OpenSSL在互聯(lián)網(wǎng)安全方面的重要性似乎一直難以與它的支持資金相匹配。作為互聯(lián)網(wǎng)里應(yīng)用最廣泛的開源加密軟件庫， OpenSSL保護(hù)著數(shù)十萬網(wǎng)站， 保護(hù)著那些銷售數(shù)十億美金的大公司，然而， 這個(gè)開源項(xiàng)目的資金情況缺失一直捉襟見肘。 據(jù)OpenSSL軟件基金的主席SteveMarquess在博客中介紹， OpenSSL通常每年收到的捐款約為2000美元。 僅僅只能雇傭只有一名全職員工從事編程工作。
所以， 當(dāng)OpenSSL出現(xiàn)“心臟流血“漏洞時(shí)， 我們也并不能過分責(zé)怪這個(gè)開源項(xiàng)目的維護(hù)者們。 OpenSSL作為開源項(xiàng)目運(yùn)行的窘境與其他一些從大公司接受到大筆捐款的的開源項(xiàng)目形成了鮮明的對比。 比如說Linux內(nèi)核項(xiàng)目， 就擁有一個(gè)基金會(huì)， 有數(shù)名全職雇員。 基金會(huì)從HP， IBM， RedHat，Intel， Oracle，Google， Cisco以及其他很多很多公司接受捐款。 這些公司的員工同時(shí)也向Linux內(nèi)核提供代碼。
OpenSSL項(xiàng)目的窘境也引發(fā)了開源社區(qū)的關(guān)注。 上周Linux基金會(huì)宣布了一個(gè)3年期的“核心基礎(chǔ)設(shè)施計(jì)劃”（CII）， 打算至少提供390萬美元用來資助那些經(jīng)費(fèi)不足的開源項(xiàng)目。 OpenSSL項(xiàng)目成為第一個(gè)資助的對象。根據(jù)Linux基金會(huì)的執(zhí)行總監(jiān)Jim Zemlin透露， 亞馬遜， Cisco， Dell， Facebook，富士通， Google， IBM， Intel，微軟， NetApp， Qualcomm， Rackspace以及VMWare公司都已經(jīng)明確表示在今后三年至少每年贊助10萬美元用于這個(gè)“核心基礎(chǔ)設(shè)施計(jì)劃”。
當(dāng)然， 這筆錢會(huì)用到幾個(gè)不同的開源項(xiàng)目， OpenSSL會(huì)得到其中的一部分。除OpenSSL之外，這個(gè)計(jì)劃還會(huì)挑選其他的一些重要的開源項(xiàng)目來進(jìn)行資助。
“老實(shí)說， 我們?nèi)昵熬蛻?yīng)該開始這樣的計(jì)劃?！盝im Zemlin說。
因?yàn)椤靶呐K流血“漏洞， OpenSSL成為了該計(jì)劃的第一個(gè)資助對象。 Linux基金會(huì)宣布“OpenSSL將會(huì)得到的資金包括對重要開發(fā)人員的資助，以及其他一些資源用來保證安全性， 保證外部審閱， 以及對補(bǔ)丁需求的及時(shí)反應(yīng)?！?OpenSSL以及其他項(xiàng)目還會(huì)得到關(guān)于計(jì)算及測試平臺(tái)，差旅等方面的資金支持。
這些資金是不帶附加條件的。 Zemlin說“我們希望幫助這些開源項(xiàng)目，不過這必須符合他們開源社區(qū)的規(guī)矩。 OpenSSL的開發(fā)人員為了這個(gè)超級復(fù)雜的軟件付出了很多。 而這些工作從某種角度來說是吃力不討好的?！?/p>
Linux基金會(huì)與OpenSSL社區(qū)還在就資助的一些細(xì)節(jié)進(jìn)行討論。一個(gè)可能的結(jié)果就是OpenSSL項(xiàng)目會(huì)有更多的資金來雇傭全職的開發(fā)人員。
“就像Linux基金會(huì)可以資助Linus Torvalds全職的專注于Linux內(nèi)核的開發(fā)那樣， 我們也希望能夠通過類似的方式使得其他一些基礎(chǔ)的開源項(xiàng)目也能有更多的全職開發(fā)者。”Linux基金會(huì)表示。
Linux基金會(huì)認(rèn)為開源項(xiàng)目的開發(fā)者自己就是自己的老板。 “Linus Torvalds并不需要向Jim Zemlin匯報(bào)” Zemlin說。
任何公司或個(gè)人都可以通過這個(gè)鏈接向“核心基礎(chǔ)設(shè)施計(jì)劃”提供捐助。
亡羊補(bǔ)牢，遲來的核心基礎(chǔ)計(jì)劃
對于那些為“核心基礎(chǔ)計(jì)劃”提供贊助的大公司來說， 如果他們早點(diǎn)行動(dòng)， 可能就會(huì)避免更大的損失。 “心臟流血”漏洞除了對Web服務(wù)器造成影響之外， 還影響了很多其他的產(chǎn)品。
IBM已經(jīng)對它的商業(yè)伙伴發(fā)出警告， 它的一些產(chǎn)品已經(jīng)由于“心臟流血”漏洞而產(chǎn)生了風(fēng)險(xiǎn)。類似的 Cisco， VMware, Dell, Intel以及NetApp也對他們的客戶發(fā)出了類似的警告。
根據(jù)Steve Marquess, “OpenSSL 應(yīng)該至少有6個(gè)全職工作人員。 才能更好地專注于項(xiàng)目的維護(hù)。 而不是像目前這樣僅僅只有一個(gè)。”
對于Linux基金會(huì)的計(jì)劃， Marquess表示歡迎。 不過他在具體細(xì)節(jié)沒有明確之前并不愿意發(fā)表評論。
自從“心臟流血“漏洞發(fā)現(xiàn)以后， OpenSSL收到了總計(jì)9000美元的捐款。 除捐款之外， OpenSSL軟件基金會(huì)的開發(fā)人員也會(huì)被企業(yè)以每小時(shí)250美元請去做顧問。 這些總計(jì)算起來有些年能夠達(dá)到100萬美元。 不過這些錢并不一定能夠?qū)penSSL的最終用戶有所幫助。 為企業(yè)的項(xiàng)目收取的顧問費(fèi)不一定會(huì)使得OpenSSL開源社區(qū)獲益。
Marquess寫道“由于沒有其他收入來源， 我們不得不通過商業(yè)顧問合同這種形式來取得收入。有些客戶需要一些與OpenSSL相關(guān)的產(chǎn)品。 他們認(rèn)為OpenSSL的開發(fā)者是最合適的人選。因此雇傭我們中的一兩個(gè)人。 這類的合同是我們這些開發(fā)人員唯一的大筆收入來源?！?/p>
“有些項(xiàng)目最終會(huì)幫助到整個(gè)OpenSSL項(xiàng)目， 比如說加快了一些補(bǔ)丁的過程，添加了一些新的功能等。 這樣是一種雙贏的格局， 使得雇傭方和開源社區(qū)都能獲益， 而有些項(xiàng)目則不可能對整個(gè)社區(qū)有什么幫助。 比如說移植到某個(gè)專有系統(tǒng)或者幫助客戶對OpenSSL進(jìn)行一些修改。 更糟糕的是， 針對FIPS（美國聯(lián)邦信息處理標(biāo)準(zhǔn)）的項(xiàng)目只能使很少的一部分用戶收益但是需要很大的外包成本。此外， 這樣的項(xiàng)目對OpenSSL的代碼也有負(fù)面影響， 并且使得我們本來就有限的人力更加緊張?！?/p>
事實(shí)上， OpenSSL團(tuán)隊(duì)已將面臨了一些批評。 比如OpenBSD的創(chuàng)始人Theo de Raadt已經(jīng)創(chuàng)建了一個(gè)OpenSSL的分支LibreSSL。 他認(rèn)為OpenSSL充滿了“廢棄的”以及難以理解的代碼。
另外一位不具名的開發(fā)者也對媒體表示對OpenSSL的不滿。 “OpenSSL很少接受代碼提交。 我提供了一些補(bǔ)丁以及相應(yīng)的文檔， 但是從來沒有被接受過。”
這些問題都可以歸結(jié)為OpenSSL社區(qū)缺乏資金的緣故。 Zemlin說：“我不知道為什么OpenSSL社區(qū)資金缺乏問題的原因， 很顯然， Linux社區(qū)擁有一個(gè)明星級的領(lǐng)袖Linus Torvalds。 而OpenSSL是一個(gè)較小的社區(qū)，開發(fā)人員都太專業(yè)了。”
Zemlin認(rèn)為， 開源社區(qū)應(yīng)該從這次“心臟流血“事件中吸取教訓(xùn)。 不能讓類似OpenSSL過去的情況再發(fā)生了。
在OpenSSL獲得贊助之后， 列入“核心基礎(chǔ)設(shè)施計(jì)劃”考慮資助的開源項(xiàng)目還包括Mod SSL， Open Crypto Audit Project， 以及ＧＰＧ。 Zemlin透露，“核心基礎(chǔ)設(shè)施計(jì)劃”的成員會(huì)開會(huì)討論需要進(jìn)行資助的項(xiàng)目。 Linux基金會(huì)做為管理方，成立了一個(gè)指導(dǎo)委員會(huì)， 由提供贊助的企業(yè)代表積極重要的開源開發(fā)者以及其他一些業(yè)界人員組成， 來決定被資助的項(xiàng)目。
“我們需要考慮哪些開源項(xiàng)目對互聯(lián)網(wǎng)和計(jì)算機(jī)用戶最為重要， 我認(rèn)為在保證互聯(lián)網(wǎng)安全和穩(wěn)定方面有很多的開源項(xiàng)目都非常重要，”Zemlin認(rèn)為。
