ओपनएसएसएल लाइब्रेरी में मिली बदनाम हार्टलेड बग ने सॉफ्टवेयर इंडस्ट्री को चौंका दिया है। उन्होंने खुले सॉफ्टवेयर की दुनिया के बारे में कुछ गलत धारणाएँ भी दिखाईं।

1) लीनस कानून

"पर्याप्त आंखों के साथ, कीड़े सतह पर आते हैं," एरिक रेमंड।

लाइनस के नियम में कहा गया है कि पर्याप्त संख्या में उपयोगकर्ताओं और पर्याप्त संख्या में कोड की जाँच करने वाले डेवलपर्स के साथ, खुले स्रोत कोड में त्रुटियां पाई जाएंगी और धीरे-धीरे ठीक की जाएंगी, जिसके परिणामस्वरूप बंद / मालिकाना सॉफ़्टवेयर की तुलना में अधिक सही और सुरक्षित कोड होगा।

व्यावसायिक तथ्यों की पुस्तक तथ्य और त्रुटियां इसे आठवीं त्रुटि के रूप में संदर्भित करती हैं । पुस्तक एक अध्ययन का हवाला देते हुए कहती है कि जिस आवृत्ति के साथ नए कीड़े पाए जाते हैं वह समीक्षकों की संख्या के साथ रैखिक रूप से नहीं बढ़ता है। मेरा मानना ​​है कि तथ्य यह है कि लोग सॉफ़्टवेयर में बग ढूंढने का एक खराब काम करते हैं, किसी भी डेवलपर के लिए स्पष्ट होना चाहिए। जबकि सिंटैक्स समस्याओं या एंटीपैटर्न के उपयोग जैसे स्पष्ट कीड़े आसानी से कोड सत्यापन के चरण में पकड़े जा सकते हैं, कई अन्य बग केवल प्रोग्राम का उपयोग करते समय ही खोजे जा सकते हैं।

इसलिए, उपयोगकर्ता कार्य का हिस्सा बन जाते हैं। बेशक, अगर कोड सत्यापन चरण के दौरान कीड़े को छोड़ दिया गया था, तो वे अंतिम कार्यक्रम के वास्तविक उपयोग के दौरान पाए जाएंगे, है ना? फिर, यह मामला नहीं है। कोड जाँच के साथ, केवल स्पष्ट त्रुटियां आसानी से मिल जाती हैं। एक समस्या जो बहुत विशिष्ट परिस्थितियों में ही प्रकट होती है या ऐसी स्थितियाँ जो अंतिम उपयोगकर्ता के लिए स्पष्ट नहीं होती हैं वे लंबे समय तक अनिर्धारित रह सकती हैं। यह कार्यक्रम जितना जटिल है, और जितना अधिक यह उपयोगकर्ता के लिए कार्य करता है, उतना ही उपयोगकर्ता के लिए इसकी शुद्धता को सत्यापित करना उतना ही कठिन है। चूंकि प्रोग्राम आमतौर पर ऐसे कार्य करते हैं जिनमें किसी व्यक्ति के लिए अधिक समय की आवश्यकता होती है, इसलिए सहीता सुनिश्चित करने के लिए प्रक्रिया को मैन्युअल रूप से दोहराना बहुत मुश्किल हो सकता है।

हार्दिक इस नियम को दर्शाता है: ओपनएसएसएल का उपयोग दुनिया भर की लाखों कंपनियों द्वारा किया जाता है, जिनमें से कई के पास लाखों उपयोगकर्ताओं की सेवा करने वाले अलग-अलग पूर्णकालिक सॉफ्टवेयर इंजीनियर हैं। फिर भी, यह छेद लगभग दो वर्षों तक अनिर्धारित रहा और अज्ञात रह सकता है अगर सुरक्षा टीम ने कार्रवाई करना शुरू नहीं किया है।

कुछ दिनों पहले मैंने हैकर न्यूज़ पर जो टिप्पणी देखी थी, वह इसे अच्छी तरह से प्रस्तुत करती है:

"एकाधिक आंखों" के बारे में गलत बयान न केवल आधिकारिक जांच पर लागू होता है। यह यह भी विचार लाता है कि कोड को पढ़ने के लिए विशेषाधिकारों के संबंध में परियोजना की खुलेपन की डिग्री विशेष रूप से महत्वपूर्ण नहीं है: यह बहुत महत्वपूर्ण नहीं है कि क्या परियोजना खुली या बंद है, यह मुख्य रूप से अनुचर और उनके सहयोगियों द्वारा जाँच की जाएगी। वास्तव में, ओपन सोर्स की दुनिया में ज्यादातर मामलों में, जो लोग वास्तव में विशिष्ट प्रतिबद्धताओं को समझते हैं, केवल बंद कोड की तुलना में यह थोड़ा अधिक है। कीड़े केवल "सतह" की थोड़ी अधिक संभावना रखते हैं, अगर ऐसा बिल्कुल होता है। तथ्य यह है कि हार्टब्लेड के मामले में कोड की जाँच केवल एक व्यक्ति द्वारा की गई थी, खुलेपन के बावजूद, केवल इसकी पुष्टि करता है।

इस प्रकार, सही और सुरक्षा के संबंध में, बंद स्रोत बनाम, का लाभ न्यूनतम है, यदि कोई हो। ओपन सोर्स सॉफ्टवेयर की ताकत बग को अपने हाथों से बंद करने की क्षमता है, हालांकि इस मामले में ज्यादातर लोग (और डेवलपर्स) आधिकारिक पैच की प्रतीक्षा कर रहे थे, क्योंकि डेटा संरक्षण सॉफ्टवेयर के सुधार और, विशेष रूप से, ओपनएसएसएल स्तर, एक परियोजना जो अपने कोड की जटिलता के लिए जाना जाता है, अधिकांश प्रोग्रामर की क्षमताओं से परे है।

2) अधिकांश खुले स्रोत सॉफ़्टवेयर विकसित या समर्थित नहीं हैं।

जैसा कि हार्टबल ने दिखाया है, यहां तक ​​कि अधिकांश इंटरनेट द्वारा उपयोग किए जाने वाले महत्वपूर्ण सॉफ़्टवेयर प्रोजेक्ट में हमेशा पेशेवर समर्थन के लिए संसाधन नहीं होते हैं। ओपनएसएसएल टीम को दान के माध्यम से सालाना केवल $ 2,000 मिलते हैं । हार्टबल भेद्यता पर कई लेख अभद्र लहजे में लिखे गए थे, और अब तक किसी ने भी यह सुझाव नहीं दिया है कि ये लोग अपने खाली समय में स्वेच्छा से काम करते हैं, जो केवल कृतघ्न सामाजिक गतिविधियों को माना जा सकता है।

डेवलपर जिसने इस बग को प्रकट होने की अनुमति दी है, वह पेशेवर प्रोग्रामर भी नहीं है - वह केवल एक स्नातक छात्र है। एक पेशेवर वह है जो अपनी गतिविधियों से दूर रहता है। इस तथ्य के बावजूद कि वह एक बहुत ही विशिष्ट ओपनएसएसएल-स्तरीय पुस्तकालय विकसित करने में मदद करने में सक्षम है, कोई उस व्यक्ति से उम्मीद नहीं कर सकता है जो विज्ञान में उसी कोड मानक के रूप में है जो कई वर्षों से उद्योग में काम करने वाले पेशेवरों से है - जिस स्तर के लोग हमें देखने की उम्मीद करते हैं प्रमुख डेटा सुरक्षा उपकरणों के रखरखाव के रूप में।

यह ओपन सोर्स सॉफ्टवेयर की ताकत और कमजोरियों में से एक है, जो कि उनकी पृष्ठभूमि या व्यावसायिकता के बावजूद कोई भी योगदान दे सकता है। कई ओपन सोर्स प्रोजेक्ट शौकीनों द्वारा बनाए गए थे, जो एक सौंदर्य है और एक ही समय में, एक जोखिम जो उपयोगकर्ताओं को याद रखना चाहिए।

जबकि कुछ महत्वपूर्ण परियोजनाओं में प्रायोजक कंपनियां हैं, जो पूर्णकालिक पेशेवरों के लिए अनुमति देती हैं, अधिकांश खुले स्रोत परियोजनाएं दान करके मुश्किल से समाप्त हो सकती हैं। मेरा मानना ​​है कि व्यावसायिक संसाधनों के रूप में समान संसाधनों के साथ ओपन सोर्स दुनिया प्रदान करना उच्च गुणवत्ता की व्यवहार्य परियोजनाएं बनाने का सबसे अच्छा तरीका हो सकता है, जो सभी के लिए उपयोगी होगा।

उन परियोजनाओं के लिए जिन्हें कंपनियों से सहायता नहीं मिलती है (और निजी कंपनियां सामान्य उपयोगकर्ताओं के नियंत्रण से परे हैं), ओपन-कोर (जैसे MySQL, उदाहरण के लिए, लाइव) जैसे वैकल्पिक अस्तित्व के मॉडल, साथ ही सेवाओं और पर्यवेक्षण (उदाहरण के लिए, Red Hat) उपलब्ध हैं। ज्यादातर मामलों में, केवल दान पर भरोसा करना पर्याप्त नहीं हो सकता है ।

मुझे उम्मीद है कि कोई व्यक्ति ओपनएसएसएल के आगे के विकास को ले जाएगा, क्योंकि परियोजना इंटरनेट के लिए महत्वपूर्ण है। यदि नहीं, तो मुझे उम्मीद है कि अनुरक्षक वैकल्पिक व्यावसायिक मॉडल के बारे में गंभीरता से सोचेंगे जो उन्हें परियोजना का समर्थन करने की अनुमति देगा, यदि वे चाहते हैं। मुझे उस पर यकीन नहीं है।

3) प्रत्येक परियोजना में बग हैं। ओपन सोर्स वर्ल्ड के पास खोजने के लिए कम संसाधन हैं।

कई उपयोगकर्ताओं को लगता है कि वे उन पर बकाया हैं, भले ही उन्हें मुफ्त में कुछ मिलता हो। ओपनएसएसएल के अनुरक्षकों को बहुत सारी शिकायतें और आरोप मिले , हालांकि डेवलपर्स वर्षों से महत्वपूर्ण स्वैच्छिक कार्य कर रहे हैं। उन्होंने एक पुस्तकालय नि: शुल्क प्रदान किया, जो व्यक्तियों और कंपनियों को अपने प्रेषित संदेशों को एन्क्रिप्ट करने और डेटा की सुरक्षा करने की अनुमति देता है। प्रोग्रामर ने अपने खाली समय में और अपने प्रयासों को बिना ज्यादा पहचान के काम किया।

कुछ तो यह तक कह गए कि हार्टलेड को जानबूझकर जोड़ा गया था । जब तक आप षड्यंत्र के सिद्धांतों के समर्थक हैं, यह धारणा कि इस तरह के मुक्त श्रम करने वाले लोग इस बग को जानबूझकर हास्यास्पद लगेंगे।

सच्चाई यह है कि सॉफ़्टवेयर में हमेशा बग होंगे। यह किसी भी डेवलपर को काम के पहले दिन से उनके अनुभव से पता है। कोई फर्क नहीं पड़ता कि कितने परीक्षण किए गए हैं, या विकास प्रक्रिया कितनी सख्ती से चल रही है, कुछ कीड़े हमेशा दिखाई देंगे। आप अतिरिक्त संसाधनों के साथ उनकी संख्या कम कर सकते हैं, लेकिन आप उन्हें पूरी तरह से छुटकारा नहीं देंगे। क्या विकास प्रक्रिया के दौरान हार्दिक पकड़े जा सकते हैं यदि इसके सभी अनुचर पूर्णकालिक मोड में परियोजना पर काम करते हैं और अधिक कठोर परीक्षण और सत्यापन प्रक्रिया के लिए अधिक समय था? शायद, लेकिन हम यह कभी नहीं जान पाएंगे।

यह कुछ खुला स्रोत उपयोगकर्ताओं को ध्यान में रखना चाहिए। बग्स ओपन सोर्स सहित सभी कार्यक्रमों में मौजूद होंगे, और ओपन सोर्स कार्यक्रमों के डेवलपर्स के पास आमतौर पर उन्हें खोजने के लिए बहुत कम संसाधन होते हैं।

इसलिए, अशिष्ट होने और आरोपों को फेंकने के बजाय, मुफ्त (मूल्य और उपयोग) के लिए आभारी रहें जो आपके लिए उपलब्ध हैं। यदि संभव हो, तो अपनी सराहना दिखाने के लिए रखवालों को वापस दें और उनके प्रयासों का समर्थन करने में मदद करें। यदि आप खुले स्रोत सॉफ़्टवेयर के आधार पर समाधानों के उपयोग पर गंभीरता से निर्भर हैं, तो अपने डेवलपर्स को पूर्णकालिक रूप से काम करने के लिए प्रेरित करें, भले ही यह आपके लिए एक सुंदर पैसा खर्च हो।