Пиратская партия России А++

OpenSSF предлагает новую модель финансирования открытой разработки Open Source Security Foundation (OpenSSF) опубликовала совместное заявление крупных технологических компаний о финансировании публичных реестров программных пакетов. Среди подписантов - GitHub, Google, Microsoft, IBM, Red Hat, Arm, Dell Technologies и другие организации. Реестры пакетов - это инфраструктура, через которую разработчики находят, публикуют и устанавливают программные компоненты. Например, npm используется в экосистеме JavaScript, PyPI - Python, RubyGems - Ruby, а crates.io - Rust. От работы этих сервисов зависит не только удобство разработки, но и безопасность программ, собранных из множества сторонних библиотек. Проблема в том, что нагрузка на реестры растёт, а их финансирование во многом зависит от ограниченного числа спонсоров, пожертвованных вычислительных ресурсов и небольших команд сопровождения. По данным OpenSSF, объём загрузок увеличивается на 30-50% в год, тогда как финансирование остаётся практически неизменным. Дополнительную нагрузку создают инструменты программирования на основе искусственного интеллекта: они ускоряют разработку и увеличивают потребление пакетов, одновременно усложняя контроль за безопасностью зависимостей. OpenSSF и подписавшие заявление организации считают, что крупные компании, извлекающие коммерческую выгоду из публичных реестров, должны участвовать в покрытии расходов на их работу. При этом конкретные тарифы и условия каждая площадка должна определять самостоятельно. В заявлении обозначены два основных принципа. Во-первых, индивидуальные разработчики и небольшие организации должны сохранить бесплатный доступ к привычным возможностям публикации, поиска и установки пакетов. Во-вторых, компании, которые используют реестры в больших масштабах, создают собственные зеркала, распространяют пакеты или нуждаются в расширенных возможностях, должны быть готовы соразмерно участвовать в финансировании инфраструктуры. Предполагается, что устойчивое финансирование позволит улучшить доступность сервисов, ускорить распространение обновлений, усилить обнаружение вредоносных компонентов и внедрять механизмы проверки происхождения программных артефактов. Это важно и для небольших проектов: усиление защиты инфраструктуры может приносить пользу всей экосистеме, а не только организациям, которые за неё платят. При этом заявление не вводит обязательных платежей и не объявляет о единой платной модели для всех реестров. Речь идёт о поддержке экспериментов с устойчивым финансированием и готовности крупных потребителей выступать платными клиентами там, где соответствующие модели будут предложены.