Członek zarządu opuszcza projekt Nginx z powodu obaw o bezpieczeństwo

[reklama_1]

Według Arstechnica , Maxim Dounin – jeden z głównych programistów – opuścił Nginx, ponieważ uważa, że nie jest to już projekt open source i darmowy, z korzyścią dla społeczności. Dounin założył freenginx i zapowiedział, że będzie zarządzany przez programistów, a nie organizacje korporacyjne.

Dounin był jednym z pierwszych i wciąż najbardziej aktywnych deweloperów projektu open source Nginx oraz jednym z pierwszych pracowników Nginx Inc., firmy założonej w 2011 roku w celu komercyjnego wsparcia oprogramowania serwerów WWW. Według W3techs , Nginx jest obecnie używany w około jednej trzeciej serwerów WWW na świecie , a następnie w Apache.

Firma Nginx Inc. została przejęta przez firmę F5 z siedzibą w Seattle w 2019 roku. Jednak pod koniec 2019 roku dwóch dyrektorów Nginx, Maksim Konowałow i Igor Sysojew, zostało zatrzymanych i przesłuchanych przez rosyjskich agentów w ich domach. Firma internetowa Rambler rościła sobie prawa do kodu źródłowego Nginx, ponieważ został on opracowany w czasie, gdy pracował Sysojew (Dounin również tam pracował). Chociaż zarzuty karne najwyraźniej nie zostały postawione, wtargnięcie rosyjskiej firmy do popularnej, otwartej części infrastruktury internetowej wzbudziło pewne obawy.

Sysoev opuścił F5 i projekt Nginx na początku 2022 roku. Później tego samego roku, z powodu rosyjskiej kampanii wojskowej na Ukrainie, F5 zaprzestało wszelkiej działalności w tym kraju. Kilku deweloperów Nginx założyło Angie, aby wspierać użytkowników Nginx w Rosji. Dounin również opuścił F5 w tym samym czasie, ale zachował swoją rolę w projekcie Nginx jako wolontariusz.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx to oprogramowanie serwerowe typu open source, które ma obecnie największy udział w rynku.

Dounin powiedział, że nowe, nietechniczne kierownictwo F5 niedawno założyło, że wie, jak zarządzać projektami open source. W szczególności grupa postanowiła naruszyć politykę bezpieczeństwa, którą Nginx stosował od lat, omijając programistów. Dodał, że oznaczało to, że nie mogli już kontrolować zmian wprowadzanych w Nginx, dlatego postanowił odejść.

Komentarze w serwisie The Hacker News , w tym jeden od pracownika prawdopodobnie z F5, pokazują, że Dounin sprzeciwia się przypisaniu opublikowanych kodów CVE do QUIC. Chociaż nie jest to włączone w domyślnej konfiguracji Nginx, zgodnie z dokumentacją Nginx, QUIC jest zawarty w głównej wersji aplikacji, zawiera najnowsze funkcje i poprawki błędów oraz jest zawsze aktualny.

W rozmowie z The Hacker News , Dounin powiedział, że zespół F5 zignorował zarówno politykę projektu, jak i opinie ogólnych deweloperów, nie podejmując żadnych rozmów. Chociaż konkretne działania niekoniecznie były złe, ogólne podejście było problematyczne.

Firma F5 wyraziła ubolewanie z powodu odejścia Dounina i stwierdziła, że udane projekty open source, takie jak Nginx, wymagają dużej i zróżnicowanej społeczności współpracowników oraz rygorystycznych standardów branżowych w zakresie oznaczania i oceny znanych luk w zabezpieczeniach. Firma uważa, że jest to właściwe podejście do tworzenia wysoce bezpiecznego oprogramowania dla swoich klientów i społeczności.

Link źródłowy