James Bottomley IBM Researchist, kes juhib SCSI ja PA-RISC alamkodusid Linuxis ning on varem juhtinud Linux Foundationi tehnilist komiteed, pakkus välja lahenduse probleemile, millega võib kaasneda avatud koodide arendajate vastutusele võtmine koodivigade või haavatavuste ebaõige kõrvaldamise eest.
Idee seisneb juriidilise vastutuse ülekandmises avatud projektide koodi arendajatelt lõppkasutajatele suunatud kommertstoote tarnijatele, st vastutuse nihutamises koodi arendajalt sellele, kes selle koodi pealt raha teenib. Näiteks, kui ettevõte kasutab oma tootmises kolmandate osapoolte avatud koodi ja selle koodiga seotud viga/haavatavus põhjustab kasutajale kahju, peab vastutama ja kahju hüvitama toote tootja, mis on antud kasutajale, mitte avatud raamatukogu arendaja.
Vastutuse üleviimine on soovitatav ellu viia, lisades litsentsile punkti, mis näitab kokkulepet kahjude hüvitamiseks ja arenduses osalejate kaitsmiseks võimalike õiguslike nõuete eest, kui antud litsentsi all antud lähtekoodi kasutatakse osana või tootena piirkondades, kus kehtivad täiendavad programmitootmisega seotud kohustused.
Praegu piisab juriidiliste riskide minimeerimiseks litsentsis hoiatuse "AS IS" olemasolust, mis kinnitab, et arendaja ei vastuta vigade eest, ei anna garantiiid koodi töövõimele ja ei võta endale kohustusi probleemide lahendamiseks, samas kui tarbija nõustub koodi kasutama enda riskil. Arendajate garantii puudumine on soodustanud tasulise tehnilise toe äri mudeli arengut, mis domineeris avatud tarkvara ökosüsteemi varases arengus.
Avatud koodi süvenedes tööstusse ja ettevõtete huvi selle kasutamise kasvades on hakanud arenema arendusprotsesside mõjule suunatud kontseptsioon mittetulunduslike fondide kaudu – suurtel projektidel luuakse fond, mis saab suurettevõtetelt rahastust arendamiseks ning vastutasuks antakse võimalus osaleda tehnilises nõukogus ja kollektiivsete otsuste tegemises edasise arengu osas. Fondide tekkimine on muutnud suhtumist avatud projektidesse, mis on nüüd tunnustatud tehnoloogiatööstuse arengu tööriistadena, mitte segadusse ajava vabatahtlike pelgupaikadena. Samuti on muutunud vastutuse tajumine avatud koodiprobleemide eest – eraldi arendajate kaitsmise asemel on kohustuste puudumise punkt hakanud tunduma kui suurte avatud toodete loojate vastutuse vältimise võimalus.
Kohustuste täitmise olukord võib muutuda, kui Euroopa Liidus võetakse vastu Cyber Resilience Act, mis seab kindlad vastutused tarkvara tootjatele, kes ei hooli nõuetekohaselt turvalisusest ja ei kõrvalda haavatavusi toote elutsükli jooksul. Eelnõu käsitleb kaubandusliku tarkvara tootjaid ja tööde põhjal näib, et see annab spetsiaalse erandi avatud litsentsidega tarkvarale, kuid pole mingit garantiid, et tulevikus ei võeta kuskil vastu sarnast seadust ilma selliste eranditeta.
Näiteks arendajate vastutusega seotud riskide hulgas tuuakse välja Ühendkuningriigis algatatud kohtumenetlus, kus ettevõte Tulip Trading, kes kaotas umbes 4 miljardi dollari väärtuses bitcoine häkkeri tegevuse tõttu, nõuab Bitcoin süsteemi arendajatelt koodimuudatuste tegemist, et kaotatud summa tagasi saada. Kahjuavaldus esitati tööriistade koodi arendajate vastu, mitte Bitcoin võrgu operaatorite vastu. Esimese astme kohus keeldus hagitaktika rahuldamisest vastavalt litsentsi tingimuste vabastamise punktile, kuid vaidlus jätkus apellatsioonikohtus, mis, nagu tundub, lükkab samuti kautsjoni tagasi, kuid seekord selle tõttu, et Tulip Trading ei suutnud tõestada enda omanduses olevate bitcoinide summat.
Allikas: opennet.ru
