「オープンソース」は壊れている

christine.websiteのブログより。 または: お金を払わない限り、有用なソフトウェアを書かないのか? 最近、重要なJavaエコシステム・パッケージに大きな脆弱性が見つかりました。この脆弱性が完全に兵器化されると、攻撃者はLDAPサーバから取得した任意のコードを実行するよう、Javaサーバを強制することができます。 <マラ> もしこれがニュースで、あなたがJavaショップで働いているなら、残念ですが、あなたには2、3日が待っています。 私は、これが「オープンソース」ソフトウェアの主要なエコシステム問題の全ての完璧な縮図だと考えています。log4j2が、この問題の最悪のシナリオの1つの完璧な例であると思うので、このすべてについていくつか考えを持っています。この問題に関与したすべての人が、現実世界の問題に対する完全に妥当な解決策のためにこれらすべてを行ったことは完全に合理的であり、

[yarumato]

“誰もlog4j2のメンテナにお金を払っていない!?　数百万ドルの被害を出している脆弱性を修正した人のスポンサーは、昨日の時点でたった3人です。GitHubのスターは、家賃の支払いに使えないことで有名です。”

[otoan52]

寄附文化があると言われる欧米含めてもうまく回ってないのは事実だよなぁ。

[circled]

コンピュータ業界にはBill Gatesが「ソフトウェアには金を払うべきだ」と言った時、みんな散々バカにした歴史があるのよね。その後、Microsoftはソフトウェア市場を創造し、現在の地位があるわけで。

[moegisakuzo]

会社のシステムがどんなものの上で成り立ってるのか理解してる経営者IT以外では皆無だろう。物理的に見えないから金払う感覚も使わせてもらってる感覚もゼロっていう

[shikiarai]

OSS開発者にふるさと納税できないかな

[tettekete37564]

有名な OSS プロジェクトは割とスポンサーが付いてたり財団的な基金でほぼ専業のエンジニアによってメンテされていたりする。重要だと思ったならそのように専念できる環境を与えなければならない。

[hiroomi]

“他の人が暇潰しに作ったソフトウェアを使って、便利だと思ったら、その人にお金を払って下さい。”

[nazoking]

お金でこういう問題が解決したとも思えないけど。むしろ作者がひどく叩かれるだけのような。ただまあ作者はもうちょっともうかってほしい。Jasrac的な管理団体がお金集めて回ればいいのかな？

[kompiro]

Dockerは狙われたらかなりやばい。ちゃんと運用できるよう、OSSでも稼げるようになっているのは大事

[tybalt]

商用で使用される場合には報酬のバランスが取れていなかったり、こういうロビー活動が必要なケースもあるんだろうけど、それでオープンソース全体を語るのは違和感がある

[diveintounlimit]

なんで何度も同じ事が言われているのにOSSは存在し続けられるんだろうね。代わる代わる人が入っては出ていくみたいな感じなのかね。

[nilab]

ブログ: 「オープンソース」は壊れている

[nharuki]

お金だけの問題ではないけれども、お金は依然として大きな影響を与えるファクターであることに変わりはない

[ys0000]

CopyLeftは自分たちが使いたいものを自ら作るDYIの精神からスタートしていると思ってるのでここまで広く商用利用されるなら別のやり方を持ち込む必要があるのかもね。OpenSSHのheartbleedの時も問題になったが解決してない。

[murlock]

膨大な人数が膨大な時間を掛けて作ったソフトウェア群を無償で使うことができるってすごい文化だと思う。だからこそ発展してきた面もあるが、一発当ててゴール出来るのは一握りってのは色んなジャンルに通ずるな

[lenore]

ごめん……。

[rti7743]

基金作って成功したIT起業家とか大規模IT会社を囲ってオープンソースに寄付する財団あれば面白いんだけどな。そこに寄付することかステータスになるぐらいに。

[goronehakaba]

誰も金を払っていないのである

[iwanofsky]

タダより高いものは無いよなぁ。 対価ってなんだろうか？

[andalusia]

最近はデュアルライセンスとかで「稼げる」オープンソースにしないと厳しい時代だよね。純粋な非営利団体のASFとかFSFは苦しいのかしら。ASFの年間収入は300万ドルという記事を見たけど金額的には小企業レベルだよね。

[dhrname]

「オープンソース・ソフトウェアのセキュリティ確保に関する調査報告書 調査報告書 別冊 オープンソース・ソフトウェアに対する各国政府の施策に関する調査報告書」 https://www.ipa.go.jp/security/fy14/reports/oss_security/partA.pdf

[a96neko]

“GitHubのスターは、家賃の支払いに使えないことで有名です”

[tor4kichi]

技術オタクはビジネスに関心を持つべきだよなあと。テックわかってる人間に部分的に任せられるところは任せたい需要はあると思うし。

[dorje2009]

この手の話を聞くたびにOpenSSHトップページの苦言を思い出す "but very few of those companies assist OpenSSH with funding."

[IGA-OS]

どこも歪なのです

[hylom]

金を出す以外にもOSSへの貢献手段はあるわけで、単に金だけの話にするとミスリーディングを誘う気がします

[ki2neko]

プロプライエタリなんてがっつり金が回ってるくせに壊れてるじゃん

[Nobkz]

OSSに関しては最初から不信感がある。

[sds-page]

金を稼ぐために金を稼いでる連中の間でぐるぐる回ってるカネ、そのインフラ技術を支えてるエンジニアに少しは還元されないかな

[yetch]

Microsoftとかで、給料もらいながらOSS活動のみをやってる人いるよね。

[cartman0]

先進国は大体資本主義なのにおかしな話

[toaruR]

特定の企業に依存すると、その企業に有利な働きを断れなくなるようにも

[o_mega]

ここ20年でOSSで動くシステムやOSSを使って稼ぐ方法が増えたことで、ギャップが拡大しているとは思う。OSS/プロプラであることとソフトの品質/利便性/脆弱性はまた別事象 / ただ金はある分にはマシだなあ

[Helfard]

拾ったものを使うからです！！（空から落ちてきた宇宙船を修理して使おうとしたら色々と大変なことになってしまった時に使いたい台詞）

[daishi_n]

この問題、opensslでも言われてたよね。重要なコンポーネントなのにヒト・カネ・モノが必要量入ってないって

[ppppchan]

Q. 透明性が高く、バグが有っても優秀なエンジニアによって修復されるから、信頼性が高いとされてるけど、実際は壊れてるものって何だ? -> A.オープンソース

[nil0303]

log4jのは仕様としてわざわざ組み込んでいたのが実はヤバかったという話のはず。金があったらlog4jの脆弱性は解消されてたかは正直疑問。金ではなく仕様どうするかって意思決定の問題なのでは。

[spam_lover]

マラってあのmalaかと思ったがmaraだった

[temtan]

考え方が逆でどこの馬の骨とも判らない奴が作ったソフトウェアを無料で仕事で使っている企業がおかしいんだよ。