핵심 멤버가 보안 문제로 Nginx 프로젝트에서 탈퇴

Arstechnica 에 따르면, 핵심 개발자 중 한 명인 Maxim Dounin은 Nginx가 더 이상 커뮤니티의 이익을 위한 오픈 소스 및 무료 프로젝트가 아니라고 생각하여 Nginx를 떠났습니다. Dounin은 freenginx를 만들었고, 기업이 아닌 개발자가 운영할 것이라고 말했습니다.

Dounin은 Nginx 오픈 소스 프로젝트의 최초 개발자 중 한 명이자 현재까지도 가장 활발하게 활동하는 개발자 중 한 명이며, 웹 서버 소프트웨어를 상업적으로 지원하기 위해 2011년에 설립된 회사인 Nginx Inc.의 최초 직원 중 한 명이었습니다. W3techs 에 따르면, Nginx는 현재 전 세계 웹 서버의 약 3분의 1에서 사용되고 있으며, 그 뒤를 Apache가 따르고 있습니다.

Nginx Inc.는 2019년에 F5(미국 시애틀에 본사)에 인수되었습니다. 그러나 2019년 말, Nginx의 두 리더인 막심 코노발로프와 이고르 시소예프가 러시아 요원들에 의해 집에서 구금되어 심문을 받았습니다. 인터넷 회사인 램블러는 Nginx의 소스 코드 소유권을 주장했습니다. 그 이유는 Nginx가 시소예프가 일하던 당시에 개발되었기 때문입니다(두닌도 그곳에서 일했습니다). 형사 고발은 아직 이루어지지 않은 것으로 보이지만, 러시아 회사가 웹 인프라의 인기 있는 오픈 소스 부분에 침투했다는 사실은 일부 우려를 불러일으켰습니다.

시소예프는 2022년 초에 F5와 Nginx 프로젝트를 떠났습니다. 그해 말, 러시아의 우크라이나 군사 작전으로 인해 F5는 해당 국가에서 모든 운영을 중단했습니다. 일부 Nginx 개발자는 러시아의 Nginx 사용자를 지원하기 위해 Angie를 만들었습니다. 두닌 역시 당시 F5에서 일하는 것을 그만두었지만, Nginx 프로젝트에서는 자원봉사자로서의 역할을 유지했습니다.

Nginx는 현재 가장 큰 시장 점유율을 보유한 오픈소스 웹 서버 소프트웨어입니다.

Dounin은 F5의 새로운 비기술적 경영진이 최근 오픈 소스 프로젝트를 운영하는 방법을 알고 있다고 생각했다고 말했습니다. 특히 이 그룹은 개발자들을 우회하여 Nginx가 수년간 사용해 온 보안 정책을 방해하기로 결정했습니다. 그는 이것이 Nginx에 가해지는 변경 사항을 더 이상 통제할 수 없다는 것을 의미한다고 생각하여 떠나기로 결정했습니다.

The Hacker News 에 게재된 댓글 중에는 F5 직원으로 추정되는 사람의 댓글도 있는데, 이를 보면 Dounin이 공개된 CVE 취약점을 QUIC에 할당하는 것에 반대한다는 것을 알 수 있습니다. Nginx 기본 설정에서는 활성화되어 있지 않지만 Nginx 설명서에 따르면 QUIC는 애플리케이션의 기본 버전에 포함되어 있으며 최신 기능과 버그 수정 사항을 포함하고 있으며 항상 최신 상태로 유지됩니다.

The Hacker News 에 답변하면서 Dounin은 F5 팀이 프로젝트 정책과 일반 개발자의 의견을 아무런 논의 없이 무시했다고 말했습니다. 구체적인 행동 자체는 반드시 나쁘지 않지만, 전반적인 접근 방식에는 문제가 있습니다.

Astechnica 에 따르면 F5는 Dounin의 이탈을 유감스럽게 생각하며, Nginx와 같은 성공적인 오픈소스 프로젝트에는 크고 다양한 기여자 커뮤니티가 필요하며, 식별된 취약점을 할당하고 점수를 매기기 위해 엄격한 산업 표준을 적용해야 한다고 밝혔습니다. 이 회사는 이것이 고객과 커뮤니티를 위해 고도로 안전한 소프트웨어를 개발하는 올바른 접근 방식이라고 믿습니다.

소스 링크: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm