セキュリティ上の懸念からNginxプロジェクトの中心メンバーが離脱

[広告1]

Arstechnicaによると、コア開発者の一人であるMaxim Dounin氏がNginxを去ったとのことです。彼はNginxがもはやコミュニティの利益となるオープンソースかつ無料のプロジェクトではないと判断したためです。Dounin氏はfreenginxの創設者であり、企業組織ではなく開発者によって運営されると述べています。

ドゥーニン氏は、オープンソースプロジェクト「Nginx」の初期開発者の一人であり、現在も最も活発に活動しています。また、2011年にウェブサーバーソフトウェアの商用サポートを目的として設立されたNginx Inc.の初期従業員の一人でもありました。W3techsによると、現在、世界のウェブサーバーの約3分の1でNginxが使用されており、次いでApacheが使用されています。

Nginx Inc.は2019年にシアトルに拠点を置くF5に買収されました。しかし、2019年後半、Nginxの幹部2人、マキシム・コノバロフ氏とイゴール・シソエフ氏がロシアの捜査官に自宅で拘束され、尋問を受けました。インターネット企業Ramblerは、シソエフ氏が勤務していた当時（ドゥーニン氏も勤務していた）に開発されたNginxのソースコードの所有権を主張しました。刑事告発は実現していないようですが、このロシア企業によるウェブインフラのオープンソースとして人気の高い部分への侵入は、懸念を引き起こしています。

Sysoev氏は2022年初頭にF5とNginxプロジェクトを離れました。同年後半、ロシアによるウクライナ軍事作戦を受けて、F5は同国におけるすべての事業を停止しました。数名のNginx開発者は、ロシアのNginxユーザーを支援するためにAngieを設立しました。Dounin氏も同時期にF5を離れましたが、ボランティアとしてNginxプロジェクトへの参加は継続しました。

Thành viên cốt lõi rời dự án Nginx vì quan điểm bảo mật- Ảnh 1. — Nginx は、現在最大の市場シェアを誇るオープンソースの Web サーバーソフトウェアです。

ドゥーニン氏によると、F5の新しい非技術系経営陣は最近、オープンソースプロジェクトの運営方法を知っていると思い込んでいるようだ。特に、このグループは開発者を無視して、長年Nginxが使用してきたセキュリティポリシーを改ざんしようとした。これにより、Nginxに加えられる変更を制御できなくなったため、ドゥーニン氏は退社を決意したという。

Hacker Newsへのコメント（F5社と思われる従業員によるものも含む）によると、Dounin氏はQUICに公開されたCVEを割り当てることに反対している。Nginxのデフォルト設定ではQUICは有効化されていないものの、Nginxのドキュメントによると、QUICはアプリケーションのメインバージョンに含まれており、最新の機能とバグ修正が含まれており、常に最新の状態に保たれている。

ドゥーニン氏はThe Hacker Newsの取材に対し、F5チームはプロジェクトのポリシーと開発者全体の意見の両方を何の議論もせずに無視したと述べた。具体的な行動は必ずしも悪いものではなかったが、全体的なアプローチには問題があった。

F5は、ドゥーニン氏の退任を遺憾に思うと述べ、Nginxのようなオープンソースプロジェクトの成功には、大規模で多様な貢献者コミュニティと、既知の脆弱性の特定と評価に関する厳格な業界標準が必要であると述べました。同社は、これが顧客とコミュニティにとって高度に安全なソフトウェアを開発するための正しいアプローチであると考えています。

[広告2]
ソースリンク