[CSDN 編集者注] Apache Software Foundation と Linux Foundation は、20 年以上前の設立以来、世界的なオープンソースの旗として、世界中の何十億もの開発者に深い影響を与えてきました。世界におけるオープンソースの普及率が年々高まる中、オープンソースのサプライチェーンなど大きな影響を与えるセキュリティ問題も、オープンソース実践者に課題を突きつけている。 Apache の創設者であり、OpenSSF Foundation のゼネラルマネージャーでもあり、オープンソースのエコロジーとセキュリティに関するオープンソース創設者の深い考えに直面します。
著者| 王啓龍 編集担当| 何苗
制作｜『新人プログラマー』編集部
オープンソース開発者の心の中では、Apache と Linux の重要性は自明のことです。今日に至るまでのオープンソースの開発は、多くの非営利オープンソース ソフトウェア組織の支援と切り離すことができず、それらの組織の中で最も優れた組織が彼らです。Apache HTTP Server は、オープン ソース プログラム NCSA HTTPd を書き直すために初期に Brian Behlendorf 率いるプログラマーによって設立され、今日に至るまで世界ナンバー 1 の Web サーバーです。当初は冗談で「パッチ サーバー」と呼ばれていたこの存在は、Web サーバーの伝説となり、Brian Behlendorf に「Apache の父」という名誉ある称号を与えました。
同時に、国内の開発者にはおなじみのApache ShardingSphere、Apache SkyWalking、Apache Dorisなども、Apacheによってインキュベートされたトップオープンソースプロジェクトです。Apache のオープンソース文化は、世界中の開発者に深い影響を与えています。「Apache Way」は、技術者が「オープンソースをどのように行うか? オープンソースを適切に行うには?」への道を示しています。「メールで起こっていないことは起こらない」という原則は、ブライアン ベーレンドルフの偶然の行動から受け継がれたものです。初期の頃、コミュニケーションをより良くするために、彼は全員を集めるメーリング リストを設立しました。一緒に。
今日のオープンソースは新たな段階に入りました。先駆者たちは開拓から戻り、より現実的なオープンソース セキュリティの問題を研究し始めました。「Apache」の創設者の 1 人であるブライアン ベーレンドルフも、ゼネラル マネージャーとして OpenSSF オープンソース セキュリティ財団に参加しました。グローバルなオープンソース エコシステムのセキュリティの構築に取り組んでいます。
Brain Behlendorf 氏、Apache の共同創設者、OpenSSF Foundation ゼネラルマネージャー
今回の「新人プログラマー 005」では、このオープンソースの達人をお招きし、独占インタビューをさせていただき、オープンソースのセキュリティ構築分野における多くの実践経験と貴重な考えを語っていただいただけでなく、彼の真摯な思いを語っていただきました。そして崇高なオープンソースの理想。
以下はブライアン・ベーレンドルフ氏のインタビュー記録です。
「Apacheの父」の成長の軌跡
「新人プログラマー」：ご両親は科学技術関係のお仕事をされているそうですが、大学ではコンピュータサイエンスを専攻されていなかったとのことですが、当時は何に興味を持っていましたか？その後、コンピューター プログラミングに興味を持ったきっかけは何ですか?
ブライアン:私は 1991 年に高校を卒業していましたが、その年にティム・バーナーズ・リーが世界初の Web ブラウザーと Web サーバーを立ち上げましたが、当時はそのことを知っている人は多くありませんでした。私の両親はIBMで働いていて、私が高校生のときに知り合い、そのおかげで家にパソコンがありました。しかし、私の父は COBOL プログラマーであり、私にとって COBOL 言語は退屈だったので、ソフトウェアを書くことは私の将来の仕事ではありませんでした。
カリフォルニア大学バークレー校に在学中、私は物理学を専攻していましたが、大学で初めて電子メール アカウントを設定し、インターネットに触れるうちに、徐々にコンピューター サイエンスに興味を持つようになりました。私がいくつかの独立したプログラミング プロジェクトを実行し始めたのもその頃で、Unix マシンの管理を手伝う研究室の仕事に就き、コンピューター プログラミング業界の仕事と運営についてある程度の理解を得ることができました。その後、電子音楽に非常に興味を持ち、1992 年に電子音楽に関するウェブサイトを立ち上げ、そこでコミュニティを作り始めましたが、その結果、学部を修了する時間がなくなりました。
「新人プログラマー」: それで、Unix オペレーティング システムについて最初に聞いたとき、どう思いましたか?
ブライアン: Unix に対する私の第一印象は、コマンドライン駆動だということでした。それにとても興奮しました。私にとって、コマンド ラインを入力することはコンピューターに話しかけているようなもので、コマンド ラインを通じてコンピューターに非常に正確かつ具体的な要求を与えることができます。コマンド ラインは GUI よりもさらに使いやすく、フォルダーを次々と開いて適切なボタンや入力を探す必要がないためです。この観点から見ると、Unix の誕生は感動的なものでした。
今振り返ってみると、1991年から1993年頃は、当時のインターネットの雰囲気や社会文化が、相互扶助を大いに促進していました。すべてが完璧だった時代です。知らない人からメールを受け取ると興奮するでしょう。インターネットで接触する人はみんなフレンドリーで面白い人だと想像します。もっと多くの人と連絡を取り合いたいと思います。インターネットへ。この文化はオープンソース ソフトウェアよりも前から存在していますが、それは現在も引き継がれており、多くのオープンソース コミュニティは現在生産的で創造的になっています。
「新人プログラマー」: あなたが最初に書いた興味深いプログラムをまだ覚えていますか? 初期のプログラミング スタイルは現在の仕事にも引き継がれていますか?
ブライアン:私は 8 歳くらいのときに、TRS-80 コンピューターを BASIC でプログラムする方法についての本を読み、その本を使って簡単なゲームやプログラムをいくつか書きました。初めて本格的なプログラムを書いたのは小学4年生の時まで遡ります。当時、クラスの座席表を 2 週間ごとにランダムに配置する必要があったため、ランダムに座席を割り当て、結果を印刷できるプログラムを作成しました。面白いのは、もし私が嫌いな人の隣にランダムに座るように割り当てられたとしたら、私はそれをもう一度実行して、ただ「ランダムに」クラスのクールな子たちの隣に座るだろうということです。つまり、この座席表はそうではありません。まさに「ランダム」。先生は原理を理解していなかったので、私の小さな動きに気づきませんでした。
しかしその後、私はキャリアのほとんどの間、定期的にプログラミングすることをやめました。Apache Web サーバーを構築した初期の頃にたくさんのプログラムを書いたことを今でも覚えています。また、Apache の最初のスポンサー付き Web サイトが立ち上げられたときもたくさんのプログラムを書きました。私は今でも自分のメール サーバーを管理していますが、自分が優れたソフトウェア開発者であるとは決して思っていません。
「新人プログラマー」: 1993 年に学校を卒業した後、あなたはパートナーとともに Organic.Inc を設立しました。しかし、当時のネットワーク サーバー ソフトウェアでは会社のニーズに対応できなかったため、オープン ソース コードにパッチを適用しようとしました。それがあなたの最初の仕事でした。オープンソースとの接触。どのようにしてオープンソースに関わるようになったのですか?
ブライアン:いいえ、その時はそうではありません。私が初めてオープン ソースに触れたのは、1991 年に初めてバークレーに行ったときでした。私は初期のインターネットがどのようなものかを調査し始めました。インターネット上でダウンロードできるソフトウェアがたくさんあることを知りました。各ソフトウェアを簡単にダウンロードして、コンピュータ上で実行して自分で使用できます。それ以来、私は次のような考えを抱くようになりました: ソフトウェアは 1 人か 2 人で作成し、1 コピーあたり 30 ドル以上で販売できるものではなく、何百人もの人が小さなコードをまとめたものであるべきです。すべてをひとつにまとめることは、私のオープンソース思考の原型かもしれません。この経験は 1991 年に起こり、現在「オープン ソース ソフトウェア」と考えられているものを初めて使用しました。しかし、それがオープン ソースと呼ばれたのは 1998 年であり、オープン ソースという用語が作られたのはその後です。
安全なオープンソース開発には公開された「成分リスト」が必要です
「新人プログラマ」: 昨年 12 月に Log4j2 の「衝撃的な」脆弱性が暴露されて以来、世界中の多くの政府やテクノロジー大手の注目と反省を呼び起こし、同時にオープンソースのセキュリティ問題についての議論も活発化しています。ソフトウェアもますます人気があり、緊急性が高まっています。あなたにとって、過去数年間にオープンソースのセキュリティ分野で起こった大きな変化は何ですか?
ブライアン:オープンソースのセキュリティは、政府と企業が協力して取り組む必要があるものです。当時、彼らは Log4j インシデント後にかなりの数のレポートをリリースしていたことを覚えていますが、約 3 週間前にリリースされたあるレポートでは次のように述べられていました。もっと。OpenSSF はその政府報告書で 29 回引用されました。少なくともここ数年、国家安全保障会議は脆弱性の修正に関して私たちに発言権を与えなくなっているように私には思えます。そのため、財団が今日の地位に到達することは、非常に満足しているだけでなく、非常に困難でもあります。オープンソースのセキュリティは私たちの目の前にある困難な課題であり、社会は橋、高速道路、送電網、その他の社会の部分に依存するのと同じくらいオープンソースのセキュリティに機能を依存しており、それなしでは生きていけません。
「新しいプログラマー」: 2021 年 10 月、Linux Foundation は、Open Source Security Foundation (OpenSSF) の拡大とサポート、およびオープンソース サプライ チェーンの保護を目的として、1,000 万米ドルの新たな投資を発表しました。オープンソースのサプライチェーンはなぜそれほど重要なのでしょうか? オープンソースの開発において、それはどのような位置を占めるのでしょうか?
ブライアン:サプライチェーンはすべてを表します。私たちが住んでいる世界はサプライチェーンでできていると言えます。今私のコンピューターの横にマウスがあるのは、サプライチェーンの存在のおかげです。ソフトウェアも例外ではなく、オープンソース ソフトウェアはサプライ チェーンの存在と切り離せないため、ソフトウェアが 1 人の人間によって作成され、エンド ユーザーに直接送信されることはほとんどありません。
このため、サプライチェーンも主な攻撃対象となっています。10 年前、私たちは誰かが私たちのパッケージ データベースに不正なパッケージを密かに挿入する可能性があるとは想像もしていませんでした。ましてや JavaScript モジュールの作成者が自分のアカウントをハッカーに売却し、そのハッカーが私たちの Web サイトを使用する可能性があるとは想像もしていませんでした。 ... 私たちのビジネスは、この種の攻撃について心配する必要がなかった、相互の信頼が高い時代に築かれました。私たちは今、オープンソース開発者がより安全な意思決定を行えるよう支援する必要があることに気づきました。
「新人プログラマー」: オープンソース ソフトウェアのセキュリティが現在直面している最大の課題は何だと思いますか?
ブライアン:今日の開発者は問題を見落としがちですが、それはプラットフォームの選択です。たとえば、機能を追加する必要がある場合、通常は既存のライブラリをベースに構築しますが、その構築プロセスではプラットフォームの助けが必要ですが、深く考えずにデフォルトでプラットフォームに依存してしまいます。セキュリティの問題。これは、ほとんどのプログラマーが「効率的」であるためだと思われるかもしれませんが、実際には、ある種の「怠け者」でもあります。開発プロセス中、誰もが GitHub のような中央組織に多大な信頼を寄せており、疑問さえも持ちません。
もちろん、GitHub がハッキングされないことを願っていますが、GitHub がハッキングされると、多くの人が苦しみます。GitHub はこれまでのところうまくいっているが、本当に 1 つの組織に全信頼を寄せるべきでしょうか?
この質問に対する答えは私にもわかりません。OpenSSF には Sigstore と呼ばれるプロジェクトがあり、開発パイプライン内のアーティファクトにキーで署名する非常に軽量な Let's Encrypt 方法を使用し、誰もが中間のビルドとリリースに使用するツールにアーティファクトを埋め込むことができます。これは、私たちの生活のいたるところにある成分表のようなものです。ケチャップのボトルを手に取ると、誰かがアレルギーを持っている場合に備えて、メーカーはボトルの中に何が入っているのかを教えなければなりません。つまり、開発者はオープンソースのセキュリティを促進するために、より優れたソフトウェア ツールも必要としているのです。
オープンソース開発にもそのような「成分リスト」が必要であり、透明性のあるオープンなコラボレーションプロセスが必要です。多くの企業では、どのようなソフトウェアを実行しているかわからないことがよくあります。そのため、Log4j には問題が発生します。ソフトウェアを導入するとき、開発者はターゲット オブジェクトの構造と一連の作業全体の操作プロセスを理解する必要があります。私たちは、1 人の開発者だけが見たソフトウェア、信頼できないソースからのソフトウェア、またはビルド サーバーが侵害されているかどうかを保証できないソフトウェアを避けるよう努めています。
言語の壁を克服し、OpenSSF が中国のオープンソース セキュリティ構築を促進
「新人プログラマー」: 中国では多くの問題が異なるため、新たな問題が発生する可能性があります。中国におけるオープンソースの現状についてどう思いますか?
ブライアン:オープンソースのセキュリティはどの国でも問題になっています。結局のところ、Log4j の脆弱性は Alibaba (Alibaba Cloud) の研究者によって発見されました。私たちは協力する必要があり、それが私がこのインタビューに参加している理由の1つです。私は中国のコミュニティ、企業、開発者、さらには政策立案者がこの点で本当に団結することを本当に望んでいます。
もちろん、私は中国の開発者が現在直面しているいくつかの問題もよく知っていますが、最も重要なのは間違いなく言語の問題です。母国語が英語ではない場合、中国国外の開発者と協力するのは困難であり、適切な質問の仕方がわからないため、コラボレーションや開発が妨げられる可能性があります。Linux は OpenSSF と連携しており、私たちは中国の開発者がこれらの高度なテクノロジーを導入できるよう支援することに重点を置いた中国のサブコミュニティを作成しようとしています。同時に中国の開発者にテクノロジーの改善を支援してもらい、最終的には前述した Sigstore プロジェクトをオープンすることもできます。中国で。中国人コミュニティがより広く学習して使用できるように、これらを中国にローカライズする必要があります。
「新人プログラマー」: オープン ソース ソフトウェアのセキュリティ リスクを軽減するには、セキュリティ意識も非常に重要です。OpenSSF は、オープン ソース ユーザーのセキュリティ意識を効果的に向上させるのにどのように役立ちますか?
ブライアン:私たちは、開発者がツールの使い方を学ぶだけでなく、より安全なコードを書くのにも役立つように、OpenSSF でかなりの量のコンテンツを公開しています。実際、私たちは Linux セキュリティの基礎トレーニングに関するコースをトレーニング Web サイトで公開しており、現在、「セキュリティ ソフトウェア開発の基礎コース」という名前で中国語に翻訳しています。このコースの長さは約 20 時間とそれほど長くはありませんが、信頼できないユーザーが解析されないなどの問題を回避する方法や、Log4j のバグの原因となった正しい入力形式文字列を送信する方法を説明します。より多くの開発者がこのコースを受講して認定資格を取得すれば、ソフトウェア サプライ チェーンに入るコードに関連するリスクは大幅に軽減されると私たちは考えています。
全体として、開発者には、特に中国語にローカライズした後、OpenSSF Web サイトでこのコースを受講することをお勧めします。また、セキュリティを向上させるためにオープンソース プロジェクトができることのリストを概説したガイドも公開しました。OpenSSF は、開発者がコードの安全性を高めるだけでなく、より重要なことに、異なる考え方や異なるやり方を培うのに役立つ多くのリソースを公開します。
「新人プログラマー」: 中国の開発者のほとんどはより現実的で、オープンソース ソフトウェアの商業化とオープン性について非常に懸念しています。これについてはどう思いますか？
ブライアン:もし誰もが自分のコードを販売することを選択したら、Google、Amazon、さらには Baidu や Tencent のような企業の成長は不可能になるでしょう。私たちは、オープン ソース コードを商業化する方法について具体的に考える必要がありますが、オープン ソース コード自体を販売するのではなく、それに関連する他のことを行うことによって、たとえば、オープン ソース コードを使用して優れた Web サイトやモバイル サイトを構築することができます。アプリケーション、モバイルアプリのバックエンド、いくつかの魅力的な新サービスの開始など。オープン ソース コードを販売する方法について常に考える必要はありません。このオープン ソース コードを使用して世界により多くの価値を生み出す方法を考える必要があります。そうすれば、人々は自然にお金を払ってくれるでしょう。
「新人プログラマー」: 持続可能なオープンソース ソフトウェアの概念について言及しました。中国の開発者はこのコンセプトからどのようなメリットを得られるでしょうか?
ブライアン:持続可能なオープンソースの概念は、必ずしもソフトウェアに関連しているわけではありません。まず、ほとんどの人は慈善活動からオープンソース コードを書いているわけではないことを認識する必要があります。彼らは利他主義からオープンソースを選択するのではなく、無料でコードを書くためにオープンソースを選択します。 。たとえば、Web サービスや支払いプラットフォームを構築するプロジェクトに取り組んでいる場合、プロセス中にバグを修正したり、機能を追加したり、何か新しいことを書いたりするたびに、支払いが必要になります。したがって、適切に運営され、長く続くオープンソース プロジェクトは人々の活動の主な原動力であり、これは企業が考慮すべき重要な問題であると思います。
中国の開発者に私が言いたいのは、私たちはここにいて、あなたたちをもっと強くしたい、そして世界的な協力を達成するためにお互いに助けてほしいということです。この問題の解決に多大な労力を費やした開発者はたくさんいると思います。「コミュニケーション」は非常に重要です。人材開発はコミュニケーションから始まります。私たちは、すべての中国企業、さらには世界の産業がこのオープンソースの取り組みの成果を共有できるツールを提供します。
Apache Way は共同作業を行うためのより安全な方法です
「新人プログラマー」: Apache Software Foundation の創設メンバーとして、有名な「Apache Way」についてどのように理解していますか? このオープンソース運用により、オープンソース ソフトウェアのセキュリティがどのように確保されるのでしょうか?
ブライアン:実際のところ、Apache Way には明確な定義がありません。Apache Way には、電子メールとデジタル コミュニケーションという 2 つの核心があります。Apache Way は、完全に包括的で、オープンで、透明性があり、コンセンサスに基づいた作業方法です。例えてみましょう: プロジェクトや物事が私たちの公開メーリング リストで起こらない場合は、最初は非公開で取り組むことができますが、プロジェクトを進める前に、それを公開してグループで話し合う必要があります。Apache Way のテーマは透明性とコラボレーションです。「一人の人間がソフトウェア全体に責任を負う」という状況は避けなければなりません。プロジェクトの唯一の責任者がある日プロジェクトを離れてしまったら、誰もそれを知りません。メンテナンスを継続する方法。
前に述べたように、オープンソース プロジェクトでは、コードの各行、さらにはプロジェクト全体に対して常に多くの人々が責任を負うようにする必要があります。これが Apache Way であり、実際には人生のルールだと思います。このようにして、私たちはシンプルなツールを使用して活動を調整し、生産性を高め、可能な限り最高のソフトウェアを作成できるように、どのように記述すべきかについての期待を共有し、私たちのコードに対する社会の信頼を築きます。
「新人プログラマー」: 「Apache Way」とあなたの作業方法について、何か興味深い話はありますか?
ブライアン:仕事上のコミュニケーションに電子メールを使用するのがとても好きです。非同期でのオンライン コラボレーションの感覚が気に入っています。また、電子メールは時差、文化の違い、言語の違いなどを許容します。興味深い事実として、私たちの Apache Web サーバー プロジェクトがその一例です。私たちのプロジェクトには Alexico という名前の人がいます。彼は、サーバー プロジェクトが設立されてから 3 年間のほとんどの間、私たちに多くの実践的な支援を提供してくれました。彼はコードの作成を手伝ってくれただけでなく、プロジェクトの他の人々がコードを書くのを手伝い、他の人のコードのレビューを手伝い、さらにはユーザーの質問に答えるのにも協力してくれました。彼は本当に優れたコミュニティ構築者だと言わざるを得ません。
でも、当時はビデオ会議が普及していなかったし、直接会う機会もあまりなかったので、直接会ったことがなくて、知っていたのはアレクシコさんのメールアドレスだけでした。ある日まで、彼は Apache Web サーバー開発者のメーリング リストにメッセージを送り、次のように言いました。オンラインで; 私はこの秋に大学に行く予定です。」
彼は高校生の頃からこのオープンソース プロジェクトに取り組んでおり、他のすべてのプロのソフトウェア開発者と話し合いました。当時、私たちのプロジェクトに参加していた全員が彼の勤勉さ、知性、そして純粋なオープンソースの精神に衝撃を受けました。その後、それは多くの国の人々の間でも見られました。そのため、Apache Way は、英語が母国語ではない人々が、ビデオや電話、その他の方法を使用するよりも電子メールを使用してコミュニケーションを行うのに役立つと思います。電子メールを使用するとメッセージがより正確に伝わるためです。
オープンソースは生まれながらに無料であり、グローバルなコラボレーションが究極の理想です
「新しいプログラマー」: オープン ソースの分野では、リチャード ストールマン (フリー ソフトウェア運動の精神的指導者) の自由の価値は、決して避けては通れない主要な考え方です。昔と比べて、今日の「フリー ソフトウェア」と「オープン ソース ソフトウェア」の違いは何だと思いますか?
ブライアン:私はリチャード M. ストールマンをとても尊敬しています。私たちのコミュニティではよく言われているのですが、「もしリチャード M. ストールマンが存在しなかったら、私たちはリチャード M. ストールマンを作らなければなりません。」彼にさまざまな視点を代表してもらうのは非常に有益だからです。それに比べれば、コミュニティの他の人々は穏健派のように見えます。私はソースコードを共有することの実際的な利点をよく知っており、この権利は非常に重要であると考えており、リチャード M. ストールマンはそれを人権であるとさえ考えています。私たちは、業界の多くの人々をオープンソース ソフトウェアのキャリアに移行させることができたと信じています。現在、世界中の携帯電話、自動車、Web サイトで使用されているソフトウェアの 90% がオープンソースであることを知ってください。
もちろん、私は倫理や人権の観点からソフトウェアをオープンソースにするべきだと主張しているわけではありません。チームとして連携するオープンソース プロジェクトは、より良いソフトウェアをより効率的に構築できるからこそ、フリー ソフトウェアとアジャイル開発はオープン ソース ソフトウェアと共存できると私は信じており、それらが相反するものや矛盾するものであるとは考えていません。オープンソース ソフトウェアの運動は常に、「開発者をどのように支援できるか?」「企業がより良いコードを書くのをどのように支援できるか?」「Mac と PC の古いプラットフォーム戦争に戻るのをどのように回避できるか?」ということをテーマにしてきました。実際、私はそう思います。これらの問題に関する議論はとうの昔に終わり、オープンソースがほぼ勝利しました。勝ったからには、私たちが望む社会と未来を発展させるためにオープンソースをどのように活用するかを考えるべきです。私の理想はグローバルコラボレーションです。
「新人プログラマー」：最後に中国の開発者に伝えたい言葉は何ですか？世界および中国におけるオープンソースの発展の見通しをどのように評価していますか?
ブライアン:私は理想主義者です。言語、タイムゾーン、政治などの壁を越えて、共通のプロジェクトでグローバルに協力できる未来が欲しいのですが、それが可能なのか不安です。実際、今日、市場のニーズを満たすオープンソース コードを作成している人は十分ではないと思います。私は将来、Apache の初期の頃のように、お互いの出身、年齢、背景に関係なく、誰もが一緒に働くことができるようにしたいと考えています。これが私がオープンソース コードに望む未来です。また、政府が私たちが望む社会を構築する上でオープンソース ソフトウェアが果たす重要な役割をもっと認識することを願っています。オープンソースは非常にデジタルな社会を構築します。すべての企業 (もちろん主に大企業) と個人は、オープンソース コードを理解し、投資し、オープンソース コードが社会にもたらすプラスの結果を実現する必要があります。これらは私の希望であり、私の懸念は、この目標にはまったく近づけないことです。逆の方向に進むのではないかと心配していますが、将来的により楽観的な方向に進むかどうかは予測できませんなので、私にできることは、現時点での楽観的な方向性について話すことだけです。
— 推奨読書 —
☞中国联通与腾讯共同设立新公司；苹果被曝已冻结招聘，直至2023年9月；Apache Flink 1.16发布|极客头条
☞元宇宙与AI热度不减，Gartner 2023 年十大战略技术趋势完整解析
☞吴峰光杀进 Linux 内核