Un miembro principal abandona el proyecto Nginx por problemas de seguridad

Según Arstechnica , Maxim Dounin, uno de los desarrolladores principales, abandonó Nginx porque cree que ya no es un proyecto gratuito y de código abierto para el beneficio de la comunidad. Dounin creó freenginx y dijo que sería administrado por desarrolladores, no por entidades corporativas.

Dounin fue uno de los primeros y aún más activos desarrolladores del proyecto de código abierto Nginx, y fue uno de los primeros empleados de Nginx Inc., una empresa fundada en 2011 para apoyar comercialmente el software de servidor web. Según W3techs , Nginx se utiliza actualmente en aproximadamente un tercio de los servidores web del mundo, seguido de Apache.

Nginx Inc. fue adquirida por F5 (con sede en Seattle, EE. UU.) en 2019. Sin embargo, a finales de 2019, dos líderes de Nginx, Maxim Konovalov e Igor Sysoev, fueron detenidos e interrogados por agentes rusos en sus domicilios. La empresa de Internet Rambler ha reivindicado la propiedad del código fuente de Nginx porque fue desarrollado en la época en que Sysoev trabajaba (Dounin también trabajaba allí). Si bien los cargos criminales no parecen haberse materializado, el hecho de que una empresa rusa se haya infiltrado en una parte popular de código abierto de la infraestructura web ha generado algunas preocupaciones.

Sysoev abandonó F5 y el proyecto Nginx a principios de 2022. Más tarde ese año, debido a la campaña militar de Rusia en Ucrania, F5 cesó todas las operaciones en ese país. Algunos desarrolladores de Nginx han creado Angie para apoyar a los usuarios de Nginx en Rusia. Dounin también dejó de trabajar para F5 en ese momento, pero mantuvo su papel en el proyecto Nginx como voluntario.

Nginx es el software de servidor web de código abierto con la mayor participación de mercado en la actualidad.

Dounin dice que la nueva gerencia no técnica de F5 asumió recientemente que sabían cómo ejecutar proyectos de código abierto. En particular, este grupo decidió interferir con la política de seguridad que Nginx ha estado utilizando durante años, pasando por alto a los desarrolladores. Él interpretó esto como que ya no podía controlar qué cambios se realizaban en Nginx, por lo que decidió irse.

Los comentarios en The Hacker News , incluido uno de un empleado que se cree que es de F5, muestran que Dounin se opone a la asignación de vulnerabilidades CVE publicadas a QUIC. Aunque no está habilitado en la configuración predeterminada de Nginx, según la documentación de Nginx, QUIC está incluido en la versión principal de la aplicación, contiene las últimas características y correcciones de errores, y siempre está actualizado.

En respuesta a The Hacker News , Dounin dijo que el equipo de F5 ignoró tanto la política del proyecto como las opiniones de los desarrolladores en general sin ninguna discusión. Si bien la acción específica no es necesariamente mala, el enfoque general es problemático.

Según Astechnica , F5 dijo que lamenta la partida de Dounin y afirmó que los proyectos de código abierto exitosos como Nginx requieren una comunidad grande y diversa de contribuyentes, además de aplicar estándares industriales estrictos para asignar y calificar las vulnerabilidades identificadas. La empresa cree que este es el enfoque correcto para desarrollar software altamente seguro para los clientes y la comunidad.

Enlace de origen: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm