A fekete doboz illúziója: Miért a nyílt forráskód a valódi biztonság?

Képzelje el, hogy vásárol egy új, csúcskategóriás autót. A dizájn lenyűgöző, a teljesítménye ígéretes. De van egy furcsa feltétel: a motorháztetőt a gyárban lehegesztették. Soha, semmilyen körülmények között nem nézhet bele.

Amikor megkérdezi a kereskedőt, miért, a válasz megnyugtatónak tűnik: Hölgyem/Uram, ez a mi szabadalmaztatott, forradalmi technológiánk. A motor tökéletes és hibátlan. Azért zártuk le, hogy megvédjük a titkainkat, és hogy Önnek soha ne kelljen aggódnia miatta. Bízzon bennünk.

Elfogadná ezt? Rábízná a saját és családja biztonságát egy olyan rendszerre, aminek a működésébe semmilyen betekintése nincs?

A legtöbb szoftver, amit nap mint nap használunk - az operációs rendszerektől az okosotthon-applikációkig - pontosan ezen az elven működik. Ezek a fekete dobozok. Zárt, tulajdonosi (proprietary) szoftverek, amelyeknek a belső működése a gyártó féltve őrzött titka.

Ez a titkolózás, amit a cégek gyakran a biztonság látszatával indokolnak, valójában a legmélyebb kockázatokat rejti magában.

A zárt rendszerek rejtett kockázatai

Amikor egy fekete doboz szoftvert telepítünk, vak bizalmat szavazunk a gyártónak. El kell hinnünk, hogy a szándékaik tiszták, és a munkájuk hibátlan. De ezzel lemondunk a kontrollról, és kiteszük magunkat három alapvető veszélynek:

Rejtett funkciók és hátsó kapuk: Honnan tudhatjuk biztosan, hogy a szoftver csak azt csinálja, amit ígér? A zárt kódba bármilyen rejtett funkciót el lehet helyezni - adatgyűjtő rutinokat, amik a szokásainkat elemzik, vagy akár hátsó kapukat, amiken keresztül a gyártó vagy egy kormányzati szerv hozzáférhet a rendszerünkhöz.

Eltitkolt biztonsági rések: Egyetlen szoftver sem hibátlan. De egy zárt rendszer esetén a gyártó üzleti érdeke azt diktálhatja, hogy egy felfedezett sebezhetőséget ne hozzon azonnal nyilvánosságra, hogy elkerülje a presztízsveszteséget. Ön hetekig, hónapokig használhat egy sebezhető rendszert anélkül, hogy tudna róla.

A függőség fogsága: Egy zárt rendszerhez láncolja Önt. Ha a gyártó úgy dönt, hogy megszünteti a termék támogatását, vagy egy frissítéssel eltávolít egy Ön által kedvelt funkciót, Ön tehetetlen. Nincs alternatíva, nincs beleszólás. Ön a gyártó kénye-kedvének van kiszolgáltatva.

Az alternatíva: A nyitott motorháztető (Nyílt forráskód)

Mi egy radikálisan más filozófiát követünk. Mi az átláthatóságban és az ellenőrizhetőségben hiszünk. Ezért a rendszer kizárólag nyílt forráskódú (open source) komponensekből épül fel.

Ez olyan, mintha egy olyan autót adnánk Önnek, aminek nem csak nyitva van a motorházteteje, de a teljes tervrajzát és a szerelési útmutatóját is a kezébe adjuk.

Miért biztonságosabb ez?

A biztonság nem a titkolózásból fakad. A biztonság a folyamatos, közösségi ellenőrzésből születik.

Nincsenek titkok: A nyílt forráskódú szoftverek kódját bárki megtekintheti. Ez azt jelenti, hogy a világ legjobb, független biztonsági szakemberei ezrei vizsgálják azt folyamatosan, hibákat és rosszindulatú szándékot keresve. Egy rejtett hátsó kapu szinte azonnal kiderülne.

Gyorsabb hibajavítás: Ha egy sebezhetőséget találnak, a közösség érdeke az azonnali javítás és a nyilvánosság tájékoztatása. A hibák nem maradnak hónapokig a szőnyeg alá söpörve.

Valódi függetlenség: A nyílt forráskód szabaddá tesz. A rendszer nem függ egyetlen cégtől sem. Ha egy projekt támogatása meg is szűnne, a közösség továbbviheti, vagy Ön bármikor megbízhat egy másik szakembert a rendszer továbbfejlesztésével. A kontroll az Ön kezében marad.

A rendszer választása tehát nem csupán egy technikai döntés. Ez egy döntés a bizalom természetéről. Ön a titkolózó ígéretekben bízik, vagy az átlátható, ellenőrizhető valóságban?

Mi hiszünk abban, hogy a valódi biztonság nem a lehegesztett motorháztető mögött, hanem a nyitott, közösen ellenőrzött és megértett rendszerekben rejlik.