Ahli teras meninggalkan projek Nginx atas kebimbangan keselamatan

Menurut Arstechnica , Maxim Dounin - salah seorang pembangun teras telah meninggalkan Nginx kerana dia percaya ia bukan lagi sumber terbuka dan projek percuma untuk manfaat masyarakat. Dounin mengasaskan freenginx dan berkata ia akan dijalankan oleh pemaju, bukan organisasi korporat.

Dounin ialah salah satu pembangun pertama dan masih paling aktif bagi projek sumber terbuka Nginx, dan merupakan salah seorang pekerja pertama Nginx Inc., sebuah syarikat yang ditubuhkan pada 2011 untuk menyokong perisian pelayan web secara komersial. Menurut W3techs , Nginx kini digunakan dalam kira-kira satu pertiga daripada pelayan web dunia , diikuti oleh Apache.

Nginx Inc. telah diperoleh oleh F5 yang berpangkalan di Seattle pada 2019. Bagaimanapun, pada akhir 2019, dua eksekutif Nginx, Maxim Konovalov dan Igor Sysoev, telah ditahan dan disoal siasat oleh ejen Rusia di rumah mereka. Syarikat Internet Rambler, mendakwa pemilikan kod sumber Nginx kerana ia dibangunkan pada masa Sysoev bekerja (Dounin juga bekerja di sana). Walaupun tuduhan jenayah nampaknya tidak menjadi kenyataan, pencerobohan syarikat Rusia itu ke dalam bahagian sumber terbuka yang popular dalam infrastruktur web telah menimbulkan beberapa kebimbangan.

Sysoev meninggalkan F5 dan projek Nginx pada awal 2022. Kemudian pada tahun itu, disebabkan kempen ketenteraan Rusia di Ukraine, F5 menghentikan semua operasi di negara itu. Beberapa pembangun Nginx membentuk Angie untuk menyokong pengguna Nginx di Rusia. Dounin juga meninggalkan F5 pada masa itu, tetapi mengekalkan peranannya dalam projek Nginx sebagai sukarelawan.

Nginx ialah perisian pelayan web sumber terbuka dengan bahagian pasaran terbesar hari ini.

Dounin berkata bahawa pengurusan bukan teknikal baharu di F5 baru-baru ini menganggap mereka tahu cara menjalankan projek sumber terbuka. Khususnya, kumpulan itu memutuskan untuk mengganggu dasar keselamatan yang telah digunakan oleh Nginx selama bertahun-tahun, memintas pembangun. Dia berkata ini bermakna mereka tidak lagi dapat mengawal perubahan yang dibuat pada Nginx, jadi dia memutuskan untuk pergi.

Komen mengenai The Hacker News , termasuk seorang daripada pekerja yang dipercayai dari F5, menunjukkan bahawa Dounin membantah penugasan CVE yang diterbitkan kepada QUIC. Walaupun ia tidak didayakan dalam persediaan lalai Nginx, menurut dokumentasi Nginx, QUIC disertakan dalam versi utama aplikasi, mengandungi ciri terkini dan pembetulan pepijat, dan sentiasa terkini.

Bercakap kepada The Hacker News , Dounin berkata pasukan F5 mengabaikan kedua-dua dasar projek dan pandangan pemaju umum tanpa sebarang perbincangan. Walaupun tindakan khusus tidak semestinya buruk, pendekatan keseluruhannya bermasalah.

F5 berkata ia kesal dengan pemergian Dounin, dan berkata projek sumber terbuka yang berjaya seperti Nginx memerlukan komuniti penyumbang yang besar dan pelbagai serta piawaian industri yang ketat untuk menetapkan dan menjaringkan kelemahan yang diketahui. Syarikat percaya ini adalah pendekatan yang tepat untuk membangunkan perisian yang sangat selamat untuk pelanggan dan komunitinya.

Pautan sumber: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm