コアメンバーがセキュリティ上の懸念からNginxプロジェクトを離脱

[広告_1]

Arstechnicaによると、コア開発者の一人である Maxim Dounin 氏は、Nginx はもはやコミュニティの利益となるオープンソースの無料プロジェクトではないと判断し、Nginx を離れたとのことです。 Dounin 氏は freenginx を創設し、企業ではなく開発者によって運営される予定であると述べました。

Dounin 氏は、Nginx オープンソースプロジェクトの最初の開発者の 1 人で、現在でも最も活発に活動しています。また、Web サーバーソフトウェアを商業的にサポートするために 2011 年に設立された Nginx Inc. の最初の従業員の 1 人でもあります。 W3techsによると、現在、世界中の Web サーバーの約 3 分の 1 で Nginx が使用されており、次に Apache が続いています。

Nginx Inc.は2019年にF5（本社：米国シアトル）に買収されました。しかし、2019年後半、Nginxのリーダーであるマキシム・コノバロフ氏とイゴール・シソエフ氏の2人が、自宅でロシアのエージェントに拘束され、尋問を受けました。インターネット企業 Rambler は、Sysoev 氏が働いていた当時 (Dounin 氏もそこで働いていた) に開発されたため、Nginx のソースコードの所有権を主張している。刑事告訴はまだ実現していないようだが、ロシア企業がウェブインフラの人気のオープンソース部分に侵入したという事実は、懸念を引き起こしている。

Sysoev氏は2022年初頭にF5とNginxプロジェクトから離脱した。同年後半、ロシアによるウクライナでの軍事作戦により、F5は同国でのすべての事業を停止した。一部の Nginx 開発者は、ロシアの Nginx ユーザーをサポートするために Angie を作成しました。 Dounin 氏も当時 F5 での仕事をやめましたが、ボランティアとして Nginx プロジェクトでの役割は継続しました。

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx は、現在最大の市場シェアを誇るオープンソースの Web サーバーソフトウェアです。

Dounin 氏によると、F5 の新しい非技術系経営陣は最近、オープンソースプロジェクトの運営方法を知っていると思い込んでいるという。特に、このグループは開発者を迂回して、Nginx が長年使用してきたセキュリティポリシーに干渉することを決定しました。彼は、Nginx に加えられた変更をもはや制御できないという意味だと解釈し、退社することに決めました。

F5 社と思われる従業員によるコメントを含むThe Hacker Newsのコメントを見ると、Dounin 氏は公開された CVE 脆弱性を QUIC に割り当てることに反対していることがわかります。デフォルトの Nginx セットアップでは有効になっていませんが、Nginx のドキュメントによると、QUIC はアプリケーションのメインバージョンに含まれており、最新の機能とバグ修正が含まれており、常に最新の状態になっています。

ドゥーニン氏はThe Hacker Newsに対し、F5チームはプロジェクトのポリシーと一般開発者の意見の両方を何の議論もなく無視したと述べた。特定の行動は必ずしも悪いわけではありませんが、全体的なアプローチには問題があります。

Astechnicaによると、F5 は Dounin 氏の退任を残念に思っており、Nginx のような成功したオープンソースプロジェクトには、大規模で多様な貢献者のコミュニティが必要であるとともに、特定された脆弱性の割り当てとスコア付けに厳格な業界標準を適用することが必要であると述べた。同社は、これが顧客とコミュニティにとって非常に安全なソフトウェアを開発するための正しいアプローチであると考えています。

[広告2]
ソースリンク