Un membre principal quitte le projet Nginx en raison de problèmes de sécurité

Selon Arstechnica , Maxim Dounin, l'un des principaux développeurs, a quitté Nginx, estimant qu'il ne s'agit plus d'un projet open source et gratuit au service de la communauté. Dounin a fondé freenginx et a déclaré que le projet serait géré par des développeurs, et non par des entreprises.

Dounin a été l'un des premiers développeurs du projet open source Nginx, et l'un des plus actifs à ce jour. Il a également été l'un des premiers employés de Nginx Inc., une société fondée en 2011 pour assurer le support commercial du logiciel de serveur web. Selon W3techs , Nginx est aujourd'hui utilisé sur environ un tiers des serveurs web mondiaux , suivi par Apache.

Nginx Inc. a été rachetée par F5, une société basée à Seattle, en 2019. Cependant, fin 2019, deux dirigeants de Nginx, Maxim Konovalov et Igor Sysoev, ont été interpellés et interrogés à leur domicile par des agents russes. L'entreprise internet Rambler a revendiqué la propriété du code source de Nginx, car il avait été développé à l'époque où Sysoev travaillait (Dounin y travaillait également). Bien qu'aucune poursuite pénale ne semble avoir été engagée, l'intrusion de l'entreprise russe dans une partie open source populaire de l'infrastructure web suscite des inquiétudes.

Sysoev a quitté F5 et le projet Nginx début 2022. Plus tard cette année-là, en raison de la campagne militaire russe en Ukraine, F5 a cessé toute activité dans ce pays. Plusieurs développeurs Nginx ont créé Angie pour soutenir les utilisateurs de Nginx en Russie. Dounin a également quitté F5 à cette époque, mais a conservé son rôle au sein du projet Nginx en tant que bénévole.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx est le logiciel de serveur Web open source avec la plus grande part de marché aujourd'hui.

Dounin a déclaré que la nouvelle direction non technique de F5 pensait récemment savoir gérer des projets open source. Le groupe a notamment décidé de modifier la politique de sécurité appliquée par Nginx depuis des années, contournant ainsi les développeurs. Il a expliqué que cela signifiait qu'ils ne pouvaient plus contrôler les modifications apportées à Nginx, et qu'il avait donc décidé de partir.

Des commentaires sur The Hacker News , dont celui d'un employé supposément de F5, montrent que Dounin s'oppose à l'attribution des CVE publiés à QUIC. Bien que ce service ne soit pas activé par défaut dans Nginx, selon la documentation de Nginx, QUIC est inclus dans la version principale de l'application, intègre les dernières fonctionnalités et corrections de bugs, et est toujours à jour.

S'adressant à The Hacker News , Dounin a déclaré que l'équipe F5 avait ignoré la politique du projet et l'avis des développeurs sans aucune discussion. Si les actions concrètes n'étaient pas forcément mauvaises, l'approche globale était problématique.

F5 a exprimé ses regrets concernant le départ de Dounin et a déclaré que la réussite de projets open source comme Nginx nécessite une communauté de contributeurs large et diversifiée, ainsi que des normes sectorielles strictes pour la désignation et l'évaluation des vulnérabilités connues. L' entreprise estime que cette approche est la bonne pour développer des logiciels hautement sécurisés pour ses clients et la communauté.

Comment (0)