James Bottomley van IBM Research, verantwoordelijk voor de SCSI- en PA-RISC-subsystemen in de Linux-kernel en eerder voorzitter van de technische commissie van de Linux Foundation, heeft een oplossing voor het probleem voorgesteld waarbij ontwikkelaars van open source-software aansprakelijk kunnen worden gesteld voor fouten in de code of voor het niet goed verhelpen van kwetsbaarheden.
Het idee is om de juridische aansprakelijkheid voor fouten in de broncode over te hevelen van ontwikkelaars van open projecten naar de leveranciers van eindproducten die op basis van die code zijn gemaakt, dat wil zeggen, de verantwoordelijkheid te verschuiven van degene die de code ontwikkelt naar degene die winst maakt uit die code. Bijvoorbeeld, als een bedrijf gebruik maakt van externe open source-code in zijn product en een fout/kwetsbaarheid in die code schade toebrengt aan een gebruiker, dan moet in zo'n geval de producent van het commerciƫle softwareproduct dat aan de gebruiker is geleverd, aansprakelijk zijn en de schade vergoeden, en niet de ontwikkelaar van de open bibliotheek.
Het verschuiven van de verantwoordelijkheid wordt voorgesteld door een bepaling aan de licentie toe te voegen die instemt met het vergoeden van schade en de ontwikkelaars te beschermen tegen juridische claims in geval van volledig of gedeeltelijk gebruik van de onder deze licentie verstrekte broncode als component of product in rechtsgebieden die extra verplichtingen opleggen met betrekking tot het onderhoud van softwareproducten.
In de huidige praktijk is het voldoende om juridische risico's te vermijden door een āAS ISā-waarschuwing in de licentie op te nemen, waarin staat dat de ontwikkelaar niet verantwoordelijk is voor fouten, geen garanties biedt voor de werking van de code en geen verplichtingen aanneemt voor het oplossen van problemen, terwijl de consument ermee instemt de code op eigen risico te gebruiken. Het ontbreken van garanties van ontwikkelaars heeft de ontwikkeling van een businessmodel gestimuleerd dat is gebaseerd op betaalde technische ondersteuning, dat domineerde in de vroege fase van de ontwikkeling van het FLOSS-ecosysteem.
Naarmate open source doordringt in de industrie en de interesse van bedrijven in het gebruik ervan groeit, ontwikkelt zich het concept van invloed op ontwikkeling via non-profitfondsen - op basis van een groot project wordt een fonds opgericht dat financiering voor ontwikkeling ontvangt van grote bedrijven, die in ruil daarvoor de mogelijkheid krijgen om zitting te nemen in de toezichthoudende technische raad en deel te nemen aan de collective besluiten over de verdere ontwikkeling. De opkomst van fondsen heeft de relatie tot open projecten getransformeerd, deze worden nu gezien als een instrument voor de ontwikkeling van de technologie-industrie, en niet als een chaotische toevluchtsoord voor vrijwilligers. Ook de perceptie van verantwoordelijkheid voor problemen in open source is veranderd - in plaats van bescherming van individuele ontwikkelaars, wordt de clausule over het ontbreken van verplichtingen nu gezien als een kans voor grote bedrijven die open producten creƫren om hun verantwoordelijkheid te ontlopen.
De situatie met het afzien van verplichtingen kan veranderen als de Europese Unie de wet Cyber Resilience Act aanneemt, die bepaalde verantwoordelijkheden oplegt aan softwareproducenten die niet voldoende voor de beveiliging zorgen en kwetsbaarheden niet tijdig verhelpen gedurende de levenscyclus van het product. De wetgeving raakt de producenten van commerciƫle software en, gezien het werk dat wordt verricht, zal het een speciale uitzondering bieden voor software onder open licenties, maar er zijn geen garanties dat in de toekomst ergens een vergelijkbare wet zonder dergelijke uitzonderingen zal worden aangenomen.
Als voorbeeld van de risico's die samenhangen met de verantwoordelijkheid van ontwikkelaars, wordt ook een in het Verenigd Koninkrijk aangespannen rechtszaak genoemd, waarin het bedrijf Tulip Trading, dat tijdens een hack ongeveer 4 miljard dollar aan bitcoin heeft verloren, van de ontwikkelaars van het Bitcoin-systeem eist dat ze wijzigingen in de blockchaincode aanbrengen om het verloren bedrag terug te krijgen. De rechtszaak is aangespannen tegen de ontwikkelaars van de toolcode en niet tegen de operators van het Bitcoin-netwerk. De rechtbank in eerste aanleg heeft de vordering afgewezen op basis van een clausule in de licentie die vrijwaring biedt, maar de zaak werd voortgezet in het hoger beroep, dat, zoals het eruit ziet, ook de vordering zal afwijzen, maar deze keer vanwege de onvermogen van Tulip Trading om het bezit van de bitcoin van het opgegeven bedrag te bewijzen.
Bron: opennet.ru
