James Bottomley fra IBM Research, som arbejder med SCSI- og PA-RISC-underkomponenter i Linux-kernen og tidligere ledede den tekniske komité for Linux Foundation, har foreslået en løsning på problemet med den mulige juridiske ansvarlighed for udviklere af open source-kode for fejl i koden eller manglende udbedring af sårbarheder.
Ideen er at overføre det juridiske ansvar for fejl i kildekoden fra udviklerne af open source-projekter til leverandørerne af de kommercielle produkter, der er baseret på denne kode, dvs. at flytte ansvaret fra den, der udvikler koden, til den, der tjener penge på koden. For eksempel, hvis et firma bruger tredjeparts open source-kode i sit produkt, og en fejl/sårbarhed i denne kode har medført skade på brugeren, så er det producenten af det kommercielle softwareprodukt, der skal være ansvarlig og erstatte skaden, ikke udvikleren af den åbne bibliotekskode.
Overførslen af ansvar foreslås gennem tilføjelse af en klausul til licensen, der angiver enighed om at erstatte tab og beskytte deltagere i udviklingen mod eventuelle juridiske krav i tilfælde af fuld eller delvis brug af den kode, der stilles til rådighed under denne licens, som en komponent eller produkt i jurisdiktioner, der pålægger yderligere forpligtelser vedrørende vedligeholdelse af softwareprodukter.
I den nuværende praksis er det tilstrækkeligt at have en 'AS IS'-meddelelse i licensen, som angiver, at udvikleren ikke påtager sig ansvar for fejl, ikke giver nogen garantier for kodefunktionalitet og ikke accepterer forpligtelser til at løse problemer, mens forbrugeren accepterer at bruge koden på eget ansvar. Mangel på garantier fra udviklerne har stimuleret udviklingen af en forretningsmodel baseret på betalt teknisk support, som dominerede i de tidlige faser af opbygningen af open source-økosystemet.
Efterhånden som open source trængte ind i industrien, og interessen fra virksomheder for at bruge det voksede, begyndte konceptet med at påvirke udviklingen gennem non-profit fonde at udvikle sig — på baggrund af et stort projekt oprettes en fond, der modtager finansiering til udvikling fra store virksomheder, som til gengæld får muligheden for at deltage i tilsynsrådet og deltage i kollegiale beslutninger om den fremtidige udvikling. Fremkomsten af fonde har transformeret holdningen til open source-projekter, som nu bliver set som et redskab til udvikling af den teknologiske industri og ikke som en kaotisk havn for frivillige. Også opfattelsen af ansvaret for problemer med open source har ændret sig — i stedet for at beskytte individuelle udviklere, er punktet om fravær af forpligtelser blevet opfattet som en mulighed for store virksomheder, der skaber open source-produkter, til at undgå ansvar.
Situationen omkring fraværet af forpligtelser kan ændre sig, hvis Cyber Resilience Act vedtages i EU, hvilket lægger et bestemt ansvar på producenter af software, der ikke omhyggeligt tager sig af sikkerheden og ikke hurtigt retter sårbarheder i produktets livscyklus. Lovforslaget omhandler producenter af kommerciel software og, baseret på det igangværende arbejde, vil give en særlig undtagelse for software under åbne licenser, men der er ingen garantier for, at der i fremtiden ikke vil blive vedtaget en lignende lov et sted uden sådanne undtagelser.
Som et eksempel på risici forbundet med udvikleransvar nævnes også en retssag indledt i Storbritannien, hvor Tulip Trading, der har mistet bitcoins til en værdi af cirka 4 milliarder dollars i et angreb, kræver, at Bitcoin-systemets udviklere ændrer koden på blockchainen for at få de tabte midler tilbage. Sagen er anlagt mod udviklerne af værktøjs-koden, ikke operatørerne af Bitcoin-netværket. Først instans domstolen nægtede at imødekomme kravet baseret på en klausul i licensen om ansvarsfraskrivelse, men behandlingen fortsatte i appelretten, som tilsyneladende også vil afvise kravet, men denne gang på grund af Tulip Tradings manglende evne til at bevise ejerskabet af de påståede bitcoins.
Kilde: opennet.ru
