חבר הליבה עוזב את פרויקט Nginx עקב חששות אבטחה

לפי Arstechnica , מקסים דונין - אחד המפתחים המרכזיים - עזב את Nginx משום שהוא מאמין שזה כבר לא פרויקט קוד פתוח וחינמי לטובת הקהילה. דונין ייסד את freenginx ואמר שהוא ינוהל על ידי מפתחים, לא על ידי ארגונים תאגידיים.

דונין היה אחד המפתחים הראשונים והפעילים ביותר של פרויקט הקוד הפתוח Nginx, והיה אחד העובדים הראשונים של Nginx Inc., חברה שנוסדה בשנת 2011 כדי לתמוך מסחרית בתוכנת שרת האינטרנט. על פי W3techs , Nginx משמש כיום בכשליש משרתי האינטרנט בעולם , ואחריהם Apache.

Nginx Inc. נרכשה על ידי F5 מסיאטל בשנת 2019. עם זאת, בסוף 2019, שניים ממנהלי Nginx, מקסים קונובלוב ואיגור סיסוב, נעצרו ונחקרו על ידי סוכנים רוסים בבתיהם. חברת האינטרנט Rambler טענה לבעלות על קוד המקור של Nginx משום שהוא פותח בתקופה שבה סיסוב עבד שם (גם דונין עבד שם). בעוד שנראה כי אישומים פליליים לא התממשו, העובדה שחברה רוסית ניצלה חלק פופולרי בקוד פתוח מתשתית האינטרנט עוררה חששות מסוימים.

סיסוב עזב את F5 ואת פרויקט Nginx בתחילת 2022. מאוחר יותר באותה שנה, עקב המערכה הצבאית של רוסיה באוקראינה, F5 הפסיקה את כל פעילותה במדינה זו. מספר מפתחי Nginx הקימו את Angie כדי לתמוך במשתמשי Nginx ברוסיה. דונין עזב גם הוא את F5 באותה תקופה, אך המשיך לתפקידו בפרויקט Nginx כמתנדב.

Nginx היא תוכנת שרת האינטרנט בקוד פתוח עם נתח השוק הגדול ביותר כיום.

דונין אמר שההנהלה הלא-טכנית החדשה ב-F5 הניחה לאחרונה שהם יודעים איך להפעיל פרויקטים בקוד פתוח. בפרט, הקבוצה החליטה להתערב במדיניות האבטחה שבה Nginx השתמשה במשך שנים, תוך עקיפת המפתחים. הוא אמר שמשמעות הדבר היא שאין לו עוד שליטה על השינויים שבוצעו ב-Nginx, ולכן החליט לעזוב.

תגובות ב- The Hacker News , כולל תגובות של עובד שנחשב כעובד ב-F5, מראות שדונין מתנגד להקצאת פגיעויות CVE שפורסמו ל-QUIC. למרות שהוא אינו מופעל בהגדרות ברירת המחדל של Nginx, על פי התיעוד של Nginx, QUIC כלול בגרסה הראשית של האפליקציה, מכיל את התכונות ותיקוני הבאגים העדכניים ביותר, ומתעדכן תמיד.

בראיון ל- The Hacker News , דונין אמר שצוות F5 התעלם הן ממדיניות הפרויקט והן מדעותיהם של המפתחים הכלליים ללא כל דיון. בעוד שהפעולות הספציפיות לא היו בהכרח רעות, הגישה הכוללת הייתה בעייתית.

לפי Astechnica , F5 אמרה שהיא מצטערת על עזיבתו של דונין, והוסיפה כי פרויקטים מוצלחים בקוד פתוח כמו Nginx דורשים קהילה גדולה ומגוונת של תורמים ותקני תעשייה מחמירים להקצאה ודירוג של פגיעויות ידועות. החברה מאמינה שזו הגישה הנכונה לפיתוח תוכנה מאובטחת ביותר עבור לקוחותיה והקהילה.

קישור למקור: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm