Un membru important părăsește proiectul Nginx din cauza unor probleme de securitate

Conform Arstechnica , Maxim Dounin - unul dintre dezvoltatorii principali - a părăsit Nginx deoarece consideră că nu mai este un proiect open source și gratuit, în beneficiul comunității. Dounin a fondat freenginx și a declarat că va fi administrat de dezvoltatori, nu de organizații corporative.

Dounin a fost unul dintre primii și încă cei mai activi dezvoltatori ai proiectului open source Nginx și a fost unul dintre primii angajați ai Nginx Inc., o companie fondată în 2011 pentru a oferi suport comercial software-ului pentru servere web. Potrivit W3techs , Nginx este utilizat acum în aproximativ o treime din serverele web din lume , urmat de Apache.

Nginx Inc. a fost achiziționată de F5, cu sediul în Seattle, în 2019. Cu toate acestea, la sfârșitul anului 2019, doi directori Nginx, Maxim Konovalov și Igor Sysoev, au fost reținuți și interogați de agenți ruși la domiciliile lor. Compania de internet Rambler a revendicat dreptul de proprietate asupra codului sursă Nginx, deoarece acesta a fost dezvoltat în perioada în care Sysoev lucra (și Dounin lucra acolo). Deși acuzațiile penale nu par să se fi materializat, intruziunea companiei ruse într-o parte open-source populară a infrastructurii web a stârnit unele îngrijorări.

Sysoev a părăsit F5 și proiectul Nginx la începutul anului 2022. Mai târziu în acel an, din cauza campaniei militare a Rusiei în Ucraina, F5 a încetat toate operațiunile în această țară. Mai mulți dezvoltatori Nginx au format Angie pentru a sprijini utilizatorii Nginx din Rusia. Dounin a părăsit și el F5 la acea vreme, dar și-a menținut rolul în proiectul Nginx ca voluntar.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx este software-ul open source pentru servere web cu cea mai mare cotă de piață în prezent.

Dounin a spus că noua conducere non-tehnică de la F5 a presupus recent că știe cum să deruleze proiecte open source. În special, grupul a decis să modifice politica de securitate pe care Nginx o folosea de ani de zile, ocolind dezvoltatorii. El a spus că acest lucru înseamnă că nu mai pot controla ce modificări sunt făcute la Nginx, așa că a decis să plece.

Comentariile de pe The Hacker News , inclusiv unul de la un angajat despre care se crede că este de la F5, arată că Dounin se opune atribuirii CVE-urilor publicate către QUIC. Deși nu este activat în configurația implicită a Nginx, conform documentației Nginx, QUIC este inclus în versiunea principală a aplicației, conține cele mai recente caracteristici și corecții de erori și este întotdeauna actualizat.

Într-un interviu acordat The Hacker News , Dounin a declarat că echipa F5 a ignorat atât politica proiectului, cât și opiniile dezvoltatorilor generali, fără nicio discuție. Deși acțiunile specifice nu au fost neapărat rele, abordarea generală a fost problematică.

F5 a declarat că regretă plecarea lui Dounin și a precizat că proiectele open source de succes, precum Nginx, necesită o comunitate numeroasă și diversă de contribuitori și standarde stricte în industrie pentru desemnarea și evaluarea vulnerabilităților cunoscute. Compania consideră că aceasta este abordarea corectă pentru dezvoltarea de software extrem de sigur pentru clienții săi și pentru comunitate.

Legătură sursă