Is-sors miftuħ mhuwiex rinunzja tar-responsabbiltà

Il-pubblikazzjoni tal-kodiċi sors tibdel min jista’ jispezzjona, jerġa’ juża u jtejjeb. Ma tneħħix ix-xogħol prattiku li tkun taf x’inhu skjerat, x’inhu...

Is-sors miftuħ mhuwiex rinunzja tar-responsabbiltà

Repo huwa bidu, mhux tmiem

Hemm storja ċkejkna li tfarraġ dwar is-softwer b’sors miftuħ. Grupp jippubblika kodiċi. Oħrajn jistgħu jaqrawh. Il-kodiċi jsir ġid komuni, jew għall-inqas inkonvenjent komuni utli. Ir-responsabbiltà tinħall fil-folla.

L-ewwel żewġ sentenzi jistgħu jkunu veri. L-aħħar waħda mhix. Repo pubbliku jista’ jwessa’ l-ispezzjoni, l-użu mill-ġdid u l-kontribuzzjoni. Jista’ jagħti lil organizzazzjoni rotta ta’ ħruġ aktar ċara minn servizz magħluq. Jista’ jippermetti lil korp pubbliku jeżamina komponent mingħajr ma jitlob permess mingħand fornitur. Ħadd minn dan ma jwieġeb il-mistoqsija li tasal fi Tlieta filgħodu ordinarju: liema verżjoni qed taħdem hawn, taħt liema liċenzja, b’liema konfigurazzjoni, u min se jaġixxi jekk l-avviż tas-sigurtà japplika?

Is-sors miftuħ ibiddel il-forma tar-responsabbiltà. Ma jagħmilhiex fakultattiva. Min iżomm il-proġett xorta għandu deċiżjonijiet x’ieħu dwar rilaxxi, rapporti ta’ sigurtà, verżjonijiet appoġġjati u liċenzjar. L-organizzazzjoni li tippakkja komponent xorta għandha deċiżjonijiet x’tieħu dwar il-provenjenza, l-aġġornamenti u dak li tgħid lill-utenti tagħha. Min jiskjera xorta għandu deċiżjonijiet x’ieħu dwar l-inventarju, l-espożizzjoni, il-konfigurazzjoni, l-aċċess u l-irkupru. Liċenzja tagħti permessi u kundizzjonijiet. Ma tipprovdix skeda ta’ min ikun fuq sejħa.

Dan huwa importanti għaliex is-sors miftuħ sar infrastruttura ordinarja. Jinsab fis-sistemi operattivi, fil-browsers, fis-servizzi pubbliċi, fl-għodod tar-riċerka, fis-sistemi industrijali u fil-libreriji li jagħmlu prodott jidher aktar awtonomu milli hu. Il-mistoqsija matura għalhekk mhijiex jekk organizzazzjoni hijiex favur jew kontra s-sors miftuħ. Hija jekk tistax iġġorr ir-responsabbiltajiet maħluqa mis-softwer li tagħżel li tiddependi fuqu.

Il-politika Ewropea bdiet tiddeskrivi dik id-distinzjoni b’mod aktar ċar. Ir-Regolament dwar ir-Reżiljenza Ċibernetika jirregola prodotti b’elementi diġitali u jinkludi rotta speċifika għall-amministraturi ta’ softwer b’sors miftuħ u b’xejn. Ir-rotta tirrikonoxxi li persuna jew organizzazzjoni li tipprovdi appoġġ sostnut għal softwer b’sors miftuħ u b’xejn tista’ tokkupa post reali fil-katina tas-sigurtà. Ma tbiddilx kull voluntier li jippubblika kodiċi f’manifattur. Bl-istess mod, ma tippermettix lil attur kummerċjali jaħbi wara repo pubbliku meta dak l-attur iġib prodott fis-suq.

Il-konsegwenza prattika hija pjaċevolment mhux romantika. Ittratta kull dipendenza bħala ħaġa li trid tissemma, tinftiehem u titħares. Dan mhuwiex attakk kontra s-sors miftuħ. Hija d-dixxiplina li tħalli s-sors miftuħ jibqa’ utli meta l-ġdida tkun għaddiet.

X’tbiddel verament il-pubblikazzjoni

Id-disponibbiltà tas-sors tbiddel diversi affarijiet fl-istess ħin. Qarrej jista’ jeżamina l-implimentazzjoni minflok jiddeduċiha minn paġna ta’ kummerċjalizzazzjoni. Tim jista’ jirriproduċi build jekk l-istruzzjonijiet tal-build, id-dipendenzi u l-ambjent jippermettuh. Fornitur jista’ jinbidel aktar faċilment meta l-liċenzja u l-interfaċċi jippermettuh. Riċerkatur jista’ jittestja stqarrija, tim tas-sigurtà jista’ jirrevedi patch, u xerrej pubbliku jista’ jagħmel mistoqsijiet mingħajr ma jittratta kaxxa sewda bħala prinċipju kostituzzjonali.

Dawk huma ġid pubbliku sinifikanti. Huma wkoll kundizzjonali. Kodiċi li jidher iżda li huwa impossibbli li jinbena huwa inqas ispettabbli milli jidher. Kodiċi li jinbena iżda li m’għandux liċenzja ċara jħalli l-użu mill-ġdid inċert. Kodiċi liċenzjat iżda mmuntat minn dipendenzi mhux magħrufa jġorr problema ta’ provenjenza. Kodiċi miżmum biss f’fergħa li ħadd ma jista’ jidentifika ma jsirx affidabbli mill-fatt li teżisti paġna ta’ repo.

L-Open Source Initiative tiddeskrivi l-open source permezz ta' liċenzja approvata u sett ta' drittijiet, inkluż l-aċċess għall-kodiċi sors u l-libertà li terġa' tqassam u timmodifika taħt termini stabbiliti. Dik id-definizzjoni hija deliberatament dwar il-permessi. Mhijiex ftehim ta' livell ta' servizz, ċertifikazzjoni ta' sigurtà, garanzija ta' idoneità għal ħidma pubblika partikolari, jew assigurazzjoni li komponent se jinżamm b'mod indefinit. In-nuqqas ta' dawk il-wegħdiet mhuwiex difett fid-definizzjoni. Huwa raġuni biex tkun preċiż dwar dak li organizzazzjoni qed tistrieħ fuqu.

Jgħin biex tifred erba' mistoqsijiet li spiss jingħaqdu f'kelma waħda faċli. Il-kodiċi sors huwa disponibbli? Huwa liċenzjat għall-użu maħsub? Tista' l-organizzazzjoni tistabbilixxi minn fejn ġew il-kodiċi u d-dipendenzi tiegħu? Hemm xi ħadd li qed iġorr b'mod attiv ix-xogħol operattiv li din l-installazzjoni teħtieġ? Iva għall-ewwel mistoqsija ma twieġebx it-tlieta l-oħra.

Dik is-separazzjoni tagħmel ukoll il-konversazzjonijiet inqas teatrali. Tim ta' akkwist m'għandux bżonn juri entużjażmu għal repository. Għandu bżonn ikun jaf jekk il-komponent huwiex xieraq għas-sistema li qed jixtri jew jopera. Tim ta' inġinerija m'għandux bżonn jiskuża ruħu talli juża liċenzja permissiva. Għandu bżonn ikun jaf kif se jilħaq l-avviżi tal-liċenzja, jippreserva l-materjali meħtieġa, jaġġorna d-dipendenzi u jwieġeb għal kwistjoni żvelata. Tim legali m'għandux bżonn isir maniġer tar-rilaxx. Iżda għandu bżonn rotta lejn il-proċess tar-rilaxx qabel ma problema ta' liċenzja ssir korrezzjoni pubblika.

Il-kodiċi sors jista' jgħaddi minn diversi idejn. Agħżel saff biex tiddistingwi r-responsabbiltajiet ta' pubblikazzjoni, ippakkjar, tqegħid tal-prodott u installazzjoni.

Il-liċenzja hija konfini, mhux tbassir tat-temp

Il-liċenzji kultant jiġu ttrattati bħala dettall amministrattiv, bħallikieku x-xogħol legali jibda wara li jintemm ix-xogħol tal-inġinerija. Fil-prattika, l-għażliet tal-liċenzja jsawru d-deċiżjonijiet tal-inġinerija mill-bidu. Huma jaffettwaw jekk komponent jistax jingħaqad ma' komponent ieħor, jekk l-avviżi għandhomx jakkumpanjaw distribuzzjoni, jekk kodiċi sors modifikat għandux joffri f'ċirkustanzi partikolari, u jekk tim jistax jilħaq il-kundizzjonijiet marbuta mad-drittijiet li jrid juża.

Dan ma jfissirx li kull inġinier irid isir speċjalista tad-drittijiet tal-awtur. Ifisser li l-organizzazzjoni għandha bżonn traduzzjoni affidabbli bejn is-softwer li tibni u l-impenn li tieħu meta tqassam, tospita jew timmodifika dak is-softwer. It-traduzzjoni trid isseħħ waqt li l-fatti jkunu għadhom disponibbli: liema pakkett intgħażel, liema verżjoni ntużat, jekk inbidilx, kif ġie marbut jew inkluż, ma' xiex jintbagħat, u x'inhi r-rotta ta' distribuzzjoni maħsuba.

M'hemm l-ebda tweġiba universali dwar il-liċenzji. Liċenzja permissiva tista' tagħmel l-użu mill-ġdid sempliċi waqt li xorta teħtieġ avviżi u preservazzjoni tat-test tad-drittijiet tal-awtur. Liċenzja reċiproka tista' żżid kundizzjonijiet addizzjonali mad-distribuzzjoni jew il-modifikazzjoni. Arranġament ta' liċenzja doppja jista' jeħtieġ li organizzazzjoni tagħżel rotta kummerċjali jew rotta partikolari ta' open source. Organizzazzjoni m'għandhiex tiddeduċi obbligi minn laqam ta' liċenzja, minn badge ta' maniġer tal-pakketti, jew minn storja nofsu mfakkra ta' kollega mill-2014. Għandha taqra t-test tal-liċenzja, tirreġistra d-deċiżjoni u titlob parir fejn l-użu maħsub ma jkunx ċert.

Il-konformità mal-liċenzja lanqas mhijiex eżerċizzju ċerimonjali li jsir fil-ġimgħa tar-rilaxx. Lista tal-materjali tas-softwer, inventarju tad-dipendenzi u rekord tar-rilaxx jistgħu jagħmlu l-mistoqsija ta' wara risposta: x'kien inkluż f'dan l-artefatt? Iżda lista hija utli biss jekk tiddeskrivi artefatt, verżjoni u data definiti. Spreadsheet imsejħa dependencies-final-final.xlsx mhijiex sistema ta' provenjenza. Hija saff arkeoloġiku.

Għal istituzzjoni pubblika, dan huwa aktar minn xogħol ta' manutenzjoni interna. L-istituzzjoni tista' jkollha bżonn iżżomm il-kapaċità li tispjega għaliex intgħażel komponent, liema termini jirregolawh, kif jista' jiġi sostitwit u x'jiġri jekk il-manutenzjoni tieqaf. Għal organizzazzjoni kummerċjali, l-istess rekords jaffettwaw l-impenji kuntrattwali, l-aġġornamenti tal-prodott u l-komunikazzjonijiet mal-klijenti. Għal tim żgħir, l-iskala hija differenti iżda l-loġika mhijiex. Jekk proġett ma jistax jidentifika l-liċenzja tal-kodiċi li jqassam, ma jistax jgħid onestament li l-konfini legali huwa taħt kontroll.

Il-pass responsabbli huwa proporzjonat, mhux grandjuż. Irrekordja d-dipendenzi diretti. Ippreserva t-testi tal-liċenzji u n-notifiki meħtieġa mar-rilaxx. Irrekordja l-modifiki sostanzjali. Stabbilixxi punt ta' reviżjoni għal termini ta' liċenzjar ġodda jew mhux tas-soltu. Agħmel lil xi ħadd responsabbli biex isolvi l-inċertezza. Dawn huma kontrolli modesti. Il-valur tagħhom huwa li jipprevjenu l-inċertezza milli ssir sorpriża wara li s-softwer ikun ivvjaġġa.

Il-manutenzjoni hija xogħol, anki meta tkun donata

Il-manutenzjoni tas-softwer open source spiss tiġi deskritta bħallikieku kienet virtù personali. Kultant hija. In-nies jirrevedu l-patches, iwieġbu l-mistoqsijiet, jippakkjaw ir-rilaxxi u jżommu l-assunzjonijiet qodma milli jsiru l-interruzzjoni ta' għada għax jimpurtahom minn għodda u min-nies li jużawha. Dik il-ġenerożità jixirqilha rispett. M'għandhiex tintuża bħala mudell ta' negozju mingħajr deċiżjoni ta' negozju.

Il-manutenzjoni hija xogħol operattiv. Tinkludi li tiddeċiedi liema verżjonijiet huma appoġġjati, tirrevedi l-kontribuzzjonijiet, tippubblika informazzjoni dwar is-sigurtà, timmaniġġja proċess ta' rilaxx, tirrispondi għar-rapporti, tiddokumenta l-bidliet li jkissru l-affarijiet, iżżomm l-infrastruttura tal-bini użabbli u, kultant, tgħid le. L-aħħar parti hija sottovalutata. Proġett li ma jistax jirrifjuta talba għal karatteristika, pjattaforma mhux appoġġjata jew shortcut mhux sigur mhux neċessarjament aktar miftuħ. Jista' sempliċement ikun aktar espost.

L-Istrateġija tas-Softwer Open Source tal-Kummissjoni Ewropea tittratta l-open source bħala mod kif jitjiebu l-użu mill-ġdid, it-trasparenza, il-kollaborazzjoni u l-indipendenza teknoloġika fl-amministrazzjoni pubblika. Dawk il-benefiċċji jiddependu fuq il-kapaċità. L-użu mill-ġdid jeħtieġ li organizzazzjoni tifhem x'inhi tuża mill-ġdid. It-trasparenza teħtieġ li xi ħadd jaqra dak li jkun żvelat. L-indipendenza teħtieġ aktar milli s-sempliċi pussess ta' buttuna ta' klonazzjoni: teħtieġ il-kapaċità prattika li topera, tadatta jew takkwista appoġġ għas-softwer meta l-kontributur oriġinali jkun mexa 'l quddiem.

Huwa għalhekk li l-mistoqsija 'huwa mantenut?' teħtieġ aktar forma. Tista' tfisser li jeżistu rilaxxi reċenti. Tista' tfisser li kuntatt għas-sigurtà huwa ppubblikat. Tista' tfisser li l-proġett jiddeskrivi l-verżjonijiet appoġġjati, l-istruzzjonijiet tal-bini u proċess ta' kontribuzzjoni. Tista' tfisser li organizzazzjoni impenjat ħin imħallas għax-xogħol. Tista' tfisser li min juża s-softwer għandu l-kapaċità tiegħu stess li jżomm fork jew jissostitwixxi komponent. Dawn huma fatti differenti. Graff ta' attività ħadra tista' tkun evidenza utli, iżda mhijiex kuntratt ta' manutenzjoni.

Adottant responsabbli għandu għalhekk jiddeċiedi liema tip ta' manutenzjoni jeħtieġ qabel ma jiddeċiedi x'jittama li komunità tipprovdi. Għodda interna ta' riskju baxx tista' tkun kompatibbli ma' proġett żgħir u pjan ta' aġġornament modest. Komponent fiċ-ċentru ta' prodott espost esternament jeħtieġ mudell ta' appoġġ aktar ċar, valutazzjoni aktar mgħaġġla tal-vulnerabbiltajiet u pjan ta' ħruġ. Id-distinzjoni mhijiex dwar il-prestiġju tal-proġett. Hija dwar il-konsegwenza li wieħed ikun żbaljat.

Hemm drawwa Olandiża żgħira li jiswa li nissellfuha hawnhekk: tħawwadx il-ġezellig mal-governed. Komunità li tilqa’ lill-oħrajn tista’ tkun post sabiħ fejn tikkontribwixxi. Xorta waħda jista’ ma jkollhiex l-obbligu li żżomm is-sistema tal-produzzjoni tiegħek taħdem. L-organizzazzjoni li tqiegħed dik is-sistema fil-produzzjoni hija s-sid tad-differenza.

L-iżvelar ta’ vulnerabbiltajiet tas-sigurtà jeħtieġ rotta qabel ma jeħtieġ slogan

Il-biċċa l-kbira jaqblu, b’mod astratt, li l-vulnerabbiltajiet għandhom jinkixfu b’mod responsabbli. Il-parti diffiċli hija inqas astratta. Fejn jibgħat ir-rapporteur is-sejba tiegħu? Min jirċeviha? Liema informazzjoni hija meħtieġa biex tiġi riprodotta? Min jiddeċiedi jekk taffettwax verżjoni appoġġjata? Kif tiġi żviluppata soluzzjoni mingħajr ma jinħoloq perjodu ta’ espożizzjoni pubblika mhux meħtieġ? Kif jingħad lill-utenti x’għandhom jagħmlu? Liema pakketti downstream jeħtieġu aġġornament? X’jiġri jekk ir-rapporteur ma jirċevix tweġiba?

Dawk il-mistoqsijiet mhumiex evidenza ta’ nuqqas ta’ fiduċja lejn l-open source. Huma x-xogħol li wieħed jittratta lill-utenti bħala nies li jeħtieġu tweġiba. Ix-xogħol tal-ENISA dwar l-iżvelar ta’ vulnerabbiltajiet u l-iżvelar koordinat ta’ vulnerabbiltajiet jiddeskrivi l-valur ta’ proċessi definiti bejn ir-rapporteurs, il-bejjiegħa u partijiet rilevanti oħra. Proċess ma jistax jiggarantixxi li kull rapport ikun korrett jew li kull soluzzjoni tkun malajra. Jista’ jnaqqas iċ-ċans li kwistjoni serja tibda ħajjitha f’inbox mhux immonitorjat.

Proġett jista’ jippubblika politika tas-sigurtà, indirizz għar-rappurtar u informazzjoni dwar verżjonijiet appoġġjati. Dawk huma sinjali utli, speċjalment meta jiddeskrivu x’jista’ jistenna rapporteur. Proġett jista’ jkun ukoll żgħir wisq biex jipprovdi l-ħin ta’ rispons li teħtieġ installazzjoni importanti. Dak mhuwiex falliment morali. Huwa fatt ta’ ppjanar għall-organizzazzjoni li tagħżel id-dipendenza.

L-istess jgħodd downstream. Manifattur ma jistax raġonevolment jgħid li vulnerabbiltà hija l-problema ta’ ħaddieħor sempliċement għaliex il-komponent vulnerabbli beda f’repożitorju miftuħ. Jekk il-manifattur iqiegħed prodott b’elementi diġitali fis-suq tal-Unjoni, ir-Regolament dwar iċ-Ċibersolidjenza jistabbilixxi rekwiżiti dwar l-immaniġġjar ta’ vulnerabbiltajiet u l-għoti ta’ aġġornamenti tas-sigurtà fil-qafas li japplika għall-prodott. Id-dettall legali jiddependi fuq il-prodott u r-rwol. Il-punt operattiv huwa aktar sempliċi: il-parti li tagħmel il-prodott disponibbli teħtieġ mod kif tkun taf jekk bidla upstream taffettwax dak li tkun forniet.

Hawnhekk l-inventarju jsir attiv minflok dekorattiv. Għandu jgħaqqad komponent ma’ verżjoni, build, rilaxx tal-prodott u sid li jkun jista’ jivvaluta r-rapport. Is-sid m’għandux għalfejn isewwi kull difett upstream waħdu. Għandu jiddeċiedi jekk jaġġornax, itaffix, jiddiżattivax, jinnotifikax, jikkumpensax jew jieqafx juża l-komponent. ‘Aħna nużaw l-open source’ hija deskrizzjoni ta’ input. Mhijiex pjan ta’ rispons.

Ikkunsidra eżempju espliċitament ipotetiku. Tim jinkludi librerija f’servizz tal-ipproċessar tad-dokumenti. Xhur wara, avviż tas-sigurtà jidentifika firxa vulnerabbli. Jekk it-tim ikun irreġistra l-komponent, il-verżjoni u s-servizzi li fihom ikun mibni, jista’ jibda valutazzjoni. Jekk ikun jista’ jirriproduċi l-builds u jittestja l-aġġornament, jista’ jiddeċiedi jekk ir-rimedju huwiex titjib, bidla fil-konfigurazzjoni jew restrizzjoni temporanja. Jekk ma jkollux la rekord u lanqas sid, l-ewwel kompitu huwa xogħol ta’ investigazzjoni. Il-vulnerabbiltà tista’ tkun identika fiż-żewġ każijiet. Ir-riskju operattiv mhuwiex.

Rotta ta’ żvelar ma twiegħedx li kull kwistjoni hija żgħira. Tagħmel l-azzjoni responsabbli li jmiss viżibbli meta tinstab kwistjoni.

Provenance hija t-tweġiba għal ‘x’inhu eżattament li qed inħaddmu?’

Il-provenance tas-software tista’ tinstema’ bħal kelma mislufa minn tikketta ta’ mużew. Il-mistoqsija li hemm warajha hija ordinarja: minn fejn ġie dan l-artefatt, u nistgħu nuru t-triq? Għas-software, it-triq tista’ tinkludi repositorji tas-sors, arkivji rilaxxjati, reġistri tad-dipendenzi, għodod tal-bini, konfigurazzjoni, ċwievet tal-iffirmar, ambjenti tal-bini u sistemi ta’ pubblikazzjoni. It-tweġiba rari tkun fatt wieħed eleganti. Hija ġabra ta’ rekords li jridu jaqblu bejniethom biżżejjed biex persuna tkun tista’ tieħu deċiżjoni.

Il-provenance ma tirrikjedix li organizzazzjoni titlob għarfien perfett. Tirrikjedi li tgħid x’inhu magħruf, x’ġie ċċekkjat u fejn jibqa’ l-inċertezza. Bini riproduċibbli jista’ jipprovdi evidenza b’saħħitha li sors definit u ambjent definit ipproduċew artefatt li jikkorrispondi. Rilaxx iffirmat jista’ jgħin biex tiġi identifikata ċ-ċavetta użata biex jiġi ddikjarat rilaxx. Manwal tas-software (SBOM) jista’ jiddeskrivi l-komponenti ddikjarati. L-ebda wieħed minn dawn ma jipprova waħdu li l-kodiċi huwa bla ħsara, li kull dipendenza tranżittiva ġiet riveduta jew li rilaxx huwa adattat għal użu partikolari. Flimkien, jistgħu jagħmlu investigazzjoni aktar tard ferm inqas spekulattiva.

Din id-distinzjoni hija importanti għaliex il-provenance spiss tinbiegħ bħala timbru maġiku. Mhijiex. Hash jista’ jgħidlek li żewġ sekwenzi ta’ bytes jaqblu. Ma jistax jgħidlek li l-programm li jaqbel għandu jitħalla jipproċessa rekords sensittivi. Firma tista’ tgħaqqad rilaxx ma’ ċavetta. Ma tistax tgħidlek li l-persuna li tikkontrolla ċ-ċavetta segwiet proċess tajjeb ta’ reviżjoni. Inventarju jista’ jsemmi komponent. Ma jistax jgħidlek jekk il-komponent huwiex ikkonfigurat b’mod sigur. L-evidenza tibqa’ evidenza, mhux sostitut għall-ġudizzju.

Madankollu, in-nuqqas ta’ provenance jagħmel il-ġudizzju agħar. Meta tim ma jistax jistabbilixxi liema reviżjoni tas-sors ħolqot pakkett skjerat, ma jistax b’fiduċja jgħaqqad soluzzjoni upstream mas-servizz tiegħu stess. Meta ma jistax jidentifika dipendenza tranżittiva, ma jistax jivvaluta avviż jew twissija mingħajr ma l-ewwel jibni mill-ġdid il-katina tal-provvista. Meta l-bini jipproduċi riżultati differenti mingħajr spjegazzjoni, ma jistax jgħid jekk binarju nbidilx minħabba s-sors, l-ambjent jew interferenza. Dawn huma limiti prattiċi, mhux testijiet ta’ purità.

Is-sovranità diġitali Ewropea spiss titnaqqas għall-post ta’ server. Il-post jgħodd. Mhux biżżejjed. Sistema tista’ taħdem fl-Ewropa filwaqt li tiddependi fuq pipeline tal-bini, reġistru tad-dipendenzi jew kanal ta’ aġġornament li l-operatur ma jistax jispezzjona, jikkontrolla jew jissostitwixxi. Bil-maqlub, is-sors miftuħ jista’ joffri triq reali għall-iskrutinju u l-portabbiltà, filwaqt li jħalli lill-adottant responsabbli għall-kapaċità meħtieġa biex juża dik it-triq. Is-sovranità hija abbiltà li taġixxi taħt pressjoni, mhux bandiera mwaħħla ma’ immaġni ta’ kontenitur.

Rekord utli ta’ provenance għandu jippermetti lil kollega teknikament kompetenti jsegwi rilaxx lura u ’l quddiem. Lura: liema sors, dipendenzi u proċess tal-bini wasslu hawn? ’Il quddiem: liema servizzi, prodotti u utenti jistgħu jiġu affettwati jekk dan il-komponent jinbidel jew jitneħħa? Ir-rekord jista’ jkun proporzjonat. Għodda interna żgħira ma teħtieġx il-makkinarju ta’ programm ta’ ajruplani. Iżda teħtieġ biżżejjed verità biex issostni l-konsegwenzi tal-użu tagħha.

L-Att dwar ir-Reżiljenza Ċibernetika jiġbed linja mingħajr ma jippretendi li d-dinja hija sempliċi

L-Att dwar ir-Reżiljenza Ċibernetika spiss jitqassar bħala sett ġdid ta’ rekwiżiti taċ-ċibersigurtà għal prodotti konnessi. Dan huwa veru iżda mhux komplut. Il-kontribut aktar utli tiegħu għal din id-diskussjoni huwa d-distinzjoni li jagħmel bejn ir-rwoli. Steward ta’ software b’sors miftuħ u b’xejn jista’ jkun entità li tipprovdi appoġġ sostnut għall-iżvilupp ta’ prodotti b’elementi diġitali kkwalifikati bħala software b’sors miftuħ u b’xejn u li hija mfassla biex tiżgura l-vijabbiltà ta’ dawk il-prodotti. Ir-regolament jistabbilixxi kundizzjonijiet madwar dak ir-rwol. Ma jittrattax lil kull kontributur bħala li jġorr l-istess obbligi bħal manifattur.

Din id-distinzjoni tirrikonoxxi kif fil-fatt jaħdem l-open source. Proġett jista’ jkollu kontributuri individwali, assoċjazzjoni, fondazzjoni, kumpanija li toffri appoġġ, distribuzzjoni li tippakkja s-softwer, integrazzjoni u manifattur li jinkludih fi prodott. Ir-responsabbiltajiet tagħhom huma relatati iżda mhux interkambjabbli. Kontributur jista’ jsewwi bug. Steward jista’ jikkoordina l-proġett. Distributur jista’ jippakkjah. Manifattur jista’ jqiegħed prodott fis-suq. Min jimplimentah jista’ jiddeċiedi kif dak il-prodott jimmaniġġja dejta reali u nies reali. Ir-repożitorju pubbliku huwa post ta’ laqgħa bejn dawn ir-rwoli, mhux blender legali.

Għall-organizzazzjonijiet, l-aqwa qari mhuwiex li jbiddlu l-att f’leġġenda qabel ma japplika. L-Att għandu dati ta’ applikazzjoni f’fażijiet u dispożizzjonijiet speċifiċi għal kull rwol. L-interpretazzjoni legali għandha tittieħed mit-test applikabbli u minn parir kompetenti, b’mod partikolari fejn ikun involut prodott, attività kummerċjali jew tqegħid fis-suq. Il-preparazzjoni operattiva, madankollu, ma għandhiex għalfejn tistenna seminar bil-kafè kiesaħ u preżentazzjoni bit-titlu ‘Ħarsa Ġenerali’. Agħmel inventarju tal-komponenti. Identifika min għandu s-sjieda tal-aġġornamenti. Ippreserva l-evidenza tar-rilaxxi. Stabbilixxi rotta għar-rappurtar tas-sigurtà. Iddeċiedi xi jfisser appoġġjat. Dawk l-azzjonijiet huma utli kemm jekk klawżola partikolari tapplika llum, is-sena d-dieħla jew qatt.

L-Att jirreżisti wkoll għażla falza. Mhux qed jgħid li l-open source mhuwiex sigur. Lanqas qed jgħid li l-pubblikazzjoni teżenta prodott kummerċjali mix-xogħol tas-sigurtà. Jagħraf li s-sigurtà tas-softwer użat fi prodotti għandha konsegwenzi pubbliċi, u li l-katina tal-atturi teħtieġ responsabbiltajiet aktar ċari. L-obbligi eżatti jixirqilhom qari legali bir-reqqa. Il-prinċipju huwa ċar: softwer li jilħaq lin-nies permezz ta’ prodott jeħtieġ lil xi ħadd li jkun jista’ jaġixxi b’responsabbiltà meta r-riskju jsir magħruf.

Dak il-prinċipju diġà huwa familjari f’oqsma oħra. Riċetta ppubblikata ma teżentax restorant mis-sigurtà tal-ikel. Standard ta’ bini ppubblikat ma jeħlisx lil kuntrattur mid-dmir li jużah b’mod kompetenti. Il-paragun għandu l-limiti tiegħu: il-liċenzji tas-softwer, il-kanali tal-aġġornamenti u l-komunitajiet tal-iżvilupp għandhom l-istrutturi tagħhom stess. Iżda l-punt bażiku jgħaddi. L-għarfien magħmul pubbliku jista’ jippermetti verifika indipendenti. Ma jneħħix ir-responsabbiltà tal-parti li sservi l-ikel jew li tiftaħ il-bieb.

X’għandhom lilhom infushom dawk li jadottaw

L-aktar politika utli tal-open source spiss tkun politika operattiva moħbija bħala lista ta’ kontroll sensibbli. Għandha twieġeb min jista’ jintroduċi dipendenza, liema informazzjoni trid tiġi rreġistrata, kif jiġu riveduti l-liċenzji, kif jiġu vvalutati l-aġġornamenti, kif jiġu diretti r-rapporti tas-sigurtà u min jista’ japprova eċċezzjoni. Għandha twieġeb ukoll x’jiġri meta jintemm l-appoġġ. Politika li tispjega l-għażla iżda ma tgħid xejn dwar it-tneħħija hija biss nofs politika.

Ibda mill-unità li fil-fatt jimpurtaha: l-artefatt jew is-servizz skjerat, mhux katalgu astratt ta’ proġetti favoriti. Għal kull komponent materjali, organizzazzjoni għandha tkun tista’ ssib il-verżjoni, is-sors jew ir-rotta tar-reġistru, il-liċenzja, ir-rwol intern responsabbli, is-sistema li fiha jintuża u t-triq tal-aġġornament. Il-livell ta’ dettall għandu jsegwi l-konsegwenza tal-falliment. L-għan mhuwiex li kull żviluppatur isir impjegat amministrattiv. Huwa li jieqaf ikun hemm fatti importanti li jsiru għarfien privat f’laptop wieħed jew fil-memorja ta’ persuna waħda.

Imbagħad iddeċiedi liema evidenza tbiddel deċiżjoni. Avviż ippubblikat jista’ jqanqal valutazzjoni. Rilaxx ġdid jista’ jqanqal test ta’ kompatibbiltà. Bidla fil-liċenzja tista’ tqanqal reviżjoni legali. Verżjoni appoġġjata abbandunata tista’ tqanqal pjan ta’ migrazzjoni. Build li ma jibqax jirriproduċi jista’ jqanqal investigazzjoni. Mingħajr dawk il-qanpiena, l-inventarji għandhom it-tendenza li jsiru dokumenti storiċi: preċiżi fil-jum li ġew esportati, injorati b’edukazzjoni wara.

Poġġi s-sjieda qrib l-azzjoni. Tim ċentrali ta' governanza jista' jistabbilixxi l-politika u jipprovdi l-għarfien espert. Ma jistax iħaddem kull servizz. Tim ta' prodott jista' jkun jaf l-arkitettura tal-iskjerament tiegħu stess. Jista' ma jkunx mgħammar biex jinterpreta kull liċenzja. L-arranġament jaħdem meta l-kunsinna tkun espliċita: is-sid tal-prodott jivvaluta l-impatt, is-sigurtà tagħti parir dwar l-espożizzjoni u r-rispons, il-legal jew il-konformità jivvalutaw il-kundizzjonijiet tal-liċenzja fejn meħtieġ, l-akkwist jirreġistra l-impenn estern, u persuna nominata li tieħu d-deċiżjonijiet taċċetta jew tirrifjuta r-riskju materjali. L-ismijiet ivarjaw. In-nuqqas ta' ismijiet huwa l-problema rikorrenti.

Żomm rotta ta' ħruġ. Is-sors miftuħ jista' jnaqqas il-lock-in, iżda biss jekk organizzazzjoni tkun tista' tibni mill-ġdid, tagħmel fork, tissostitwixxi jew tikkuntratta għal appoġġ meta ċ-ċirkustanzi jinbidlu. Mirror tar-repożitorju, istruzzjonijiet ta' bini, rotta ta' dipendenza f'cache u rekord tal-konfigurazzjoni meħtieġa jistgħu jkunu xogħol ta' rutina sakemm is-servizz oriġinali ma jkunx disponibbli jew ir-relazzjoni tispiċċa. Ix-xogħol ta' rutina għandu rekord tajjeb f'emerġenzi.

Fl-aħħar nett, kun onest dwar ir-riskju residwu. L-ebda programm ta' dipendenza ma jista' jiggarantixxi li kull vulnerabbiltà tinstab l-ewwel, li kull proġett upstream jibqa' attiv jew li kull mistoqsija dwar liċenzja tkun sempliċi. Il-punt tal-governanza mhuwiex li wieħed iwiegħed l-impossibbli. Huwa li jagħmel l-inċertezza viżibbli kmieni biżżejjed biex persuna responsabbli tiddeċiedi x'tagħmel magħha.

X'jistgħu joffru b'mod raġonevoli l-maintainers

Il-maintainers mhumiex obbligati lejn id-dinja b'xogħol bla limitu sempliċement għax ippubblikaw kodiċi utli. Dik l-aspettattiva hija kemm inġusta kif ukoll perikoluża. Proġett jista' jkun ġeneruż fir-rigward tal-użu mill-ġdid filwaqt li jkun espliċitu dwar il-kapaċità tiegħu. Jista' jgħid liema verżjonijiet huma appoġġjati, fejn wieħed jirrapporta kwistjonijiet ta' sigurtà, kif jittieħdu d-deċiżjonijiet dwar ir-rilaxx, liema tipi ta' kontribuzzjonijiet jista' jirrevedi u x'mhux se jwiegħed. Limiti ċari huma aħjar għal min jadotta milli ambigwità sħuna.

Anke proġett żgħir jista' jtejjeb il-kunsinna operazzjonali bi ftit dokumenti dejjiema: fajl tal-liċenzja, proċess ta' rilaxx li jinqara, kuntatt ta' sigurtà jew politika ta' żvelar, informazzjoni dwar il-verżjonijiet, gwida dwar id-dipendenza fejn rilevanti, u dikjarazzjoni ċara dwar jekk il-manutenzjoni hijiex attiva, limitata jew konkluża. L-ebda wieħed minn dawn ma joħloq garanzija. Kull wieħed jgħin lil utent downstream jagħmel għażla aktar infurmata.

Fejn proġett ikollu appoġġ organizzattiv, il-konversazzjoni tista' tmur aktar 'il quddiem. L-organizzazzjoni tista' tippubblika politika ta' verżjonijiet appoġġjati, tiddeskrivi l-governanza tagħha, tirreġistra l-prattika tagħha tal-iffirmar tar-rilaxxi, iżżomm rotta ta' rispons għall-vulnerabbiltajiet u tispjega kif l-utenti jistgħu jiksbu appoġġ. Dawn mhumiex bżieżaq għal paġna ta' merħba. Huma wegħdiet operazzjonali, u għandhom jinkitbu biss fejn l-organizzazzjoni tkun lesta żżommhom.

L-aktar messaġġ ta' manutenzjoni onest jista' kultant ikun "ma nistgħux nieħdu dan fuqna". Dan jista' jfisser li karatteristika hija barra mill-ambitu, li pjattaforma ma tistax tiġi ttestjata, li rapport ta' sigurtà jeħtieġ aktar informazzjoni, li fergħa m'għadhiex appoġġjata jew li data ta' rilaxx ma tistax tiġi mwiegħda. Rifjut ċar jagħti lil min jadotta xi ħaġa li jista' jippjana madwarha. Is-skiet jagħtihom storja biex jgħidu lilhom infushom, li ġeneralment hija input aktar għali.

Hemm ukoll responsabbiltà għall-utenti li jiddependu fuq proġett. Irrapporta d-difetti b'biżżejjed dettall biex jiġu riprodotti. Segwi r-rotta tas-sigurtà jekk teżisti. Ikkontribwixxi ttestjar, dokumentazzjoni, finanzjament jew reviżjoni fejn possibbli. Titlobx relazzjoni ta' servizz minn proġett volontarju filwaqt li tirrifjuta li tirrikonoxxi li relazzjoni ta' servizz tiswa flus. Ir-reċiproċità ma tabolixxix rwoli differenti, iżda tista' tagħmel il-katina inqas fraġli.

Is-sors miftuħ jista' jsaħħaħ ir-responsabbiltà

Hemm it-tentazzjoni, wara li wieħed jelenka dawn id-dmirijiet kollha, li jikkonkludi li l-open source joħloq wisq xogħol. Mhux hekk. Ix-xogħol jeżisti kemm jekk is-sors ikun viżibbli u kemm jekk le. Id-dipendenzi magħluqa wkoll jeħtieġu inventarju, għarfien tal-liċenzji, rispons għall-vulnerabbiltajiet, provenjenza u pjan ta' ħruġ. Huma biss jagħmlu parti mill-evidenza aktar diffiċli biex tiġi eżaminata u wħud mill-alternattivi aktar diffiċli biex jitwettqu.

L-open source jista' jagħmel possibbli pożizzjoni aktar b'saħħitha ta' responsabbiltà. Xerrej jista' jeżamina l-arkitettura. Operatur jista' jżomm kopja tas-sors u l-istruzzjonijiet tal-bini. Reviżur indipendenti jista' jittestja dikjarazzjoni. Awtorità pubblika tista' tevita li tagħmel il-pjan privat ta' fornitur l-unika rotta lejn korrezzjoni. Komunità tista' ssib u tirranġa problema li organizzazzjoni waħda naqset li tinnota. Dawn huma vantaġġi sinifikanti, partikolarment f'ambjenti Ewropej fejn il-valur pubbliku, il-kontinwità u l-kontestabbiltà mhumiex dekorazzjoni fakultattiva.

Iżda l-possibbiltà mhijiex tlestija. L-eżaminabbiltà tgħin biss lil min huwa kapaċi u awtorizzat jeżamina. Il-portabbiltà tgħin biss lil min ippreserva l-artefatti u jaf kif jiċċaqlaq. Fork huwa strateġija ta' ħruġ biss meta jkun hemm tim, baġit u rotta legali kapaċi jġorruh. "Il-kodiċi fuq GitHub" mhuwiex pjan ta' kontinwità, aktar ma "il-fajls huma f'armarju" hija strateġija ta' arkivju.

Ix-xogħol tagħna tal-open source f'Dweve iżomm dik il-konfini f'vista. Knot huwa deskritt fil-materjali ppubblikati tagħna bħala traċċa ta' verifika ffirmata u li turi t-tbagħbis għall-ġirjiet tal-aġenti tal-AI, b'verifikazzjoni offline ta' rekord riċevut permezz ta' ċavetta pubblika. Dan jagħmel dikjarazzjoni aktar eżaminabbli. Ma jiddeċidix x'għandha tilloggja organizzazzjoni, min jista' jaċċessa rekord, kemm għandha żżommu jew min jinvestiga riżultat mhux mistenni. Dawk jibqgħu deċiżjonijiet ta' governanza madwar l-għodda. L-għodda tista' tippreserva evidenza. Ma tistax issir l-organizzazzjoni responsabbli f'isem ħaddieħor.

Dik hija l-wegħda modesta li jiswa li tinżamm. L-open source jista' jagħti lin-nies aktar evidenza, aktar għażliet u aktar spazju biex jikkontribwixxu. M'għandux jintalab jipprovdi assoluzzjoni fittizja mill-manutenzjoni, is-sigurtà, il-liċenzjar jew il-ġudizzju operattiv.

Ir-responsabbiltà tibqa' ħajja wara l-buttuna tal-pubblikazzjoni

Il-pubblikazzjoni tal-kodiċi sors hija att utli. Tista' tistieden skrutinju, tnaqqas l-ostakli għall-użu mill-ġdid u tagħmel għażla teknika aktar faċli biex tiġi kkontestata. F'kultura teknoloġika b'saħħitha, għandu jkun normali li l-istituzzjonijiet pubbliċi u l-kumpaniji jikkunsidraw l-open source bis-serjetà, jappoġġjawh kif jixraq u jispjegaw l-għażliet tagħhom mingħajr superstizzjoni.

Il-buttuna tal-pubblikazzjoni, madankollu, mhijiex bokkaport taħt ir-responsabbiltà. Ma tneħħix il-ħtieġa li wieħed ikun jaf x'fih prodott. Ma tippatjax servizz skjerat. Ma tippreservax avviż ta' liċenzja, ma tittrijax divulgazzjoni, ma żżommx bini jew tiddeċidix jekk sistema għandhiex tibqa' tintuża. Dawk il-kompiti xorta jappartjenu lin-nies u lill-organizzazzjonijiet b'rwoli, baġits, awtorità u konsegwenzi.

L-aħbar tajba hija li l-prattika responsabbli mhijiex misterjuża. Semmi d-dipendenza. Aqra l-liċenzja. Żomm il-provenjenza. Iddeċiedi min għandu l-aġġornament. Agħti rotta lir-rapporti tas-sigurtà. Ippreserva ħruġ. Għid b'mod ċar x'inhu appoġġjat u x'mhuwiex. Meta dawk id-drawwiet ikunu preżenti, l-open source isir aktar minn ġest lejn it-trasparenza. Isir infrastruttura li tista' tiġi eżaminata, miżmuma u fdati għal raġunijiet li jibqgħu ħajjin f'jum diffiċli.

Il-mistoqsija taħt il-mistoqsija

Meta tim jistaqsi jekk komponent huwiex open source, spiss ikun qed jistaqsi diversi mistoqsijiet aktar kwieti fl-istess ħin. Nistgħu nafdawh? Nistgħu nitilquh? Nistgħu nbiddluh? Jista' jivverifikah xi ħadd ieħor? Nistgħu nieħdu għajnuna meta xi ħaġa tinkiser? Il-liċenzja u r-repożitorju jistgħu jikkontribwixxu għat-tweġiba, iżda la waħda u lanqas l-oħra ma tista' twieġeb waħedha. Il-fiduċja ġejja mill-evidenza, mill-kompetenza, mill-inċentivi u mill-mod kif tiġi ggvernata installazzjoni partikolari. It-tluq jiddependi mill-interfaċċi, mill-formati tad-dejta, mill-għarfien tal-bini u mir-riżorsi. Il-bidla tiddependi mill-kapaċità teknika u mit-termini li taħthom tista' ssir il-bidla. L-għajnuna tiddependi minn relazzjoni ta' appoġġ attwali jew mill-abbiltà li wieħed jopera mingħajrha.

Dawn id-distinzjonijiet huma difiża kemm kontra ċ-ċiniżmu kif ukoll kontra l-ħolm. Iċ-ċiniżmu jgħid li l-open source huwa sempliċement xogħol mhux imħallas. Il-ħolm jgħid li huwa awtomatikament aktar sikur għaliex forsi ħafna għajnejn jistgħu jeżaminawh. L-ebda waħda minn dawn id-dikjarazzjonijiet ma tgħid lill-operatur x'għandu jagħmel wara. L-operatur jeħtieġ ikun jaf liema għajnejn fil-fatt irrevedew il-verżjoni rilevanti, min jista' jittestja l-patch, liema awtorità teżisti biex issir bidla, u kif ir-riżultat jasal fis-sistema affettwata. Is-sigurtà hija katina ta' azzjonijiet verifikati, mhux qawl dwar il-folol.

L-istess restrizzjoni tapplika għall-akkwist. Li titlob lil fornitur għal komponent open source ma jnaqqasx l-importanza tal-kuntratt. Ibiddel il-mistoqsijiet li kuntratt tajjeb jista' jistaqsi: liema komponenti upstream huma inklużi, kif se jiġu ttrattati n-notifiki u l-obbligi tas-sors, liema verżjonijiet huma appoġġjati, liema evidenza takkumpanja rilaxx, x'jiġri mill-korrezzjonijiet matul it-terminu ta' appoġġ, u liema materjal jista' jżomm ix-xerrej biex jippreserva l-kontinwità. Xerrej għandu japprezza l-abbiltà li jeżamina u jiċċaqlaq. Għandu wkoll jipprezzja l-kapaċità meħtieġa biex juża dik l-abbiltà.

M'hemm l-ebda virtù li toħloq proċess vast għal utilità żgħira, u m'hemm l-ebda prudenza li tuża tabella ta' attività waħda bħala l-mudell ta' governanza għal servizz kritiku. Il-proporzjon huwa l-arti prattika hawnhekk. Aktar ma tkun wiesgħa l-espożizzjoni, aktar tkun konsegwenzjali d-dejta, aktar ikun diffiċli l-irkupru u aktar ikun ċentrali l-komponent, aktar għandhom ikunu b'saħħithom ir-rekords u l-arranġamenti operattivi. Dan mhuwiex burokrazija għall-finijiet tagħha stess. Huwa tentattiv biex id-deċiżjoni reali tinżamm qrib il-konsegwenza reali.

L-open source jaqla' postu fl-infrastruttura diġitali Ewropea meta jgħin lill-istituzzjonijiet jibqgħu kapaċi: kapaċi jivverifikaw, kapaċi jbiddlu, kapaċi jispjegaw u kapaċi jkomplu. Il-kapaċità tieħu aktar żmien biex tinkiseb mill-entużjażmu. Teħtieġ ħin, nies, dokumentazzjoni, ittestjar u l-okkażjonali rieda li tiffinanzja xogħol li qatt ma jsir keynote f'konferenza. Hija wkoll il-ħaġa li tibqa' meta repożitorju popolari, relazzjoni ma' fornitur jew skeda ta' rilaxx tinbidel mingħajr ma titlob permess.

Dik hija r-responsabbiltà fil-forma utli, mhux glamoruża u kompletament pubblika tagħha.

Sorsi