¿Cuáles son las implicaciones de seguridad de 'código abierto' en comparación con 'fuente disponible'?

Source-available (SA) difiere de la verdadera fuente abierta (OS) en que no hay derecho a la bifurcación. Eso significa que cuando se conoce una falla de seguridad en un software de SA y los desarrolladores se niegan a solucionarlo (lo que no tiene por qué ser por malas intenciones, podría ser simplemente falta de recursos), los usuarios no tienen la opción de ahorcar. proyecta y continúa el proyecto con un nuevo nombre con un nuevo equipo.

Sin embargo, si una falla en un proyecto de SA se descubre y se hace pública, la negativa continua a corregir dañaría gravemente la reputación de un proyecto de SA y alejaría a los usuarios de él.

Algunos defensores de sistemas operativos afirman que la capacidad de todos para ofrecer un parche para un proyecto de sistema operativo se traduce en correcciones de errores más rápidas. Sin embargo, esto solo se aplica a una parte de los proyectos del SO: Aquellos que siguen el modelo de desarrollo de Bazaar y no el modelo de Cathedral . Hay muchos proyectos de SO que no aceptan contribuciones no solicitadas de terceros. Todavía se podría ofrecer una corrección de errores de manera independiente para que los usuarios puedan aplicarla manualmente, pero eso es una sobrecarga de mantenimiento que muchos administradores y usuarios evitan.

Y un proyecto que se bifurca debido a un solo problema suele ser más problemático que su valor. Fui testigo de varios tenedores de proyectos de código abierto como parte de cada lado de la bifurcación. El resultado fue siempre que afectó el progreso general de ambas bifurcaciones porque los recursos de desarrollo se diluyeron, la infraestructura y las estructuras de gestión tuvieron que duplicarse y los usuarios se confundieron. Tratar de mantener un proyecto unido a pesar de cualquier conflicto, por lo general, da sus frutos.

La fuente abierta y la fuente disponible, como categorías generales, son idénticas en sus implicaciones de seguridad. El beneficio clave es un descubrimiento más rápido de errores / ineficiencias / vulnerabilidades; muchas manos hacen trabajo liviano. En la práctica, el valor de este beneficio variará según el tamaño de la comunidad interesada en el proyecto y, por lo tanto, el número de personas que revisan el código fuente.

Con respecto al ejemplo dado: el mensaje de TrueCrypt simplemente indica que el soporte se ha suspendido. Dar un aviso por adelantado hubiera sido agradable, por decir lo menos, pero tal acción no está restringida a entidades de fuente abierta (o fuente disponible); Las corporaciones privadas discontinúan los productos todo el tiempo. Si lo hacen con menos frecuencia, por ejemplo. Debido a que las personas les están pagando para brindar soporte continuo, se debe reconocer que la contratación o el pago de comprometidos de código abierto para el soporte continuo de un producto que se descontinuará es siempre una alternativa disponible.

La disponibilidad de soporte continuo siempre ha sido, y debe seguir siendo, una consideración clave con respecto a la idoneidad de un producto determinado para una tarea en particular, de código abierto o de otro tipo.

En mi experiencia, la pregunta es tan amplia y los prejuicios están tan profundamente arraigados que es posible que esté perdiendo el tiempo tratando de argumentar el caso por ambas partes.

Los proyectos / organizaciones de código cerrado no renuncian fácilmente a su código para el análisis por parte de una parte independiente, y aunque normalmente solo lo harán bajo NDA, por lo tanto, es probable que cualquier análisis de este tipo tenga un sesgo de muestra muy alto. Sin embargo aquí hay una pareja:

enlace Para más información, véase también:

enlace enlace enlace

Dado que los hechos acerca de Truecrypt aún no han emergido, no es un poster para ninguno de los dos lados del argumento (el software de código abierto no fue la razón por la que RSA, Lockheed-Mrtin, Washinton Post y otros fueron pirateados). / p>