Современные вычислительные системы и устройства обычно требуют фрагментов критически важного программного обеспечения с открытым исходным кодом, которое, как правило, поддерживается неоплачиваемыми или низкооплачиваемыми волонтерами. Недавно в отчете был составлен список критически важных проектов с открытым исходным кодом, отметив, какие из них хронически недофинансированы и/или испытывают нехватку персонала. Информация отрезвляет: 11 из 23 перечисленных проектов в настоящее время имеют только одного или двух сопровождающих, а финансирование в целом скудно, а иногда и вовсе отсутствует. Отчет The Data Drop о сопровождающих открытого исходного кода выявляет, что наличие всего одного или двух человек, отвечающих за критически важные фрагменты программного обеспечения, означает, что рано или поздно что-то сломается — и, учитывая повсеместное распространение, это, как правило, происходит весьма эффектно. Итак, что происходит, когда эти проекты, широко используемые в программном обеспечении, недофинансируются или испытывают нехватку персонала? В 2014 году, в тот же год, что и Heartbleed, волны вызвал Shellshock: уязвимость в оболочке Bash, присутствующей в Linux, macOS и системах типа Unix. Проблема была прослежена до строки кода, существующей с 1989 года, что демонстрирует, как даже программное обеспечение, в котором, как считается, устранены все ошибки, все еще может стать жертвой атак. Беглый взгляд на историю коммитов Bash показывает, что его почти исключительно поддерживает Чет Рейми. В 2016 году была использована уязвимость ImageMagick, предоставившая злоумышленникам возможность удаленного выполнения кода. Эта библиотека используется для обработки изображений в широком спектре программного обеспечения, на веб-страницах, в мобильных приложениях и т. д. Анализ 2020 года показал, что за годы в ее обширной кодовой базе были обнаружены сотни проблем безопасности. Почти каждый вклад в код за последние пару лет был сделан человеком по имени Дирк Лемстра. Среди современных примеров — эксплойт Log4Shell 2021 года, критическая уязвимость в библиотеке журналирования Apache Log4j, используемой в миллионах серверов. Библиотека обработки изображений libwebp столкнулась с уязвимостью нулевого дня в 2023 году, а библиотека сжатия xz, используемая в Linux и iOS, была скомпрометирована в 2024 году. Ключевые моменты в отчете упоминают конкретные репозитории, которые могут находиться под угрозой. Несколько неудивительно, что низкое общее количество сопровождающих и неоплачиваемый характер работы делают ее непривлекательной. Основной файл часовых поясов, используемый во всех операционных системах на базе Linux, поддерживается на общественных началах Полом Эггертом, преподавателем Калифорнийского университета в Лос-Анджелесе. Core-js, фрагмент вспомогательного программного обеспечения, позволяющий использовать новый JavaScript в старых браузерах и, по оценкам автора, используемый в половине самых посещаемых веб-сайтов в мире, поддерживается Денисом Пушкаревым. Однажды ему пришлось выдержать критику со стороны сообщества за то, что он добавил в установщик библиотеки сообщение в командной строке с просьбой о помощи или работе. Библиотека HarfBuzz, разработанная Бехдадом Эсфахбодом, является краеугольным камнем в лигатурах и формировании текста на ближневосточных языках. В этих письменах буква меняет форму и/или ориентацию в зависимости от окружающих ее символов. Эсфахбод отвечает за подавляющее большинство кода проекта и не упоминает о государственном или корпоративном финансировании. Libjpeg-turbo обрабатывает JPEG-изображения на Android, Firefox, LibreOffice и во всех браузерах на основе Chromium. Его поддерживает Д. Р. Коммандер, также известный как DRC, который иногда привлекается для работ, специфичных для библиотеки, хотя и по, возможно, скромным расценкам “3-4 цифры, а не 6 или 7”. Libxml2, как следует из названия, обрабатывает чтение и запись XML в многочисленных приложениях и операционных системах. Ник Велнхофер, первоначальный сопровождающий, ушел в отставку в сентябре 2025 года после многих лет работы с небольшим доходом. Проект SQLite предоставляет однофайловую базу данных, которую чрезвычайно легко интегрировать в большинство программных продуктов, вместо сложных, ресурсоемких баз данных, сохраняя при этом стандартный язык SQL и сопутствующие инструменты. Благодаря простоте использования, он нашел применение в поразительном количестве приложений. Примеры включают *WhatsApp, Dropbox, Android, Windows и все основные браузеры. По оценкам проекта, SQLite используется примерно в триллионе экземпляров. Всего четыре человека поддерживают этот критически важный проект, и они пошли на то, чтобы удалить свои имена и фотографии со страницы проекта, поскольку “в мире много сумасшедших людей, которые могут злоупотребить этой информацией”. Проект финансируется за счет предоставления платной поддержки через компанию основателя, хотя нет никаких сведений об эффективном доходе, особенно когда он, предположительно, должен кормить четыре рта. Однако не все так мрачно. Возьмем, к примеру, curl (программное обеспечение). Почти каждый разработчик использовал его благодаря его возможностям извлечения URL-адресов и обширным возможностям скриптинга. Проект был начат Даниэлем Стенбергом, которому теперь платят за полную занятость в нем. Команда выросла до 11 человек и получила финансирование, в том числе через Open Collective и Немецкое агентство суверенных технологий. Вероятно, благодаря урокам, извлеченным из прошлых соответствующих неудач, проекты Log4j и OpenSSL также финансируются Агентством суверенных технологий, как и обработчик видеофайлов FFmpeg и программное обеспечение безопасной оболочки OpenSSH, которое повсеместно используется на серверах Linux. Учитывая все вышесказанное, легко утверждать, что критическая важность всего вышеупомянутого программного обеспечения заслуживает значительных инвестиций со стороны игроков отрасли, особенно тех, чьи коммерческие продукты в наибольшей степени выигрывают от усилий сообщества. Кроме того, даже если компании не чувствуют морального долга вносить свой вклад, в эпоху, когда ИИ-агенты находят уязвимости за считанные часы, пожертвования этим проектам с открытым исходным кодом также можно рассматривать как инвестиции.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
