James Bottomley frÄn IBM Research, som övervakar SCSI- och PA-RISC-subsystemen i Linux-kÀrnan och tidigare ledde den tekniska kommittén för Linux Foundation, föreslog en lösning pÄ problemet med att potentiellt hÄlla utvecklare av öppen kÀllkod ansvariga för fel i koden eller bristande hantering av sÄrbarheter.
Idén Àr att överföra det juridiska ansvaret för fel i kÀllkoden frÄn utvecklarna av öppna projekt till leverantörer av slutanvÀndarkommercieprodukter baserade pÄ denna kod, dvs. att skifta ansvaret frÄn den som utvecklar koden till den som tjÀnar pengar pÄ den. Till exempel, om ett företag anvÀnder tredjeparts öppen kod i sin produkt och ett fel/sÄrbarhet i denna kod orsakar skada för anvÀndaren, sÄ ska tillverkaren av den kommersiella programvaruprodukten som tillhandahÄlls till anvÀndaren vara den som ansvarar och ersÀtter skadan, inte utvecklaren av det öppna biblioteket.
Ăverföringen av ansvaret föreslĂ„s genom att bifoga en klausul till licensen som anger samtycke till att ersĂ€tta skador och skydda deltagarna i utvecklingen frĂ„n eventuella juridiska krav i hĂ€ndelse av fullstĂ€ndig eller delvis anvĂ€ndning av den kĂ€llkod som tillhandahĂ„lls under denna licens som en komponent eller produkt i jurisdiktioner som Ă„lĂ€gger ytterligare skyldigheter för underhĂ„ll av programvaruprodukter.
I nuvarande praxis Àr det tillrÀckligt för att avskjuta juridiska risker att det finns en varning i licensen "AS IS", som anger att utvecklaren inte ansvarar för fel, ger inga garantier för kodens funktionalitet och inte Ätar sig att lösa problem, och att konsumenten samtycker till att anvÀnda koden pÄ egen risk. Avsaknaden av garantier frÄn utvecklarens sida har stimulerat utvecklingen av en affÀrsmodell baserad pÄ betald teknisk support, som dominerade i ett tidigt skede av utvecklingen av OSS-ekosystemet.
I takt med att öppen kĂ€llkod blivit alltmer integrerad i industrin och intresset frĂ„n företag för att anvĂ€nda den har konceptet av att pĂ„verka utvecklingen genom ideella fonder vuxit fram â baserat pĂ„ ett stort projekt skapas en fond som fĂ„r finansiering för utveckling frĂ„n stora företag, som i gengĂ€ld fĂ„r möjlighet att gĂ„ med i rĂ„d för teknisk övervakning och delta i beslut om vidare utveckling. FramvĂ€xten av fonder har förĂ€ndrat synen pĂ„ öppna projekt, som nu uppfattas som ett verktyg för att utveckla teknikindustrin snarare Ă€n ett oorganiserat tillhĂ„ll för frivilliga. SynsĂ€ttet pĂ„ ansvar för problem inom öppen kĂ€llkod har ocksĂ„ förĂ€ndrats â istĂ€llet för att skydda enskilda utvecklare uppfattas punkten om avsaknad av Ă„taganden nu som en möjlighet för stora företag som skapar öppna produkter att undkomma ansvar.
Situationen med avsÀgelse av ansvar kan förÀndras om förslaget om Cyber Resilience Act antas inom EU, vilket lÀgger ett visst ansvar pÄ programvarutillverkare som inte tillrÀckligt noggrant hanterar sÀkerhet och som inte ÄtgÀrdar sÄrbarheter under produktens livscykel. Förslaget pÄverkar producenter av kommersiell mjukvara och, baserat pÄ det pÄgÄende arbetet, kommer det att ge ett sÀrskilt undantag för mjukvara licensierad under öppna licenser, men det finns inga garantier för att liknande lagar inte kommer att antas utan sÄdana undantag i framtiden.
Som exempel pĂ„ risker relaterade till utvecklarnas ansvar nĂ€mns ocksĂ„ den rĂ€ttsliga process som initierades i Storbritannien, dĂ€r företaget Tulip Trading, som förlorade bitcoins vĂ€rda cirka 4 miljarder dollar vid en hackning, krĂ€ver att Bitcoin-systemets utvecklare gör Ă€ndringar i blockkedjans kod för att Ă„terfĂ„ den förlorade summan. Ă
talet har riktats mot programmerarna av verktygskoden, inte mot operatörerna av Bitcoin-nÀtverket. Första instansens domstol avslog talan baserat pÄ en klausul i licensen som avsÀger ansvar, men mÄlet fortsÀtter i överklagande, som verkar ocksÄ avvisa talan, men den hÀr gÄngen pÄ grund av att Tulip Trading inte kan bevisa Àgandet av de pÄstÄdda bitcoins.
KĂ€lla: opennet.ru
