Sono stati pubblicati i risultati della votazione generale (GR, general resolution) degli sviluppatori del progetto Debian, che partecipano al supporto dei pacchetti e al mantenimento dell'infrastruttura, in cui è stato approvato il testo della dichiarazione esprimente la posizione del progetto riguardo al disegno di legge Cyber Resilience Act (CRA) promosso nell'Unione Europea. Il disegno di legge introduce requisiti aggiuntivi per i produttori di software, finalizzati a stimolare il mantenimento della sicurezza, la divulgazione di dati sugli incidenti e la risoluzione rapida delle vulnerabilità durante il ciclo di vita del prodotto.
In caso di violazione dei requisiti, si prevede l'introduzione di multe che possono arrivare fino a 15 milioni di euro o al 2,5% del fatturato annuo dell'azienda. Dopo l'approvazione del disegno di legge, i produttori saranno obbligati a fornire mezzi per la consegna delle correzioni delle vulnerabilità, eseguire una valutazione dei rischi legati alla sicurezza prima del lancio del prodotto sul mercato, effettuare test di sicurezza del prodotto (per i sistemi critici è previsto un audit esterno obbligatorio), risolvere le vulnerabilità durante l'intero ciclo di vita e comunicare informazioni sugli incidenti di sicurezza entro 24 ore dalla scoperta del problema.
Nonostante, a giudicare dalle tendenze emergenti, il disegno di legge riguardi solo i produttori di software commerciale, la comunità è preoccupata per il suo impatto negativo sull'ecosistema di sviluppo del software open source e considera il disegno di legge come un fattore che frena la promozione di progetti aperti e ostacola lo sviluppo del software libero come movimento internazionale. Le aziende che sviluppano prodotti basati su progetti open source internazionali o che utilizzano librerie open source dovranno assumersi la responsabilità per problemi di sicurezza e la corretta risoluzione delle vulnerabilità nel codice, anche se quel codice è scritto da appassionati di altri paesi. Si prevede che l'emergere di ulteriori rischi per le imprese riduca l'attrattiva di creare software basato su codice aperto.
Allo stesso tempo, le conseguenze legali possono riguardare anche progetti indipendenti che includono codice di produttori di prodotti commerciali. Ad esempio, sorge incertezza circa la responsabilità nei casi in cui il codice open source sviluppato da un'azienda commerciale possa essere trasferito in progetti non commerciali di terze parti e utilizzato nelle distribuzioni Linux.
Il disegno di legge introduce responsabilità legale per il mancato rispetto dei requisiti di sicurezza, il che confligge con gli obblighi sociali di Debian di distribuire software per qualsiasi scopo e senza limitazioni. Debian non monitora il coinvolgimento del codice in progetti commerciali, l'occupazione degli sviluppatori e le fonti di finanziamento per gli sviluppi forniti nella distribuzione, quindi l'imposizione dei requisiti indicati nel disegno di legge aumenta i rischi legali nell'utilizzo della distribuzione.
C'è il rischio che i progetti upstream smettano di fornire il loro codice a causa delle preoccupazioni di rientrare sotto la CRA e l'applicazione delle relative sanzioni. La CRA potrebbe anche complicare i processi di trasferimento del codice open source alla comunità: per aprire il codice, lo sviluppatore dovrà valutare le possibili conseguenze legali. Inoltre, il disegno di legge riduce l'attrattiva del processo di sviluppo open, poiché il lavoro viene svolto alla luce del sole ed è trasparente per tutti, e il codice può essere utilizzato durante lo sviluppo, il che consente di applicare i requisiti della CRA durante il lavoro sul prodotto, mentre il software proprietario viene sviluppato a porte chiuse e rientra sotto la legge dopo il rilascio finale.
Gli sviluppatori di Debian chiedono di escludere completamente il processo di sviluppo open dall'ambito della CRA e di applicare la legge solo ai prodotti finali. Si propone inoltre di non applicare i requisiti della CRA ai prodotti dei professionisti individuali e delle piccole imprese, poiché non sono in grado di soddisfare tutti i requisiti imposti dalla CRA e sarebbero costretti a chiudere il proprio business.
Nella dichiarazione si fa anche riferimento alla natura discutibile della richiesta di trasmettere all'Agenzia europea per la sicurezza delle reti e dell'informazione (ENISA) informazioni sui problemi di sicurezza entro 24 ore dalla scoperta del problema o dal ricevimento di informazioni su una vulnerabilità. L'accumulo di dati su tutte le vulnerabilità ancora non corrette in un unico luogo potrebbe portare a gravi problemi per tutti gli utenti in caso di fuga di informazioni, trasmissione di dati ai servizi segreti o compromissione dell'ENISA.
Fonte: opennet.ru
