Cosa non va nella supply chain del software open source

Il caso della backdoor xz mette in evidenza il problema della distribuzione di software open source non sempre controllato adeguatamente prima di andare in produzione. E prima di tributare il nostro “grazie” a chi ha scoperto, in modo abbastanza casuale, la falla in questione, è bene fare i conti con il modello distributivo di questo software.

Gran parte delle infrastrutture informatiche moderne, infatti, poggia in un modo o nell’altro su software open source e gratuito che non viene controllato adeguatamente, che non viene aggiornato da tempo o su cui tendenzialmente non ci sono i dovuti controllo. La figura del maintener dei vari progetti open source, del resto, è da tempo sotto pressione, dato che si occupa di gestire grandi quantità di codice ed è difficile, se non impossibile, fare un controllo di qualità sul tipo di collaboratori e sulla loro affidabilità.

La supply chain dell’open source, nello specifico, si riferisce al processo di produzione, distribuzione e supporto associato al software open source. Contrariamente ai modelli tradizionali di sviluppo software, dove una singola azienda possiede e controlla il codice sorgente, nell’open source il codice sorgente è reso disponibile pubblicamente e può essere modificato, distribuito e utilizzato da chiunque, secondo le condizioni specificate nelle relative licenze open source. Tale supply chain comprende diversi elementi:

1. Sviluppatori: Sono individui o gruppi che contribuiscono al codice sorgente del software open source. Possono essere sviluppatori indipendenti, aziende, istituzioni accademiche o organizzazioni senza scopo di lucro.
2. Repository: È il luogo dove il codice sorgente è ospitato e gestito. Repository popolari includono GitHub, GitLab e Bitbucket. Questi servizi offrono strumenti per il controllo delle versioni, la gestione dei problemi e la collaborazione.
3. Comunità: La comunità è costituita da tutti coloro che contribuiscono al software open source, fornendo feedback, segnalando problemi, scrivendo documentazione e partecipando a discussioni. Una comunità sana è fondamentale per il successo di un progetto open source.
4. Distribuzione: Il software open source può essere distribuito attraverso vari canali, tra cui repository online, pacchetti software nei repository delle distribuzioni Linux e bundle di installazione.
5. Supporto: Il supporto per il software open source può essere fornito dalla comunità, da fornitori di servizi commerciali, da consulenti indipendenti o da aziende che offrono servizi di supporto specifici per il software open source.
6. Documentazione: La documentazione è essenziale per consentire agli utenti di comprendere e utilizzare il software open source. Questa può essere creata dalla comunità o dai contributori del progetto stesso.
7. Licenze: Le licenze open source regolano l’uso e la distribuzione del software. Esistono diverse licenze open source, ognuna con le proprie condizioni e requisiti.