Un miembro principal abandona el proyecto Nginx por problemas de seguridad

Según Arstechnica , Maxim Dounin, uno de los desarrolladores principales, abandonó Nginx porque cree que ya no es un proyecto gratuito y de código abierto para el beneficio de la comunidad. Dounin fundó Freenginx y afirmó que será gestionado por desarrolladores, no por empresas.

Dounin fue uno de los primeros desarrolladores, y aún el más activo, del proyecto de código abierto Nginx, y uno de los primeros empleados de Nginx Inc., empresa fundada en 2011 para dar soporte comercial al software de servidor web. Según W3techs , Nginx se utiliza actualmente en aproximadamente un tercio de los servidores web del mundo , seguido de Apache.

Nginx Inc. fue adquirida por F5, con sede en Seattle, en 2019. Sin embargo, a finales de 2019, dos ejecutivos de Nginx, Maxim Konovalov e Igor Sysoev, fueron detenidos e interrogados por agentes rusos en sus domicilios. La empresa de internet Rambler ha reivindicado la propiedad del código fuente de Nginx, ya que se desarrolló durante la época en que Sysoev trabajaba allí (Dounin también trabajaba allí). Si bien no parece que se hayan presentado cargos penales, el hecho de que una empresa rusa haya accedido a una parte popular del código abierto de la infraestructura web ha suscitado cierta preocupación.

Sysoev abandonó F5 y el proyecto Nginx a principios de 2022. Ese mismo año, debido a la campaña militar rusa en Ucrania, F5 cesó todas sus operaciones en ese país. Varios desarrolladores de Nginx formaron Angie para dar soporte a los usuarios de Nginx en Rusia. Dounin también abandonó F5 en ese momento, pero mantuvo su puesto en el proyecto Nginx como voluntario.

Nginx es el software de servidor web de código abierto con la mayor participación de mercado en la actualidad.

Dounin comentó que la nueva gerencia no técnica de F5 asumió recientemente que sabía cómo gestionar proyectos de código abierto. En particular, el grupo decidió manipular la política de seguridad que Nginx llevaba años usando, ignorando a los desarrolladores. Comentó que esto significaba que ya no tenía control sobre los cambios que se realizaban en Nginx, por lo que decidió marcharse.

Los comentarios en The Hacker News , incluyendo uno de un empleado que se cree pertenece a F5, muestran que Dounin se opone a la asignación de vulnerabilidades CVE publicadas a QUIC. Si bien no está habilitado en la configuración predeterminada de Nginx, según la documentación de Nginx, QUIC está incluido en la versión principal de la aplicación, contiene las últimas funciones y correcciones de errores, y se mantiene siempre actualizado.

En declaraciones a The Hacker News , Dounin afirmó que el equipo de F5 ignoró sin debate la política del proyecto y las opiniones de los desarrolladores en general. Si bien las acciones específicas no fueron necesariamente malas, el enfoque general fue problemático.

Según Astechnica , F5 lamenta la marcha de Dounin y añade que el éxito de proyectos de código abierto como Nginx requiere una comunidad amplia y diversa de colaboradores y estándares industriales estrictos para la asignación y evaluación de vulnerabilidades conocidas. La compañía cree que este es el enfoque adecuado para desarrollar software de alta seguridad para sus clientes y la comunidad.

Enlace de origen: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm