Główni członkowie opuszczają projekt Nginx ze względu na obawy dotyczące bezpieczeństwa.

Według Arstechnica , Maxim Dounin, jeden z głównych deweloperów, opuścił Nginx, ponieważ uważał, że nie jest to już projekt open-source i darmowy, z korzyścią dla społeczności. Dounin założył freenginx i zapowiedział, że będzie zarządzany przez deweloperów, a nie organizacje korporacyjne.

Dounin jest jednym z pierwszych i wciąż najbardziej aktywnych programistów w projekcie open source Nginx oraz jednym z pierwszych pracowników Nginx Inc., firmy założonej w 2011 roku w celu świadczenia komercyjnego wsparcia dla oprogramowania serwerów WWW. Według W3techs , Nginx jest obecnie używany w około jednej trzeciej serwerów WWW na świecie , a następnie w Apache.

Firma Nginx Inc. została przejęta przez F5 (z siedzibą w Seattle w USA) w 2019 roku. Jednak pod koniec 2019 roku dwaj dyrektorzy Nginx, Maksim Konowałow i Igor Sysojew, zostali zatrzymani i przesłuchani w swoich domach przez rosyjskich agentów. Firma internetowa Rambler przyznała się do posiadania kodu źródłowego Nginx, twierdząc, że został on opracowany w czasie, gdy pracował tam Sysojew (Dounin również). Chociaż zarzuty karne prawdopodobnie nie zostały postawione, wtargnięcie rosyjskiej firmy do popularnej, otwartej części infrastruktury internetowej wzbudziło pewne obawy.

Sysoev opuścił F5 i projekt Nginx na początku 2022 roku. Później tego samego roku, z powodu rosyjskiej operacji wojskowej na Ukrainie, F5 zaprzestało wszelkiej działalności w tym kraju. Niektórzy programiści Nginx stworzyli Angie, aby wspierać użytkowników Nginx w Rosji. Dounin również przestał wtedy pracować dla F5, ale nadal był wolontariuszem w projekcie Nginx.

Nginx jest obecnie oprogramowaniem serwerowym typu open source, które ma największy udział w rynku.

Dounin stwierdził, że nowe, nietechniczne kierownictwo F5 niedawno założyło, że doskonale wie, jak zarządzać projektami open source. W szczególności grupa ta postanowiła ingerować w politykę bezpieczeństwa stosowaną od lat przez Nginx, omijając nawet programistów. Doszedł do wniosku, że oznacza to, że nie będą już mogli kontrolować zmian wprowadzanych w Nginx, co skłoniło go do odejścia.

Komentarze w serwisie The Hacker News , w tym jeden rzekomego pracownika F5, sugerują, że Dounin sprzeciwiał się przypisywaniu opublikowanych luk CVE do QUIC. Chociaż ta funkcja nie jest włączona w domyślnych ustawieniach Nginx, zgodnie z dokumentacją Nginx, QUIC jest zawarty w głównej wersji aplikacji, zawiera najnowsze funkcje i poprawki błędów oraz jest zawsze aktualny.

W rozmowie z The Hacker News , Dounin stwierdził, że zespół F5 zignorował zarówno politykę projektu, jak i ogólny konsensus deweloperów, nie podejmując żadnej dyskusji. Chociaż konkretne działanie niekoniecznie było złe, ogólne podejście było problematyczne.

Według Astechnica , F5 wyraziło ubolewanie z powodu odejścia Dounina, stwierdzając, że udane projekty open source, takie jak Nginx, wymagają dużej i zróżnicowanej społeczności współpracowników, a także stosowania rygorystycznych standardów branżowych w zakresie identyfikacji i oceny luk w zabezpieczeniach. Firma uważa, że ​​jest to właściwe podejście do tworzenia wysoce bezpiecznego oprogramowania dla klientów i społeczności.

Link źródłowy: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm