Debata o zodpovědnosti za kód pokračuje

Australský LinuxWorld zveřejňuje názor bezpečnostního experta Bruce Schneiera. Ten si myslí, že by výrobci software měli být zodpovědní za bezpečnost svého kódu. Stojí za názorem, že to prospěje kvalitě software, ale uživatelé by změnu pocítili i v otázce jeho ceny.

16.2.2007 07:12 | Luboš Doležel (Doli) | Zajímavý článek

Komentáře

[vlasta neubauer]

měli by být zodpovědní za software, jehož zdrojový kód nezveřejní. pokud veřejný je, má sám uživatel možnost (teoretickou) ověřit si jeho bezpečnost.

[tired joe]

To je pekná blbosť. Koľko percent užívateľov si tak asi dokáže overiť bezpečnosť kódu. A aj v prípade, že dokáže, prečo by mal byť preto výrobca zbavený zodpovednosti?

[Marek Bernát]

A prečo by mal byť výrobca otvoreného softvéru zodpovedný? Investuje do toho zadarmo (väčšinou) svoj čas a navyše, často majú aj bugzillu, fórum a vôbec podporu (opäť zadarmo) a teba nikto nenúti ten softvér používať. Fakt, pre dobrotu na žobrotu.

Ad bezpečnosť kódu. Pre známy softvér ju väčšinou overujú tretie strany (komunita, tvorcovia balíčkov, …) a tá možnosť overenia tám skrátka je.

[Radek]

pokud si najmu firmu, aby mi vytvorila nejaky software, je nesmysl, aby se ta zbavila zodpovednosti za bezpecnost (funkcnost obecne) jen tim, ze mi da zdrojak.

[Bob Bobovich]

"najmu firmu" znamená "uzavřu smlouvu" (ze které mi plynou i nějaké záruky) a "dá mi zdroják" je něco úplně jiného než "prodá mi zdroják"

Pokud DÁ někdo zdroják k dispozici všem, pak asi těžko můžeme po autorovi kódu chtít aby jej udržoval. Před pár lety jsem napsal nějaké php skripty a dal je volně ke stažení. Dál jsem je nevyvíjel, ale vím, že pár lidí to používá i přesto, že vědí, že vývoj nebude a bezpečnost mého řešení je nulová (bo jsem si tím před pár lety ve skriptech pro běh na localhostu hlavu nelámal). To by mě podle Vás měli žalovat, že jim to nepřepíšu nebo co?

[Radek]

asi jste me nepochopil (priste se vyjadrim pregnantneji). souhlasim s tim co pisete. me slo o to ze samotne vlastnictvi zdrojoveho kodu nemuze tvurce programu zbavit zodpovednosti. ta by mela byt definovana nejakym dokumentem podobnem licenci, kde by se autor mohl zrici veskere odpovednosti (podobne hlasce pri logu debianu). platici zakaznik by mel moznost zvolit si produkt (poripade miru zaruk u totozneho projektu), ktera by mu prisla optimalni. a OSS projekty (vcetne vasich scriptu) by prirozene zadne zaruky neposkytovali, tak jak je tomu doted (snad vyjma komercnich verzi, nevim).

pokulhavajici analogie na zaver: pokud na vas spadne barak (obchod, letistni hala, ...) kvuli spatnemu navrhu, taky nekoho zavrou (teda vetsinou :) ackoli stavebni urad (tj. verejnost) mel stavebni plany k dispozici.

[Marek Bernát]

To myslíte vážne, že sú k dispozícii stavebné plány? Môžete mi dať link k nejakým konkrétnym?

[jozka]

Na netu nejsou, ale v ramci rizeni ke stavebnimu povoleni musite dodat stavebni dokumentaci, na jejimz zaklade (mimojine) vam stavba je/neni povolena. My jsme u baraku napriklad museli menit dispozici, protoze jeden z pokoju byl mensi nez povoluji hygienicke normy.

Takze plany jsou, jsou v papirove podobe, ale tipuji, ze pristup k nim maji pouze ucastnici rizeni.

P.S. Ted popisuji situaci v CR v dobe platnosti stareho stavebniho zakona, ale nemam za to, ze by se to v nejak prilis menilo.

[Marek Bernát]

Aha.

Ale čo sa týka tej analógie, tak v prípade, že by bola možnosť, že softvér môže niekoho usmrtiť (možno navigácia v lietadlách? – neviem, v tom sa veľmi nevyznám), tak sú zrejmé uzatvorené zmluvy, ktoré riešia, kto je zodpovedný a tiež by to skončilo podobne ako v prípade stavby. Ale nemyslím si, že by niekoho zavreli. Skôr by firmy dodávajúce nefunkčné riešenie (v obidvoch prípadoch) dostali mastnú pokutu. Samozrejme, v právnom štáte

[tired joe]

Tak inak - to, či niekto prevezme zodpovednosť za kód by, podľa mňa, malo byť otázkou vzájomnej dohody. To, či je kód otvorený alebo nie, s tým vôbec nesúvisí.

[Radek]

jasne, presne tak jsem to myslel

[Marek Bernát]

Presne tak.

[Libor Chocholaty]

Pokud se to bude vztahovat na vsechen software, tak to zpusopbi, ze OSS zanikne, protoze vyvojari budou v kriminalu nebo v gulagu kvuli dluhum, a komercni soft (=prodavany za uplatu) bude neprodejny, protoze bude stat astronomicke sumy.

A pokud se bude vztahovat jen na komercni soft, tak ten zanikne, taktez pro duvody uvedene vyse.

Takze mi z toho vychazi, ze je to kravina.

[Bob Bobovich]

sochy na Velikonočních ostrovech taky nešly přesunout... ;)

Pokud by se IMHO něco takového prasadilo, pak vývoj uzavřeného softu se dramaticky zpomalí a na OSS by to vliv nemělo, protože svoboda slova.

[Ondroid]

prasadilo je výstižný termín :o)

[loki]

Nevim, ale me prijde, ze tohle je otazka smluvnich podminek. Pokud chci bezpecny software a odpovednost dodavatele, napisu si to do smlouvy - kdyz nebude chtit, pujdu o dum dal. V cem je problem?

[cronin]

Pravdou je, ze priemerna kvalita sucasneho softwaru je nizka. Casto je tato kvalita pouzivatelom akceptovatelna nie pre svoju akceptovatelnost ako taku, ale proste preto, ze nic lepsie nie je k dispozicii.

[Mikos]

Fakta o Bruce Schneierovi

Aneb Chuck Norris má přecijen konkurenci

[Marek Bernát]

Husté

There are no finite state machines. There are only a series of states that Bruce Schneier allows to exist.

[Jmeno]

Skor by prgramatori mali vcas odstranovat chyby. Nijaky soft sa neda napisat uplne bez chyb, no povazujem za vrchol drzosti, ked sa na bezpecnostnu zaplatu _komercneho_ softu caka niekolko tyzdnov/mesiacov.