James Bottomley di IBM Research, responsabile delle sottosistemi SCSI e PA-RISC nel kernel Linux e precedentemente a capo del comitato tecnico della Linux Foundation, ha proposto una soluzione al problema dell'eventuale responsabilità degli sviluppatori di codice open source per errori nel codice o per la gestione inadeguata delle vulnerabilità.
L'idea è di trasferire la responsabilità legale per gli errori nel codice sorgente dagli sviluppatori di progetti open source ai fornitori di prodotti commerciali finali basati su quel codice, ossia spostare la responsabilità da chi sviluppa il codice a chi guadagna da esso. Ad esempio, se un'azienda utilizza codice open source di terzi nel proprio prodotto e un errore/vulnerabilità in quel codice causa danni all'utente, allora in tale situazione a rispondere e risarcire danni deve essere il produttore del prodotto software commerciale fornito all'utente, e non lo sviluppatore della libreria open source.
Il trasferimento della responsabilità è proposto attraverso l'aggiunta di una clausola alla licenza che indica l'accordo a risarcire i danni e proteggere i partecipanti allo sviluppo da qualsiasi pretesa legale nel caso di utilizzo totale o parziale del codice sorgente fornito sotto tale licenza come componente o prodotto in giurisdizioni che impongono obblighi aggiuntivi per il supporto dei prodotti software.
Nella pratica attuale, per liberarsi da rischi legali è sufficiente che nella licenza sia presente un avviso "AS IS" che dichiara che lo sviluppatore non è responsabile per errori, non offre alcuna garanzia sul funzionamento del codice e non si assume obblighi per la risoluzione di problemi, mentre il consumatore accetta di utilizzare il codice a proprio rischio. L'assenza di garanzie da parte degli sviluppatori ha stimolato lo sviluppo di un modello di business basato su supporto tecnico a pagamento, che ha dominato nelle prime fasi della nascita dell'ecosistema del software open source.
Con il crescente interesse delle corporazioni per l'uso del codice aperto, si è sviluppata la concezione di influenzare lo sviluppo tramite fondi non profit: su base di un grande progetto viene creato un fondo che riceve finanziamenti da grandi aziende, le quali, in cambio, ottengono la possibilità di entrare nel consiglio tecnico di supervisione e di partecipare alle decisioni collegiali sullo sviluppo futuro. L'emergere di questi fondi ha trasformato l'atteggiamento verso i progetti aperti, che sono stati percepiti come strumenti di sviluppo dell'industria tecnologica, piuttosto che come rifugi disordinati per volontari. È cambiata anche la percezione della responsabilità per i problemi nel codice aperto: invece di difendere i singoli sviluppatori, il punto sull'assenza di obblighi è stato visto come un'opportunità per le grandi aziende di disimpegnarsi dalle loro responsabilità, creando prodotti aperti.
La situazione riguardante la rinuncia agli obblighi potrebbe cambiare con l'adozione nell'Unione Europea del disegno di legge Cyber Resilience Act, che impone una certa responsabilità ai produttori di software che non si prendono adeguatamente cura della sicurezza e non risolvono tempestivamente le vulnerabilità durante il ciclo di vita del prodotto. Il disegno di legge riguarda i produttori di software commerciale e, a giudicare dal lavoro in corso, fornirà un'eccezione speciale per il software sotto licenze aperte, ma non ci sono garanzie che in futuro da qualche parte non venga approvata una legge simile senza tali eccezioni.
Come esempio dei rischi legati alle responsabilità dei programmatori, si fa anche riferimento a una causa legale avviata nel Regno Unito, in cui la società Tulip Trading, che ha perso circa 4 miliardi di dollari in bitcoin durante un attacco informatico, richiede ai programmatori del sistema Bitcoin di modificare il codice della blockchain per restituire l'importo perso. La causa è stata intentata contro i programmatori del codice degli strumenti, e non contro gli operatori della rete Bitcoin. Il tribunale di primo grado ha respinto la causa sulla base di una clausola di esonero di responsabilità presente nella licenza, ma l'analisi è proseguita in appello, dove sembra che anche questa volta la causa sarà respinta, ma questa volta a causa dell'incapacità della società Tulip Trading di dimostrare la proprietà dei bitcoin per l'importo richiesto.
Fonte: opennet.ru
