Un membre clé quitte le projet Nginx pour des raisons de sécurité.

Selon Ars Technica , Maxim Dounin, l'un des principaux développeurs, a quitté Nginx car il estime que le projet n'est plus libre et gratuit, et qu'il ne profite plus à la communauté. Dounin a fondé Freenginx, un projet qui, selon lui, sera géré par des développeurs et non par des entreprises.

Dounin a été l'un des premiers développeurs, et reste l'un des plus actifs, du projet open source Nginx. Il a également fait partie des premiers employés de Nginx Inc., société fondée en 2011 pour commercialiser ce logiciel de serveur web. Selon W3techs , Nginx est aujourd'hui utilisé sur environ un tiers des serveurs web mondiaux , suivi par Apache.

Nginx Inc. a été rachetée par F5, une société basée à Seattle, en 2019. Cependant, fin 2019, deux dirigeants de Nginx, Maxim Konovalov et Igor Sysoev, ont été arrêtés et interrogés à leur domicile par des agents russes. La société internet Rambler a revendiqué la propriété du code source de Nginx, car celui-ci avait été développé à l'époque où Sysoev y travaillait (Dounin y travaillait également). Bien qu'aucune poursuite pénale ne semble avoir été engagée, l'intrusion de l'entreprise russe dans un composant open source très utilisé de l'infrastructure web a suscité des inquiétudes.

Sysoev a quitté F5 et le projet Nginx début 2022. Plus tard dans l'année, en raison de la campagne militaire russe en Ukraine, F5 a cessé toutes ses activités dans ce pays. Plusieurs développeurs Nginx ont fondé Angie pour apporter un soutien aux utilisateurs de Nginx en Russie. Dounin a également quitté F5 à ce moment-là, mais a continué à contribuer au projet Nginx en tant que bénévole.

Nginx est le logiciel serveur web open source qui détient aujourd'hui la plus grande part de marché.

Dounin a déclaré que la nouvelle direction non technique de F5 avait récemment présumé savoir gérer des projets open source. En particulier, ce groupe a décidé de modifier la politique de sécurité utilisée par Nginx depuis des années, sans consulter les développeurs. Il a ajouté que, de ce fait, ils ne pouvaient plus contrôler les modifications apportées à Nginx, et qu'il avait donc décidé de démissionner.

Des commentaires sur The Hacker News , dont un provenant vraisemblablement d'un employé de F5, indiquent que Dounin conteste l'attribution des CVE publiées à QUIC. Bien que QUIC ne soit pas activé par défaut dans la configuration de Nginx, sa documentation précise qu'il est inclus dans la version principale de l'application, qu'il intègre les dernières fonctionnalités et correctifs, et qu'il est toujours à jour.

Dans un entretien accordé à The Hacker News , Dounin a déclaré que l'équipe F5 avait ignoré la politique du projet et l'avis des développeurs sans aucune concertation. Si les actions en elles-mêmes n'étaient pas forcément condamnables, l'approche globale était problématique.

F5 a exprimé ses regrets quant au départ de Dounin et a souligné que le succès de projets open source tels que Nginx repose sur une communauté de contributeurs vaste et diversifiée, ainsi que sur des normes sectorielles rigoureuses pour l'identification et l'évaluation des vulnérabilités connues. L' entreprise est convaincue qu'il s'agit de la meilleure approche pour développer des logiciels hautement sécurisés pour ses clients et la communauté.

Lien source: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm