Kjernemedlem forlater Nginx-prosjektet på grunn av sikkerhetsbekymringer

Ifølge Arstechnica har Maxim Dounin – en av kjerneutviklerne – forlatt Nginx fordi han mener at det ikke lenger er et åpen kildekode- og gratisprosjekt til fordel for fellesskapet. Dounin grunnla freenginx og sa at det vil bli drevet av utviklere, ikke bedrifter.

Dounin var en av de første og fortsatt mest aktive utviklerne av Nginx åpen kildekode-prosjekt, og var en av de første ansatte i Nginx Inc., et selskap grunnlagt i 2011 for å gi kommersielt støtte til webserverprogramvaren. Ifølge W3techs brukes Nginx nå i omtrent en tredjedel av verdens webservere, etterfulgt av Apache.

Nginx Inc. ble kjøpt opp av Seattle-baserte F5 i 2019. Sent i 2019 ble imidlertid to av Nginx' ledere, Maxim Konovalov og Igor Sysoev, arrestert og avhørt av russiske agenter i hjemmene sine. Internettselskapet Rambler har hevdet eierskap til Nginx-kildekoden fordi den ble utviklet på den tiden Sysoev jobbet der (Dounin jobbet også der). Selv om det ikke ser ut til at det har blitt reist noen straffeanklager, har det faktum at et russisk selskap har benyttet seg av en populær åpen kildekode-del av nettets infrastruktur, skapt bekymring.

Sysoev forlot F5 og Nginx-prosjektet tidlig i 2022. Senere samme år, på grunn av Russlands militære kampanje i Ukraina, opphørte F5 all virksomhet i landet. Flere Nginx-utviklere dannet Angie for å støtte Nginx-brukere i Russland. Dounin forlot også F5 på den tiden, men beholdt sin rolle i Nginx-prosjektet som frivillig.

Nginx er den åpen kildekode-webserverprogramvaren med størst markedsandel i dag.

Dounin sa at den nye ikke-tekniske ledelsen hos F5 nylig antok at de visste hvordan man kjører åpen kildekode-prosjekter. Spesielt bestemte gruppen seg for å tukle med sikkerhetspolicyen som Nginx hadde brukt i årevis, og dermed omgå utviklerne. Han sa at dette betydde at han ikke lenger hadde kontroll over hvilke endringer som ble gjort i Nginx, så han bestemte seg for å slutte.

Kommentarer på The Hacker News , inkludert en fra en ansatt som antas å være fra F5, viser at Dounin protesterer mot tildelingen av publiserte CVE-sårbarheter til QUIC. Selv om det ikke er aktivert i Nginx' standardoppsett, er QUIC ifølge Nginx' dokumentasjon inkludert i hovedversjonen av applikasjonen, inneholder de nyeste funksjonene og feilrettingene, og holdes alltid oppdatert.

I et intervju med The Hacker News sa Dounin at F5-teamet ignorerte både prosjektpolicyen og synspunktene til de generelle utviklerne uten noen diskusjon. Selv om de spesifikke handlingene ikke nødvendigvis var dårlige, var den overordnede tilnærmingen problematisk.

Ifølge Astechnica beklager F5 Dounins avgang, og legger til at vellykkede åpen kildekode-prosjekter som Nginx krever et stort og mangfoldig fellesskap av bidragsytere og strenge bransjestandarder for tildeling og poengsetting av kjente sårbarheter. Selskapet mener dette er den riktige tilnærmingen for å utvikle svært sikker programvare for kundene og fellesskapet.

Kildekobling: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm