Джеймс Боттомли (James Bottomley) от IBM Research, который курирует подсистемы SCSI и PA-RISC в ядре Linux и ранее возглавлял технический комитет Linux Foundation, предложил решение проблемы возможной юридической ответственности разработчиков открытого кода за ошибки в коде или ненадлежащее устранение уязвимостей.
Идея заключается в том, чтобы перенести юридическую ответственность за ошибки в исходном коде с разработчиков открытых проектов на поставщиков конечных коммерческих продуктов, основанных на этом коде, то есть переместить ответственность с тех, кто разрабатывает код, на тех, кто получает выгоду от него. Например, если компания использует сторонний открытый код в своем продукте, и ошибка/уязвимость в этом коде привела к ущербу для пользователя, то в такой ситуации ответственность за возмещение ущерба должен нести производитель поставленного пользователю коммерческого программного обеспечения, а не разработчик открытой библиотеки.
Перенос ответственности предлагается осуществить путем добавления в лицензию пункта, указывающего на согласие возмещать убытки и защищать участников разработки от любых юридических претензий в случае полного или частичного использования предоставленного под данной лицензией исходного кода в качестве компонента или продукта в юрисдикциях, накладывающих дополнительные обязательства по сопровождению программного обеспечения.
В нынешней практике для снятия с себя юридических рисков достаточно наличия в лицензии предупреждения «AS IS», где указано, что разработчик не несет ответственности за ошибки, не дает никаких гарантий работоспособности кода и не принимает на себя обязательств по решению проблем, а потребитель соглашается использовать код на свой страх и риск. Отсутствие гарантий от разработчиков способствовало развитию бизнес-модели на основе платной технической поддержки, которая доминировала на раннем этапе формирования экосистемы СПО.
С развитием глубокой интеграции открытого кода в индустрию и растущим интересом со стороны корпораций к его использованию, появилась концепция влияния на разработку через некоммерческие фонды. На базе крупных проектов создаются фонды, которые получают финансирование для разработки от больших компаний. В ответ эти компании получают возможность входить в технический надзорный совет и участвовать в коллегиальных решениях о дальнейшем развитии. Появление фондов изменило восприятие открытых проектов, превратив их в инструмент развития технологической индустрии, а не в стихийное пристанище волонтёров. Также изменилось понимание ответственности за проблемы в открытом коде: вместо защиты отдельных разработчиков, положение об отсутствии обязательств стало рассматриваться как возможность уклонения от ответственности со стороны крупных компаний, создающих открытые продукты.
Ситуация с отказом от обязательств может измениться в случае принятия в Европейском Союзе законопроекта Cyber Resilience Act, который возлагает определённую ответственность на производителей программного обеспечения, надлежащим образом не заботящихся о безопасности и оперативно не устраняющих уязвимости на протяжении жизненного цикла продукта. Законопроект касается производителей коммерческого ПО и, судя по текущим обсуждениям, даст специальное исключение для ПО с открытыми лицензиями, однако нет никаких гарантий, что в будущем не будет принят аналогичный закон без таких исключений.
Като пример за рисковете, свързани с отговорността на разработчиците, се споменава също и инициираното във Великобритания съдебно дело, при което компанията Tulip Trading, загубила биткойни на стойност около 4 милиарда долара при хакерска атака, изисква от разработчиците на системата Bitcoin да внесат промени в кода на блокчейна, за да върнат загубената сума. Искът е подаден против разработчиците на кода на инструмента, а не срещу операторите на мрежата Bitcoin. Първата инстанция отказала да удовлетвори иска на основание на клауза в лиценза за освобождаване от отговорност, но разискването продълджава в апелативния съд, който изглежда също ще отхвърли иска, но този път заради неспособността на компанията Tulip Trading да докаже притежание на биткойни за заявената сума.
Източник: opennet.ru
