Depois do Log4j, o software de código aberto agora é um problema de segurança nacional
Durante anos, os desenvolvedores de software livre e de código aberto têm dito a qualquer pessoa que queira ouvir que seus projetos precisam de melhor assistência financeira e mais supervisão. Agora, após uma série de incidentes desastrosos envolvendo código-fonte aberto, o governo federal e o Vale do Silício podem finalmente estar ouvindo.
Uma reunião na Casa Branca na quinta-feira viu executivos de algumas das maiores empresas do setor de tecnologia se reunirem com funcionários do governo para discutir a necessidade de uma melhor segurança na comunidade de código aberto. A lista de participantes incluiu grandes nomes como Google, Facebook, Microsoft, Amazon, Oracle e Apple, entre outros.
Ao contrário do software proprietário, o software de código aberto é gratuito, pode ser inspecionado publicamente e pode ser usado ou modificado por qualquer pessoa. Devido à utilidade das ferramentas de código aberto, as grandes corporações frequentemente as utilizam para fins de desenvolvimento. Mas, infelizmente, os projetos de código aberto precisam de supervisão e financiamento para permanecerem seguros – e nem sempre conseguem. Durante anos, os desenvolvedores de código aberto reclamaram que seu software precisava de um melhor suporte da Big Tech e de outros atores institucionais – uma questão que finalmente está ganhando atenção do mainstream.
Não é difícil ver por que a Casa Branca convocou sua reunião agora. Apenas um mês atrás, um bug pernicioso foi encontrado na popular biblioteca log4j do Apache de código aberto. O programa problemático, que é usado por quase todo mundo, levou ao pânico generalizado em toda a indústria de tecnologia, à medida que as empresas lutavam para corrigir os sistemas e produtos que dependiam da biblioteca para obter sucesso. (Funcionários da Apache Software Foundation também estiveram presentes na reunião de quinta-feira.)
O Log4j não é o único desastre de código aberto que ocorreu recentemente. Na semana passada, o criador de duas ferramentas de software amplamente usadas decidiu desativá-las inexplicavelmente por meio de uma série de atualizações de software bizarras. Marak Squires, o homem por trás das populares bibliotecas JavaScript Faker e Colors , estranhamente blitzed os programas e conseguiu derrubar milhares de outros projetos de software que dependiam deles para o sucesso.
Resumindo: claramente há espaço para melhorias e, felizmente, os participantes da recente reunião na Casa Branca parecem bastante receptivos a isso. Na reunião, o conselheiro de segurança nacional da Casa Branca, Jake Sullivan, aparentemente chamou o software de código aberto de “questão chave de segurança nacional”. Da mesma forma, o presidente de assuntos globais e diretor jurídico do Google, Kent Walker, publicou uma declaração no blog da empresa na quinta-feira argumentando que queria ver um melhor suporte para a comunidade de código aberto.
“Por muito tempo, a comunidade de software se consolou com a suposição de que o software de código aberto é geralmente seguro devido à sua transparência e a suposição de que 'muitos olhos' estavam observando para detectar e resolver problemas”, disse Walker. “Mas, na verdade, enquanto alguns projetos têm muitos olhos voltados para eles, outros têm poucos ou nenhum.”
Em sua declaração, Walker sugere ainda maior apoio público e privado para projetos de código aberto, o estabelecimento de linhas de base de segurança e teste e o desenvolvimento de uma rubrica para identificar projetos "críticos" - o tipo que é muito usado (ou seja, provavelmente algo como log4j).
O que exatamente o governo e outros membros da Big Tech têm em mente para uma melhor segurança de código aberto não está totalmente claro neste momento, mas o fato de estarem falando sobre isso parece um bom sinal.
