James Bottomley di IBM Research, responsabile dei sotto-sistemi SCSI e PA-RISC nel kernel Linux e già a capo del comitato tecnico della Linux Foundation, ha proposto una soluzione al problema della possibile responsabilità degli sviluppatori di codice open source per errori nel codice o per la mancanza di adeguata correzione delle vulnerabilità.
L'idea è quella di spostare la responsabilità legale per gli errori nel codice sorgente dagli sviluppatori di progetti open source ai fornitori di prodotti commerciali finali basati su quel codice, ovvero spostare la responsabilità da chi scrive il codice a chi guadagna da esso. Ad esempio, se un'azienda utilizza codice open source di terze parti nel proprio prodotto e un errore/vulnerabilità in quel codice causa danni a un utente, allora in questo caso il produttore del prodotto software commerciale fornito all'utente dovrebbe essere il responsabile e risarcire i danni, non lo sviluppatore della libreria open source.
Il trasferimento di responsabilità può essere attuato mediante l'aggiunta a una licenza di una clausola che indica il consenso a risarcire danni e proteggere i partecipanti allo sviluppo da qualsiasi pretesa legale nel caso di utilizzo totale o parziale del codice sorgente fornito sotto tale licenza come componente o prodotto in giurisdizioni che impongono obblighi aggiuntivi per la manutenzione dei prodotti software.
Nell'attuale pratica, per ridurre i rischi legali, è sufficiente includere nella licenza una clausola di avviso "AS IS", in cui si dichiara che lo sviluppatore non è responsabile per errori, non fornisce alcuna garanzia sul funzionamento del codice e non si assume obblighi nella risoluzione dei problemi, mentre il consumatore accetta di utilizzare il codice a proprio rischio. La mancanza di garanzie da parte degli sviluppatori ha incentivato lo sviluppo di un modello di business basato sul supporto tecnico a pagamento, che ha dominato nelle prime fasi della creazione dell'ecosistema del software libero.
Con l'aumento della penetrazione del codice aperto nell'industria e l'interesse crescente delle aziende per il suo utilizzo, ha preso piede il concetto di influenzare lo sviluppo attraverso fondi non profit: sulla base di un grande progetto viene creato un fondo che riceve finanziamenti per lo sviluppo da grandi aziende, le quali, in cambio, ottengono la possibilità di entrare nel consiglio tecnico di vigilanza e partecipare alle decisioni collettive sullo sviluppo futuro. L'emergere di questi fondi ha trasformato il modo in cui vengono percepiti i progetti open source, che sono diventati visti come uno strumento di sviluppo dell'industria tecnologica, piuttosto che un rifugio disordinato per volontari. È cambiata anche la percezione della responsabilità per i problemi nel codice aperto: invece di proteggere singoli sviluppatori, il punto sull'assenza di obblighi è stato visto come una possibilità di fuga dalle responsabilità per le grandi aziende che creano prodotti open source.
La situazione riguardante l'abbandono delle responsabilità potrebbe cambiare con l'approvazione nel governo dell'Unione Europea del Cyber Resilience Act, che impone certe responsabilità ai produttori di software che non si occupano adeguatamente della sicurezza e non risolvono tempestivamente le vulnerabilità durante il ciclo di vita del prodotto. La legge riguarda i produttori di software commerciale e, da quanto si apprende, fornirà un'esenzione speciale per il software con licenze aperte, ma non ci sono garanzie che in futuro venga approvata una legge simile senza tali eccezioni.
A titolo di esempio dei rischi associati alla responsabilità degli sviluppatori, viene citata una causa legale avviata nel Regno Unito, in cui la società Tulip Trading, che ha perso circa 4 miliardi di dollari in bitcoin a seguito di un hack, chiede agli sviluppatori del sistema Bitcoin di apportare modifiche al codice della blockchain per recuperare la somma persa. La causa è stata intentata contro gli sviluppatori del codice degli strumenti, e non contro gli operatori della rete Bitcoin. Il tribunale di primo grado ha respinto la richiesta sulla base di una clausola di esonero di responsabilità, ma il caso è proseguito in appello, dove sembra che anche questa volta verrà rigettato, ma stavolta a causa dell'incapacità della società Tulip Trading di dimostrare la proprietà dei bitcoin per l'importo richiesto.
Fonte: opennet.ru
