חברי הליבה עוזבים את פרויקט Nginx עקב חששות אבטחה.

לפי Arstechnica , מקסים דונין, אחד המפתחים העיקריים, עזב את Nginx משום שחש שזה כבר לא פרויקט קוד פתוח וחינמי לטובת הקהילה. דונין ייסד את freenginx ואמר שהוא ינוהל על ידי מפתחים, לא על ידי ארגונים תאגידיים.

דונין הוא אחד המתכנתים הראשונים והפעילים ביותר בפרויקט הקוד הפתוח Nginx, והיה אחד העובדים הראשונים של Nginx Inc., חברה שנוסדה בשנת 2011 כדי לספק תמיכה מסחרית לתוכנות שרתי אינטרנט. על פי W3techs , Nginx משמש כיום בכשליש משרתי האינטרנט בעולם , ואחריו Apache.

חברת Nginx Inc. נרכשה על ידי F5 (שבסיסה בסיאטל, ארה"ב) בשנת 2019. עם זאת, בסוף 2019, שני מנהלים ב-Nginx, מקסים קונובלוב ואיגור סיסוב, נעצרו ונחקרו בבתיהם על ידי סוכנים רוסים. חברת האינטרנט Rambler טענה לבעלות על קוד המקור של Nginx, וטענה שהוא פותח בתקופה בה סיסוב עבד שם (גם דונין עבד שם). בעוד שסביר להניח שלא הוגשו כתבי אישום פליליים, חדירתה של חברה רוסית לחלק פופולרי בקוד פתוח של תשתית האינטרנט עוררה חששות מסוימים.

סיסוב עזב את F5 ואת פרויקט Nginx בתחילת 2022. מאוחר יותר באותה שנה, עקב המבצע הצבאי של רוסיה באוקראינה, F5 הפסיקה את כל הפעילות במדינה זו. כמה מפתחי Nginx יצרו את Angie כדי לתמוך במשתמשי Nginx ברוסיה. דונין גם הפסיק לעבוד עבור F5 באותה תקופה, אך המשיך לתפקידו בפרויקט Nginx כמתנדב.

Nginx היא כיום תוכנת שרת האינטרנט בקוד פתוח עם נתח השוק הגדול ביותר.

דונין הצהיר כי ההנהלה הלא-טכנית החדשה ב-F5 הניחה לאחרונה שהם יודעים בדיוק איך להפעיל פרויקטים בקוד פתוח. בפרט, קבוצה זו החליטה להתערב במדיניות האבטחה שבה Nginx השתמשה במשך שנים, תוך עקיפת אפילו המפתחים. הוא הגיע למסקנה שמשמעות הדבר היא שהם לא יכלו עוד לשלוט בשינויים שבוצעו ב-Nginx, מה שהוביל אותו לעזוב.

תגובות ב- The Hacker News , כולל תגובות של עובד F5 לכאורה, מצביעות על כך שדונין התנגד לייחוס פגיעויות CVE שפורסמו ל-QUIC. למרות שהוא אינו מופעל בהגדרות ברירת המחדל של Nginx, על פי תיעוד Nginx, QUIC כלול בגרסה הראשית של האפליקציה, מכיל את התכונות ותיקוני הבאגים העדכניים ביותר, והוא תמיד מעודכן.

בראיון ל- The Hacker News , דונין הצהיר כי צוות F5 התעלם הן ממדיניות הפרויקט והן מהקונצנזוס הכללי של המפתחים ללא כל דיון. בעוד שהפעולה הספציפית לא הייתה בהכרח רעה, הגישה הכוללת הייתה בעייתית.

לפי Astechnica , F5 הביעה צער על עזיבתו של דונין, וציינה כי פרויקטים מוצלחים בקוד פתוח כמו Nginx דורשים קהילה גדולה ומגוונת של משתפי פעולה, כמו גם יישום של סטנדרטים מחמירים בתעשייה לזיהוי ודירוג פגיעויות. החברה מאמינה שזו הגישה הנכונה לפיתוח תוכנה מאובטחת ביותר עבור לקוחות וקהילה.

קישור למקור: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm