Предложение за прехвърляне на отговорността за грешки в открития код

Джеймс Боттомли от IBM Research, отвечающий за SCSI и PA-RISC в ядре Linux и ранее председатель технического комитета Linux Foundation, предложил решение проблемы возможной ответственности разработчиков открытого кода за ошибки в коде или ненадлежащее устранение уязвимостей.

Суть идеи заключается в том, чтобы переложить юридическую ответственность за ошибки в исходном коде с разработчиков открытых проектов на поставщиков конечных коммерческих продуктов, базирующихся на этом коде, то есть сместить ответственность с разработчика кода на того, кто извлекает выгоду из этого кода. Например, если компания использует сторонний открытый код в своем продукте и ошибка или уязвимость в этом коде привела к ущербу пользователю, то ответственность за это и возмещение ущерба должны нести производители коммерческого программного продукта, а не разработчики открытой библиотеки.

Предлагается реализовать перекладывание ответственности через добавление пункта к лицензии, указывающего на согласие возмещать убытки и защищать участников разработки от любых юридических претензий в случае полного или частичного использования предоставленного под данной лицензией исходного кода в качестве компонента или продукта в юрисдикциях, накладывающих дополнительные обязательства по сопровождению программных продуктов.

В нынешней практике для снятия с себя юридических рисков достаточно наличия в лицензии предупреждения «AS IS», в котором заявлено, что разработчик не несёт ответственности за ошибки, не даёт никаких гарантий на работоспособность кода и не принимает обязательств по решению проблем, а потребитель соглашается использовать код на свой страх и риск. Отсутствие гарантий от разработчиков стимулировало развитие бизнес-модели на основе платной технической поддержки, которая доминировала на раннем этапе становления экосистемы СПО.

По мере проникновения открытого кода в индустрию и роста интереса корпораций к его использованию стала развиваться концепция влияния на разработку через некоммерческие фонды — на базе крупного проекта создаётся фонд, получающий финансирование на разработку от крупных компаний, которым в ответ предоставляется возможность вхождения в надзорный технический совет и участия в принятии коллегиальных решений о дальнейшем развитии. Появление фондов преобразило отношение к отрытым проектам, которые стали восприниматься как инструмент развития технологической индустрии, а не беспорядочное пристанище добровольцев. Изменилось и восприятие ответственности за проблемы в открытом коде — вместо защиты отдельных разработчиков, пункт об отсутствии обязательств стал восприниматься как возможность ухода от ответственности крупных компаний, создающих открытые продукты.

Ситуация с отказом от обязательств может измениться, если в Евросоюзе будет принят законопроект Cyber Resilience Act, который накладывает определенную ответственность на производителей программного обеспечения, которые не заботятся должным образом о безопасности и не устраняют уязвимости на протяжении жизненного цикла продукта. Законопроект касается производителей коммерческого ПО и, судя по текущей работе, предоставит специальное исключение для ПО под открытыми лицензиями, но нет никаких гарантий, что в будущем где-то не будет принят аналогичный закон без подобных исключений.

Като пример за рисковете, свързани с отговорността на разработчиците, се споменава заведеното в Обединеното кралство съдебно производство, по което компанията Tulip Trading, загубила около 4 милиарда долара в биткойни при хакерска атака, иска от разработчиците на системата Bitcoin да направят промени в кода на блокчейна, за да възстановят загубената сума. Искът е подаден срещу разработчиците на инструментариума, а не срещу операторите на мрежата Bitcoin. Съдът на първа инстанция отхвърли искането на основание на точка в лиценза за отказ от отговорност, но делото продължи в апелативния съд, който, очевидно, също ще отхвърли иска, но този път поради неспособността на компанията Tulip Trading да докаже притежанието на биткойни за заявената сума.

Източник: opennet.ru