Membros principais deixam o projeto Nginx devido a preocupações com a segurança.

Segundo o Ars Technica , Maxim Dounin, um dos principais desenvolvedores, deixou o Nginx por considerar que ele não era mais um projeto de código aberto e gratuito para o benefício da comunidade. Dounin fundou o freenginx e afirmou que ele seria administrado por desenvolvedores, e não por organizações corporativas.

Dounin é um dos primeiros e ainda mais ativos programadores do projeto de código aberto Nginx, e foi um dos primeiros funcionários da Nginx Inc., empresa fundada em 2011 para fornecer suporte comercial para software de servidor web. De acordo com a W3techs , o Nginx é usado atualmente em cerca de um terço dos servidores web do mundo , seguido pelo Apache.

A Nginx Inc. foi adquirida pela F5 (com sede em Seattle, EUA) em 2019. No entanto, no final de 2019, dois executivos da Nginx, Maxim Konovalov e Igor Sysoev, foram detidos e interrogados em suas casas por agentes russos. A empresa de internet Rambler reivindicou a propriedade do código-fonte da Nginx, afirmando que ele foi desenvolvido durante o período em que Sysoev trabalhava lá (Dounin também trabalhava lá). Embora seja improvável que acusações criminais tenham se concretizado, a intrusão de uma empresa russa em uma parte popular e de código aberto da infraestrutura da web gerou algumas preocupações.

Sysoev deixou a F5 e o projeto Nginx no início de 2022. Mais tarde naquele ano, devido à operação militar da Rússia na Ucrânia, a F5 cessou todas as suas operações naquele país. Alguns desenvolvedores do Nginx criaram o Angie para dar suporte aos usuários do Nginx na Rússia. Dounin também deixou de trabalhar para a F5 naquela época, mas manteve seu papel no projeto Nginx como voluntário.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Atualmente, o Nginx é o software de servidor web de código aberto com a maior participação de mercado.

Dounin afirmou que a nova gestão não técnica da F5 assumiu recentemente que sabia exatamente como administrar projetos de código aberto. Em particular, esse grupo decidiu interferir nas políticas de segurança que o Nginx vinha utilizando há anos, ignorando até mesmo os desenvolvedores. Ele concluiu que isso significava que eles não podiam mais controlar as alterações feitas no Nginx, o que o levou a sair da empresa.

Comentários no The Hacker News , incluindo um de um suposto funcionário da F5, sugerem que Dounin se opôs à atribuição de vulnerabilidades CVE publicadas ao QUIC. Embora não esteja habilitado nas configurações padrão do Nginx, de acordo com a documentação do Nginx, o QUIC está incluído na versão principal do aplicativo, contém os recursos e correções de bugs mais recentes e está sempre atualizado.

Em entrevista ao The Hacker News , Dounin afirmou que a equipe da F5 ignorou tanto a política do projeto quanto o consenso geral dos desenvolvedores sem qualquer discussão. Embora a ação específica não tenha sido necessariamente ruim, a abordagem geral foi problemática.

Segundo a Astechnica , a F5 lamentou a saída de Dounin, afirmando que projetos de código aberto bem-sucedidos como o Nginx exigem uma comunidade ampla e diversificada de colaboradores, além da aplicação de padrões rigorosos da indústria para identificar e avaliar vulnerabilidades. A empresa acredita que essa é a abordagem correta para desenvolver softwares altamente seguros para clientes e para a comunidade.

Link da fonte