– OpenSSL kan ikke reddes

Fri programvare har den egenskapen at hvis noen er misfornøyd med prosjektets utvikling eller kvalitet, så kan de alltids ta over jobben selv.

Hvem som helst kan studere kildekoden, kopiere den og ta prosjektet videre i en eller annen retning under nytt navn. Det kalles å lage en fork (engelsk) eller avgreining.

OpenSSL får nå sin avgreining i form av et nytt prosjekt og produkt døpt LibreSSL, en utvikling som må sees i sammenheng med avsløringen av den nå verdensberømte Heartbleed-sårbarheten i kryptobiblioteket.

Bak står ingen ringere enn den anerkjente sikkerhetseksperten og grunnleggeren av operativsystemet OpenBSD og OpenSSH, Theo de Raadt.

OpenSSL brukes av flere hundre tusen servere på internett. Selv om programvaren anvendes av noen av verdens mest velbeslåtte selskaper har prosjektet vært drevet på dugnad av noen få frivillige ildsjeler; de er både underbemannet og underfinansiert.

Den eksisterende kodebasen er så rotete, uleselig og full av foreldet kode at den ikke kan reddes, ifølge Theo de Raadt.

– Vi har fjernet halve kodetreet på én uke. Det var gamle rester som kunne forkastes. Open source-modellen avhenger av at folk er i stand til å lese og forstå koden. Det var ikke tilfelle her, mener de Raadt i en e-post til Ars Technica.

I alt skal de ha fjernet 90.000 kodelinjer med C og ytterligere 150.000 linjer med innhold. – Selv etter så betydelige endringer så er [den gjenværende] kodebasen fortsatt API-kompatibel, hevder kanadieren i intervju med ZDNet.

Comic Sans

LibreSSL har foreløpig fått en svært spinkel hjemmeside, preget av skrifftypen Comic Sans. Kanskje ikke det man vil forbinde med et seriøst prosjekt, men siden oppgir at de vil bytte font (og blink-taggen) når pengedonasjonene begynner å strømme inn.

Det vil utvilsomt være delte meninger om det er riktig å forke OpenSSL, eller om utviklermiljøene heller burde stå samlet og bidra til ett og samme prosjekt.

Artikkelen fortsetter etter annonsen

annonsørinnhold

Slik unngår du teknologisk plunder i videomøter

    Les også:

• [25.07.2014] Dropper OpenSSL i Chrome
• [06.06.2014] «Ny», alvorlig sårbarhet rammer OpenSSL
• [22.04.2014] Heartbleed: hvorfor gjør vi fortsatt slike feil?
• [15.04.2014] Nettsikkerhet på dugnad?
• [14.04.2014] Skattedata lekket gjennom Heartbleed
• [12.04.2014] – NSA har utnyttet Heartbleed
• [11.04.2014] – Heartbleed var et hendelig uhell
• [08.04.2014] Ekstremt alvorlig sårbarhet i OpenSSL