Новый закон ЕС угрожает будущему open source

Евросоюз собирается принять закон под названием Cyber Resilience Act (CRA), предлагаемое которым регулирование - существенная угроза будущему индустрии пограмм с открытым исходным кодом (Open Source). Хотя намерения самые благие - улучшить кибербезопасность - что очень хорошо, в текущей форме отсутствют чёткие исключения ответственности для многих держателей и разработчиков программного обеспечения с открытым исходным кодом - что может стать смертельным приговором для open source в Евросоюзе и будет иметь глобальные последствия. Закон CRA был предложен 15 сентября 2022 года Еврокомиссией. Целью было улучшение кибербезопасности с помощью общих стандартов кибербезопасности для всех продуктов с цифровыми элементами. В теории закон замечательный. Но есть несколько областей, которые беспокоят разработчиков open source и организации этой отрасли.

Современные приложения на 90% состоят из открытого свободного кода; ущемление разработчиов open source привело бы к фрагментации сообщества и создало бы препятствия для проектов во множестве секторов, включая критическую инфраструктуру, здравоохранение и вооружённые силы.

 Выглядящий преднамеренным отказ от исключений ответственности для открытого исходного кода наложил бы чрезмерную ответственность на фонды, спонсирующие open source и держателей репозиториев, а также представляет серьезную угрозу не только для безопасности и инноваций в ЕС, но и для глобального сотрудничества в этой области. Это то о чём мы и многие другие представители индустрии пытались предупредить уже шесть месяцев. Увы, Евросоюз остался глух к голосу индустрии. Возлагание ответственности за инциденты с безопасностью на  разработчиков open source, чей софт оказывается составной частью коммерческого продукта приведет к замедлению инноваций и нанесет ущерб экономике ЕС - без каких-либо серьезных улучшений в области безопасности.

 Голосование за постановку на голосование законопроекта назначено на 19 июля в комиссии парламента по промышленности, технологиям, исследованиям и энергии (Industry, Research and Energy / ITRE). И если ничего не сделать - закон будет принят даже без голосования на пленарной сессии самого парламента. Я уверен что если сообщество open source не выступит сейчас, законопроект станет законом, и сообщество open source в нынешнем виде прекратит своё существование.

 В предлагаемом законе Cyber Resilience Act две основные проблемы: он препятствует коммерческой поддержке open source и ставит под угрозу раскрытие найденных уязвимостей.

 CRA препятствует коммерческой поддерже open source

Закон в новой редакции предлагает новые требования к кибербезопасности программных и "железных" продуктов, во многом повторяя "Национальную стратегию кибербезопасности" США. Он призывает поставщиков и производителей программного обеспечения чётко понимать - какие именно компоненты составляют их программы и отзывать программное обеспечение, подверженное уязвимости. Но, в отличие от недавно опубликованной в подробностях стратегии США, закон пытается оторвать определенные open source продукты от фондов и крупных компаний. Тем самым закон потенциально влияет на любой open source проект, что созаёт целую сеть последствий.

Не надо упоминать, что проекты с открытым исходным кодом сильно полагаются на добровольцев, индивидуальных жертвователей и маленькие команды, которые часто работают без существенных ресурсов или финансовой поддержки. Поддержка, которую индивидуальные программисты и фонды получают, часто исходит от коммерческих компаний, которые имеют адекватные ресурсы, чтобы дать разработчикам возможность поработать на благо общества.

Текущая редакция CRA исключает только программные продукты с исходным кодом, которые не имеют вокруг них никакой коммерческой активности. К сожалению, закон определяет коммерческую активность следующим образом:

> если основной вклад в разработку проекта с открытым исходным кодом внесли разрабочики, трудоустроенные в коммерческих компаниях и когда такие разработчики или их работодатели могут получить контроль над тем, какие изменения принимаются в кодовую базу, проект должен считаться имеющим коммерческую природу.

Можно это воcпринимать так: если основной вклад внёс не безработный программист, то проект коммерческий. Не поясняется каким было изначальное намерение; возможно, имеелось в виду получение контроля над кодовой базой работодателем.

Кроме того, говорится:

"Принятие пожертвований без намерения извлечь прибыль не должно считаться коммерческой активностью, не считая случаев когда пожертвования сделаны коммерческой компанией и регулярны по своей природе".

Первая часть приемлема, но регулярные пожертвования от коммерческих компаний являются преимуществом при написании open source. Сказанное в законе может заставить проекты с открытым кодом отказаться от больших пожертвований от коммерческих компаний, чтобы избежать "заражения" коммерциализацией и, возможно, заставит коммерческие компании запретить своим сотрудникам добавлять что-либо в open source проекты и даже полностью отказаться от дальнейшей поддержки таких проектов.

Более того, если CRA примут без должных исключений, такие разработчики могут столкнуться с судебным риском и ответственностью уязвимости, найденные в коммерческих продуктах. У разработчиков open source нет возможности увидеть - как именно и в каких случаях используется их продукт; только конечный производитель это знает.

Потенциальный судебный риск и отсутсвие пожертвований могут отвратить разработчиков от дальнейшего развития и даже поддержки их проектов. Такая ситуация не только подорвёт дух open source, но и может привести к кризису, к изоляции ЕС от остального мира. Производители OSS вне Евросоюза станут избегать рынка ЕС, что значит прекращение доступа ЕС к Linux, Apache, Kubernetes и многим другим проектам. Репозитории вроде Maven Central, npm и PyPi могут запретить скачивание для ЕС из опасений что их сочтут распространителями [софта с уязвимостями]. Проекты из ЕС, озабоченные возможной ответственностью могут убрать свой исходный код из Интернета, а компании в ЕС могут заставить прекратить спонсорство open source.

CRA ставит под угрозу раскрытие найденных уязвимостей

Закон также требует раскрытия найденных уязвимостей для Агентства по кибербезопасности Евросоюза (ENISA) в течение часов после обнаружения, вне зависимости имеется ли уже заплатка для этой уязвимости или её еще нет. Эти меры могут сильно затруднить координированное раскрытие информации об уязвимостях - когда исследователи дают производителям время для разработки пачтей закрытия уязвимостей, еще до того как об уязвимости объявлено публично. Это увеличит шансы злоумышленников разработать эксплойт до того как уязвимость будет закрыта, подставляя под риск взлома каждую компанию, пользующуюся уязвимым софтом. Это будет неудачный исход событий для закона, который должен бы был улучшить кибербезопасность.

Что мы можем сделать?

Как я упоминал ранее, время критично, так как закон движется быстро и будет проголосован комитетом на этой неделе. Мы, как сообщество, должны действовать немедленно. Github и другие представители индустрии должны выступить с публичной оппозицией законопроекту. Разрабочики из ЕС, держатели репозиториев и прочие должны обратиться к своим депутатам в Европарламенте для дальнейшего расследования и озвучивания позиции сообщества open source на слушаниях.

Законотворцам необходимо понимать важность совместной работы и роль глобального сообщества разработчиков в продвижении иноваций из open source. Проекты с открытым программным кодом поддерживают большинство того софта которым мы пользуемя каждый день. Это кровь интернета. Закон, который мешает жертвователям помешает способности сообщества open source поддерживать существующие проекты и доставлять новый софт, ударит по технологической индустрии, повредит экономике ЕС и ухудшит безопасность проргаммного обеспечения в целом.