Megjelentek a Debian projekt fejlesztőinek általános szavazásának (GR, általános határozat) eredményei, akik részt vesznek a csomagok karbantartásában és az infrastruktúra támogatásában, amelyben jóváhagyták a projekt állásfoglalását a az Európai Unióban előmozdított Cyber Resilience Act (CRA) jogszabálytervezettel kapcsolatban. A jogszabály további követelményeket vezet be a szoftvergyártók számára, amelyek célja a biztonság fenntartása, a biztonsági eseményekről való tájékoztatás és a sérülékenységek gyors javítása a termék életciklusa alatt.
A követelmények megsértése esetén bírságokat terveznek bevezetni, amelyek akár 15 millió euróra vagy a cég éves forgalmának 2,5%-ára is rúghatnak. A jogszabály elfogadása után a gyártóknak kötelezően biztosítaniuk kell a javítások szállításának eszközeit, értékelniük kell a piaci megjelenés előtt a biztonsággal kapcsolatos kockázatokat, el kell végezniük a termék biztonsági tesztelését (a kritikus fontosságú rendszerek esetében kötelező külső auditot írnak elő), és a teljes életciklus során meg kell szüntetniük a biztonsági sérülékenységeket, valamint 24 órán belül tájékoztatniuk kell a biztonsági eseményekről, miután a problémát felfedezték.
Bár a megfigyelhető tendenciák szerint a jogszabálytervezet csak a kereskedelmi szoftvergyártókat érinti, a közösség aggódik a nyílt forráskódú fejlesztési ökoszisztémára gyakorolt negatív hatása miatt, és a jogszabályt olyan tényezőnek tekinti, amely visszafojtja a nyílt projektek előrehaladását és gátolja a nyílt forrású szoftverek nemzetközi mozgalomként való fejlődését. Azok a cégek, amelyek nemzetközi nyílt projektekre alapozva fejlesztenek termékeket vagy nyílt könyvtárakat használnak, felelősséget fognak viselni a biztonsági problémákért és a kódban lévő sérülékenységek nem megfelelő javításáért, még akkor is, ha ezt a kódot más országokban működő lelkes fejlesztők írták. Azt várják, hogy a megnövekedett üzleti kockázatok csökkentik a nyílt forráskódú szoftverek létrehozásának vonzerejét.
Ugyanakkor a jogi következmények érinthetik a független projekteket is, amelyek kereskedelmi termelőktől származó kódot tartalmaznak. Például bizonytalanság merül fel a felelősség vállalásában azokban az esetekben, amikor a kereskedelmi vállalat által fejlesztett nyílt kód átkerül harmadik fél nem profitáló projektjeibe, és Linux disztribúciókban használják.
A törvényjavaslat jogi felelősséget vezet be a biztonsági követelmények be nem tartásáért, ami ellentétes a Debian társadalmi kötelezettségeivel, miszerint szoftvert kell terjeszteni bármilyen célból és korlátozások nélkül. A Debian nem követi a kód kereskedelmi projektekhez való kapcsolódását, a fejlesztők foglalkoztatását és a fejlesztések finanszírozásának forrásait, amelyeket a disztribúcióban szállítanak, ezért a törvényjavaslatban megfogalmazott követelmények bevezetése növeli a jogi kockázatokat a disztribúció használatakor.
Fenyegetés áll fenn, hogy az upstream projektek abbahagyják a kódjuk biztosítását a CRA hatálya alá kerülésétől való félelem miatt, valamint a hozzá kapcsolódó büntető szankciók alkalmazása miatt. A CRA bonyolíthatja a nyílt kód közösségbe történő átadásának folyamatát — ahhoz, hogy egy fejlesztő kódot nyithasson meg, értékelnie kell a lehetséges jogi következményeket. Ezenkívül a törvényjavaslat csökkenti a nyílt fejlesztési folyamat vonzerejét, mivel a munka nyílt és átlátható mindenki számára, és a kód felhasználható a fejlesztés során, lehetővé téve a CRA követelményeinek alkalmazását a termék fejlesztése során, míg a szabadalmaztatott szoftvert zárt ajtók mögött fejlesztik, és a törvény alá esik a végső kiadás után.
A Debian fejlesztői arra kérik, hogy a nyílt fejlesztési folyamatot teljesen vonják ki a CRA hatálya alól, és a törvényt csak a végtermékekre alkalmazzák. Ezenkívül javasolják, hogy a CRA követelményeit ne alkalmazzák az egyéni vállalkozókra és kisvállalatokra, mivel számukra lehetetlen teljesíteni a CRA által megfogalmazott összes követelményt, és kénytelenek lesznek bezárni a vállalkozásukat.
A nyilatkozatban említést nyert a követelés kérdéses jellege, amely a Hálózati és Információs Biztonsági Ügynökség (ENISA) részére a biztonsági problémákra vonatkozó adatok 24 órán belüli átadását írja elő a probléma felfedezése vagy a sebezhetőségről való értesülés után. Az összes még nem javított sebezhetőség egy helyen való felhalmozása súlyos problémákhoz vezethet minden felhasználó számára, ha információszivárgás, az adatok átadása titkosszolgálatoknak vagy az ENISA kompromittálása történik.
Forrás: opennet.ru
