James Bottomley, az IBM Research részlegének munkatársa, aki a Linux kernel SCSI és PA-RISC alrendszereit felügyeli, valamint korábban a Linux Foundation technikai bizottságát vezette, javaslatot tett a megoldásra, amely lehetőséget adhat a nyílt forráskód fejlesztőinek felelősségre vonására a kód hibáiért vagy a sebezhetőségek nem megfelelő kezeléséért.
Az ötlet lényege, hogy a nyílt projektek fejlesztőitől a végső kereskedelmi termékek szállítóira helyezzék át a jogi felelősséget a forráskódban lévő hibákért, azaz a felelősséget áttegyék attól, aki a kódot fejleszti, arra, aki profitál a kódból. Például, ha egy cég harmadik fél nyílt kódját használja a termékében, és a kódban lévő hiba/sebezhetőség kárt okoz a felhasználónak, akkor ilyen helyzetben a felhasználónak átadott kereskedelmi szoftvertermék gyártójának kell felelnie és kártérítést nyújtania, nem pedig a nyílt könyvtár fejlesztőjének.
A felelősség áthárítását a javaslat szerint a licenszhez hozzáfűzött rendelkezés valósítaná meg, amely egyetértést nyújt a károk megtérítésére és védi a fejlesztési résztvevőket minden jogi követelés ellen, amennyiben a jelen licensz alapján biztosított forráskódot teljes egészében vagy részben komponenst vagy terméket alkotó elemként használják a joghatóságok által előírt további kötelezettségekkel szemben a szoftvertermékek támogatásában.
A jelenlegi gyakorlat szerint a jogi kockázatok eltávolításához elegendő, ha a licensz tartalmaz egy „AS IS” figyelmeztetést, amelyben nyilatkozik, hogy a fejlesztő nem vállal felelősséget a hibákért, nem nyújt garanciát a kód működésére, és nem vállal kötelezettséget a problémák megoldására, a fogyasztó pedig egyetértene a kód saját kockázatára való használatával. A fejlesztők által nyújtott garanciák hiánya ösztönözte egy díjköteles technikai támogatásra épülő üzleti modell fejlődését, amely a nyílt szoftverek ökoszisztémájának korai szakaszában dominált.
Ahogy a nyílt forráskód térnyerésével a vállalatok érdeklődése is növekedett, úgy fejlődésnek indult az a koncepció, amelynek keretében nem profitáló alapítványok befolyásolják a fejlesztést – egy nagy projekt alapján létrejön egy alap, amely nagyvállalatoktól kap finanszírozást a fejlesztéshez, cserébe pedig lehetőséget biztosít számukra, hogy részt vegyenek a felügyelő műszaki tanács munkájában és közösen hozzanak döntéseket a jövőbeni fejlesztésekről. Az alapok megjelenése megváltoztatta a nyílt projektekhez való hozzáállást, amelyek most már a technológiai ipar fejlesztésének eszközeként jelennek meg, nem pedig a véletlenszerű önkéntesek menedékhelyeként. Megváltozott a nyílt forráskód problémáival szembeni felelősségérzet is – ahelyett, hogy az egyes fejlesztők védelmét szolgálta volna, a kötelezettségek hiányára vonatkozó kitétel a nagyvállalatok felelősség alóli kibúvójaként kezdett el értelmeződni.
A kötelezettségek elhagyásának helyzete megváltozhat, amennyiben az Európai Unióban elfogadják a Cyber Resilience Act törvényjavaslatot, amely bizonyos felelősséget ró a szoftvergyártókra, akik nem gondoskodnak megfelelően a biztonságról és nem szüntetik meg időben a termék életciklusa alatt felmerülő sebezhetőségeket. A törvényjavaslat a kereskedelmi szoftvergyártókat érinti, és a folyamatban lévő munka alapján külön kivételt biztosít a nyílt licencek alatt álló szoftverek számára, de nincs garancia arra, hogy a jövőben nem fognak elfogadni hasonló jogszabályokat ilyen kivételek nélkül.
A példaként említett kockázatok között, amelyek a fejlesztők felelősségével kapcsolatosak, szerepel egy az Egyesült Királyságban indított bírósági eljárás, amelyben a Tulip Trading cég, amely a hackertámadás során körülbelül 4 milliárd dollár értékű bitcoint veszített, arra kérte a Bitcoin rendszer fejlesztőit, hogy módosítsák a blokklánc kódját az elveszett összeg visszaszerzésére. A keresetet a kódkészlet fejlesztőivel szemben nyújtották be, nem pedig a Bitcoin hálózat üzemeltetőivel szemben. Az elsőfokú bíróság elutasította a keresetet a felelősségkizáró klauzula alapján, de az ügy folytatódott a fellebbviteli bíróság előtt, amely látszólag szintén elutasítja a keresetet, de ezúttal a Tulip Trading cég bitcoinokkal való tulajdonlásának meg nem állapított állítása miatt.
Forrás: opennet.ru
