Open Source в России: исследование раскрывает ключевые тенденции

📊 Издание N+1, посвященное науке и технике, провело обширное исследование об использовании открытого программного обеспечения (Open Source) в России.

📌 Цель исследования заключалась в том, чтобы выяснить, кто и зачем сегодня занимается опенсорсом в России, а также с какими трудностями сталкиваются разработчики.

🚀 58,4% опрошенных ИТ-специалистов считают, что Open Source не имеет границ и что не существует «российского опенсорса». Почти 70% считают, что современная компания должна участвовать в Open Source, а 98% пользуются опенсорс-продуктами.

#OpenSource #ИТРоссия #Технологии @SecLabNews

Геополитика в мире open source: OpenTofu блокирует российские IP

🚫 Разработчики OpenTofu решили закрыть доступ к своему реестру с российских IP-адресов и удалить провайдеров российских облачных сервисов, таких как Yandex Cloud, Cloud.ru (бывший SberCloud) и Rustack Cloud Platform.

🗣 Решение вызвало бурную реакцию в сообществе разработчиков. Многие пользователи выразили недовольство и потребовали объяснений, считая, что это противоречит принципам открытого ПО.

📄 Главный инженер OpenTofu предоставил ссылки на политику безопасности и резюме TSC от 20 августа 2024 года. Команда объяснила свои действия необходимостью соблюдать международные санкции против России.

#OpenTofu #OpenSource #РоссийскиеРазработчики @SecLabNews

Project Banana: KDE создает Linux-дистрибутив

🚀 Команда KDE начала разработку независимого дистрибутива KDE Linux под кодовым названием «Project Banana», который станет универсальной платформой для разработчиков, пользователей и производителей оборудования. Дистрибутив уже доступен в ежедневных сборках для тестирования с USB-накопителей.

🛡 Система будет выпускаться в трех версиях: Testing обновляется ежедневно для разработчиков и тестировщиков, Enthusiast включает стабильные релизы и бета-версии для продвинутых пользователей, а Stable получает отложенные, тщательно проверенные обновления.

🔐 Безопасность обеспечивается хранением данных в зашифрованных разделах и использованием Btrfs для создания снапшотов. Система поддерживает повторяемые сборки и использует Wayland в качестве графического сервера по умолчанию.

#KDELinux #ProjectBanana #OpenSource #Linux

@SecLabNews

🕵‍♂️ Linux Foundation объяснила, как не нарушить санкции в open-source проектах

‼️Linux Foundation выпустила официальные разъяснения по вопросам соблюдения международных санкций в open-source сообществе. Особое внимание уделяется ограничениям со стороны США и требованиям OFAC, которые работают по принципу строгой ответственности.

⚠️Фонд подчеркнул, что некоторые действия могут нарушать санкционный режим, даже если разработчик не осознает этого. Особенно важно следить за взаимодействием с участниками из санкционных стран и компаний, где доля владения санкционными лицами превышает 50%.

✅ В документе отдельно отмечается, что распространение исходного кода часто не подпадает под ограничения как информационный материал. Однако активное участие разработчиков из санкционных стран в обсуждениях и улучшениях проекта может рассматриваться как нарушение.

#OpenSource #Санкции #LinuxFoundation #Compliance

@SecLabNews

🔒 79 млн загрузок в неделю: российский код в американских военных системах

Библиотека fast-glob используется более чем в 5 тысячах публичных проектов и более чем в тридцати системах Министерства обороны США. Её загружают свыше 79 миллионов раз в неделю, а с учётом закрытых систем число зависимых решений может быть гораздо выше.

Единственным автором оказался российский программист Денис Малиночкин, сотрудник «Яндекса», который разрабатывает проект уже более семи лет. Американская компания Hunted Labs подчеркнула, что никаких связей разработчика с хакерскими группировками не выявлено.

Хотя у библиотеки нет зарегистрированных уязвимостей, эксперты указывают на теоретические риски из-за широкого доступа к файловым системам. Сам Малиночкин подтвердил авторство и подчеркнул, что утилита работает исключительно локально без сетевых функций.

#OpenSource #CyberSecurity #NodeJS

@SecLabNews

⛔️Open Source-фонды предупреждают: если не платить, всё рухнет

Современная разработка критически зависит от реестров пакетов, таких как Maven Central, PyPI и npm. Эти системы ежемесячно обрабатывают миллиарды загрузок, однако их поддержка держится на хрупкой основе пожертвований и спонсорских взносов. Сейчас, когда расходы на трафик и персонал растут, а нагрузка от CI/CD-систем и ИИ-агентов увеличивается, крупнейшие фонды, включая OpenSSF и Python Software Foundation, открыто заявили: «Открытая инфраструктура не бесплатна».

В своем открытом письме они подчеркивают, что коммерческое использование open source без соразмерной поддержки становится нежизнеспособным. Требования к надёжности, безопасности и мгновенной работе систем растут, но все затраты несут некоммерческие организации. Фактически, те, кто работает «дворниками» глобальной экосистемы, вынуждены оплачивать безграничное потребление со стороны крупных компаний.

Фонды предлагают несколько решений: от партнёрств с крупными потребителями до введения многоуровневого доступа и платных сервисов. Главный посыл ясен: пришло время, чтобы те, кто получает выгоду в промышленных масштабах, начали инвестировать в поддержку и развитие ключевой инфраструктуры.

#OpenSource #IT #Инфраструктура

@SecLabNews

ℹ️Google угрожает F-Droid: Регистрация разработчиков может "убить" открытое ПО

F-Droid заявил, что новые правила Google могут поставить под угрозу существование независимых магазинов приложений. По новым требованиям разработчики должны пройти централизованную регистрацию, предоставить документы и оплатить взнос.

По мнению проекта, такие шаги приведут к тому, что пользователи потеряют доступ к тысячам приложений, включая обновления уже установленных. При этом Google объясняет инициативу заботой о безопасности.

В F-Droid напоминают: прозрачность кода и открытые механизмы проверки давно обеспечивают более надёжную защиту, чем закрытая модель Play Store. Проект призывает регуляторов и пользователей остановить монополизацию Android.

#SaveFDroid #OpenSource #AndroidFreedom

@SecLabnews

❓FFmpeg против Google: кто должен чинить open source?

Один из важнейших проектов открытого ПО — FFmpeg — оказался в центре спора о безопасности ключевых компонентов интернета. Искусственный интеллект Google нашёл уязвимость в кодеке для игры 1995 года. Ошибку исправили, но разработчики заявили: FFmpeg написан почти исключительно волонтёрами, а его используют VLC, Chrome, Firefox, YouTube. При этом корпорации вроде Google и Amazon проект напрямую не поддерживают.

Ситуацию обострила политика Google Project Zero: с июля компания публикует уведомления об уязвимостях в течение недели после обнаружения, даже если исправление не готово. Для волонтёров без зарплаты 90-дневный срок — давление. FFmpeg заявил, что несправедливо использовать ИИ для поиска ошибок в «хобби-коде», а затем требовать их исправить. Patch Rewards Program от Google слишком ограничена и не покрывает реальные объёмы работы.

Похожие проблемы у libxml2 — его мейнтейнер Ник Велльнхофер заявил о прекращении работы, объяснив, что еженедельные разборы неприоритетных уязвимостей занимают часы без компенсации. Без реальной поддержки от корпораций критически важные open source проекты могут остаться без разработчиков.

#ffmpeg #opensource #информационнаябезопасность
@SecLabNews