirmó que el equipo de F5 ignoró tanto la política del proyecto como las opiniones de los desarrolladores en general, sin siquiera consultarles. Si bien las acciones específicas no fueron necesariamente malas, el enfoque general resultó problemático.

F5 lamentó la partida de Dounin y afirmó que los proyectos de código abierto exitosos, como Nginx, requieren una comunidad de colaboradores amplia y diversa, así como estándares estrictos de la industria para la identificación y evaluación de vulnerabilidades conocidas. La empresa considera que este es el enfoque adecuado para desarrollar software altamente seguro para sus clientes y la comunidad.

Kommentar (0)