המפתח של libxml2 מבטל את נוהל אסגרת פרצות האבטחה עקב שחיקה

ספריית libxml2 מפותחת ומתוחזקת ע"י מתנדב בודד, Nick Wellnhofer, אשר הכריז כי הוא מבטל את נוהל אסגרת פרצות האבטחה - נוהל בו פרצות שמדווחות באופן חשאי ומטופלות האופן דחוף ולאחר מכן מובאות לידיעת הציבור. הוא אינו מסוגל לעמוד בעומס ובמשאבים הנובעים מהתהליך ומבקר את האופן בו חברות שמרוויחות מיליארדים מעמיסות על מתנדבים המתחזקים ספריות ללא שום תגמול.

כוונתו מעתה להתייחס לדיווחים האלה כמו כל באג אחר ויש לו בטן מלאה על הארגונים האלה שמשליכים על המתנדבים את עול הטיפול בפרצות:

ככל שאני חושב על זה יותר, כך אני מבין שזו הדרך היחידה להמשיך. אני עושה זאת מספיק זמן כדי לדעת שרוב הסודיות סביב נושאי אבטחה היא רק למראית עין. כל "השיטות המומלצות" כמו OpenSSF Scorecards הן רק ניסיון של חברות טכנולוגיה גדולות לגרום למתחזקי תוכנה חופשית להרגיש אשמה ולגרום להם לעבוד בחינם. החברה שלי, שמורכבת מאדם בודד, ניסתה לאחרונה להפוך לחברה ב-OpenSSF. קודם כל צריך להפוך לחבר ב-Linux Foundation, בעלות של לפחות 10,000$ לשנה. הארגונים האלה הם מועדונים מאוד בלעדיים ורחוקים מלהיות פתוחי והגיע הזמן לקרוא תיגר עליהם ועל התומכים שלהם.

דרישות כאלה ממתחזקי תוכנה חופשית ללא פיצוי רק מזיקות. זה עתה פרשתי מתפקידי כמתחזק של libxslt), וסביר להניח שהפרויקט הזה לא יתוחזק שוב לעולם. זה אף פחות סביר כאשר Google Project Zero, ה־white hat הטובים ביותר שניתן לקנות בכסף, נושפים בעורף המתנדבים.

במאמר ב־Socket הוסיף על כך:

libxml2 מעולם לא היה איכותי מספיק לשימוש בדפדפנים מרכזיים או במערכות הפעלה. הכל התחיל כאשר אפל הפכה את libxml2 לרכיב מרכזי בכל מערכות ההפעלה שלה. גוגל הלכה בעקבותיה לאחר מכן ועכשיו אפילו מיקרוסופט משתמשת ב-libxml2 במערכת ההפעלה שלה מחוץ ל-Edge. זה לא היה אמור לקרות."

...החברות האלה מרוויחות מיליארדי דולרים ולא מוכנות לטפל בחוב הטכני שלהן, בין אם על ידי מעבר לפתרונות טובים יותר, פיתוח פתרונות משלהן או ניסיון לשפר את libxml2 ... אני לא משתתף יותר במשחק הזה.

לא חושב שיש פה מישהו שתחזק לאןרך זמן פרוייקט פתוח, אתר, תיעוד, או כנסים פופולריים ולא יסכים עם זה - שחיקה היא בעיה רצינית ונפוצה, במיוחד כשיחס הצרכנים ליצרנים המתנדבים גבוה כל כך.

מקור: OSnews.