Un membre principal quitte le projet Nginx en raison de problèmes de sécurité

Selon Arstechnica , Maxim Dounin, l'un des principaux développeurs, a quitté Nginx car il estime que ce n'est plus un projet open source et gratuit au service de la communauté. Dounin a fondé freenginx et a déclaré que le projet serait géré par des développeurs, et non par des entreprises.

Dounin a été l'un des premiers développeurs du projet open source Nginx, et l'un des plus actifs encore aujourd'hui. Il a également été l'un des premiers employés de Nginx Inc., une société fondée en 2011 pour assurer le support commercial du logiciel de serveur web. Selon W3techs , Nginx est aujourd'hui utilisé sur environ un tiers des serveurs web mondiaux , suivi par Apache.

Nginx Inc. a été rachetée par F5, une entreprise basée à Seattle, en 2019. Cependant, fin 2019, deux dirigeants de Nginx, Maxim Konovalov et Igor Sysoev, ont été arrêtés et interrogés à leur domicile par des agents russes. L'entreprise Internet Rambler a revendiqué la propriété du code source de Nginx, car il avait été développé à l'époque où Sysoev y travaillait (Dounin y travaillait également). Bien qu'aucune poursuite pénale ne semble avoir été engagée, le fait qu'une entreprise russe ait exploité une partie open source populaire de l'infrastructure web a suscité des inquiétudes.

Sysoev a quitté F5 et le projet Nginx début 2022. Plus tard dans l'année, en raison de la campagne militaire russe en Ukraine, F5 a cessé toute activité dans ce pays. Plusieurs développeurs Nginx ont créé Angie pour soutenir les utilisateurs de Nginx en Russie. Dounin a également quitté F5 à cette époque, mais a conservé son rôle au sein du projet Nginx en tant que bénévole.

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx est le logiciel de serveur Web open source avec la plus grande part de marché aujourd'hui.

Dounin a déclaré que la nouvelle direction non technique de F5 pensait récemment savoir gérer des projets open source. Le groupe a notamment décidé de modifier la politique de sécurité utilisée par Nginx depuis des années, contournant ainsi les développeurs. Il a expliqué que cela signifiait qu'il n'avait plus aucun contrôle sur les modifications apportées à Nginx, et qu'il avait donc décidé de partir.

Des commentaires sur The Hacker News , dont celui d'un employé supposé de F5, montrent que Dounin s'oppose à l'attribution des vulnérabilités CVE publiées à QUIC. Bien que QUIC ne soit pas activé par défaut dans Nginx, selon sa documentation, QUIC est inclus dans la version principale de l'application, contient les dernières fonctionnalités et corrections de bugs, et est constamment mis à jour.

S'adressant à The Hacker News , Dounin a déclaré que l'équipe F5 avait ignoré la politique du projet et les avis des développeurs sans aucune discussion. Si les actions spécifiques n'étaient pas nécessairement mauvaises, l'approche globale était problématique.

Selon Astechnica , F5 a exprimé ses regrets concernant le départ de Dounin, ajoutant que la réussite de projets open source comme Nginx nécessite une communauté de contributeurs large et diversifiée, ainsi que des normes industrielles strictes pour l'attribution et la notation des vulnérabilités connues. L'entreprise estime que c'est la bonne approche pour développer des logiciels hautement sécurisés pour ses clients et la communauté.

Lien source