Después de Log4j, el software de código abierto ahora es un problema de seguridad nacional
Durante años, los desarrolladores de software libre y de código abierto le han estado diciendo a cualquiera que los escuche que sus proyectos necesitan una mejor asistencia financiera y más supervisión. Ahora, después de una serie de incidentes desastrosos relacionados con el código fuente abierto, es posible que el gobierno federal y Silicon Valley finalmente estén escuchando.
En una reunión en la Casa Blanca el jueves, ejecutivos de algunas de las empresas más grandes del sector tecnológico se reunieron con funcionarios de la administración para discutir la necesidad de una mejor seguridad en la comunidad de código abierto. La lista de asistentes incluía grandes nombres como Google, Facebook, Microsoft, Amazon, Oracle y Apple, entre otros.
A diferencia del software propietario, el software de fuente abierta es gratuito, puede ser inspeccionado públicamente y cualquiera puede usarlo o modificarlo. Debido a lo útiles que pueden ser las herramientas de código abierto, las grandes corporaciones a menudo las utilizan con fines de desarrollo. Pero, desafortunadamente, los proyectos de código abierto necesitan supervisión y financiamiento para mantenerse seguros, y no siempre lo obtienen. Durante años, los desarrolladores de código abierto se han quejado de que su software necesita un mejor apoyo de Big Tech y otros actores institucionales, un problema que finalmente está ganando la atención general.
No es difícil ver por qué la Casa Blanca ha convocado su reunión en este momento. Hace apenas un mes, se encontró un error pernicioso en la popular biblioteca de registro de Apache de código abierto log4j. El problemático programa, que es utilizado por casi todo el mundo, provocó un pánico generalizado en toda la industria tecnológica, ya que las empresas se apresuraron a parchear los sistemas y productos que dependían de la biblioteca para tener éxito. (Los funcionarios de Apache Software Foundation también estuvieron presentes en la reunión del jueves).
Log4j no es la única debacle de código abierto que ha ocurrido últimamente. La semana pasada, el creador de dos herramientas de software ampliamente utilizadas decidió deshabilitarlas inexplicablemente a través de una serie de actualizaciones de software extrañas. Marak Squires, el hombre detrás de las populares bibliotecas de JavaScript Faker and Colors , bombardeó extrañamente los programas y logró acabar con miles de otros proyectos de software que dependían de ellos para tener éxito.
En resumen: claramente hay espacio para mejorar y, afortunadamente, los asistentes a la reciente reunión de la Casa Blanca parecen bastante dispuestos a ello. En la reunión, el asesor de seguridad nacional de la Casa Blanca, Jake Sullivan, aparentemente calificó el software de código abierto como un "problema clave de seguridad nacional". De manera similar, el presidente de asuntos globales y director legal de Google, Kent Walker, publicó una declaración en el blog de la compañía el jueves argumentando que quería ver un mejor apoyo para la comunidad de código abierto.
“Durante demasiado tiempo, la comunidad del software se ha conformado con la suposición de que el software de código abierto es generalmente seguro debido a su transparencia y la suposición de que 'muchos ojos' observaban para detectar y resolver problemas”, dijo Walker. “Pero, de hecho, mientras que algunos proyectos tienen muchos ojos puestos en ellos, otros tienen pocos o ninguno”.
En su declaración, Walker sugiere además un mayor apoyo público y privado para los proyectos de código abierto, el establecimiento de líneas de base de seguridad y pruebas, y el desarrollo de una rúbrica para identificar proyectos "críticos", del tipo que tienen mucho uso (es decir, probablemente algo como log4j).
Lo que exactamente el gobierno y otros miembros de Big Tech tienen en mente para una mejor seguridad de código abierto no está del todo claro en este momento, pero el hecho de que estén hablando de eso parece una buena señal.
