Kernmitglied verlässt Nginx-Projekt aus Sicherheitsbedenken

Laut Arstechnica hat Maxim Dounin, einer der Hauptentwickler, Nginx verlassen, weil er glaubt, dass es kein Open-Source- und kostenloses Projekt mehr zum Nutzen der Community ist. Dounin gründete Freenginx und sagte, es werde von Entwicklern und nicht von Unternehmen betrieben.

Dounin war einer der ersten und noch immer aktivsten Entwickler des Open-Source-Projekts Nginx und einer der ersten Mitarbeiter von Nginx Inc., einem 2011 gegründeten Unternehmen zur kommerziellen Unterstützung der Webserver-Software. Laut W3techs wird Nginx mittlerweile auf etwa einem Drittel aller Webserver weltweit verwendet, gefolgt von Apache.

Nginx Inc. wurde 2019 von der in Seattle ansässigen Firma F5 übernommen. Ende 2019 wurden jedoch zwei Nginx-Führungskräfte, Maxim Konovalov und Igor Sysoev, von russischen Agenten in ihren Wohnungen festgenommen und verhört. Das Internetunternehmen Rambler beanspruchte den Nginx-Quellcode für sich, da dieser zu Sysoevs Zeiten entwickelt wurde (auch Dounin war dort tätig). Obwohl offenbar keine Anklage erhoben wurde, gibt das Eindringen des russischen Unternehmens in einen beliebten Open-Source-Bereich der Webinfrastruktur Anlass zur Sorge.

Sysoev verließ F5 und das Nginx-Projekt Anfang 2022. Später im selben Jahr stellte F5 aufgrund der russischen Militärkampagne in der Ukraine alle Aktivitäten in diesem Land ein. Mehrere Nginx-Entwickler gründeten Angie, um Nginx-Nutzer in Russland zu unterstützen. Dounin verließ zu diesem Zeitpunkt ebenfalls F5, blieb aber weiterhin als Freiwilliger im Nginx-Projekt tätig.

Nginx ist heute die Open-Source-Webserver-Software mit dem größten Marktanteil.

Dounin sagte, das neue nicht-technische Management von F5 sei kürzlich davon ausgegangen, dass sie wüssten, wie man Open-Source-Projekte betreibt. Insbesondere habe die Gruppe beschlossen, die Sicherheitsrichtlinien, die Nginx seit Jahren nutzte, zu manipulieren und die Entwickler zu umgehen. Er sagte, dies bedeute, dass sie nicht mehr kontrollieren könnten, welche Änderungen an Nginx vorgenommen würden, weshalb er sich zum Rücktritt entschloss.

Kommentare auf The Hacker News , darunter einer von einem mutmaßlichen F5-Mitarbeiter, zeigen, dass Dounin die Zuweisung veröffentlichter CVEs an QUIC ablehnt. Obwohl QUIC in der Standardkonfiguration von Nginx nicht aktiviert ist, ist es laut Nginx-Dokumentation in der Hauptversion der Anwendung enthalten, enthält die neuesten Funktionen und Fehlerbehebungen und ist immer auf dem neuesten Stand.

Gegenüber The Hacker News erklärte Dounin, das F5-Team habe sowohl die Projektrichtlinien als auch die Ansichten der Entwickler ohne Diskussion ignoriert. Zwar seien die konkreten Maßnahmen nicht unbedingt schlecht gewesen, doch der Gesamtansatz sei problematisch.

F5 bedauerte Dounins Weggang und betonte, dass erfolgreiche Open-Source-Projekte wie Nginx eine große und vielfältige Community von Mitwirkenden sowie strenge Industriestandards für die Identifizierung und Bewertung bekannter Schwachstellen erfordern. Das Unternehmen ist überzeugt, dass dies der richtige Ansatz ist, um hochsichere Software für seine Kunden und die Community zu entwickeln.

Quellenlink: https://thanhnien.vn/thanh-vien-cot-loi-roi-du-an-nginx-vi-quan-diem-bao-mat-185240217152035659.htm