Ondrej Surý era in vacanza in Italia quando le vulnerabilità di PHP, il linguaggio di programmazione utilizzato da circa il 70% dei siti web, hanno creato un urgente problema di sicurezza. Dopo che è stata divulgata una patch per due falle scoperte da società di sicurezza statunitensi, gli aggressori avrebbero potuto modificare i siti web, rubare i dati dei clienti o accedere ad altri computer.
Surý, un ingegnere ceco di 49 anni, ha preparato il codice corretto in modo che gli sviluppatori potessero installarlo rapidamente. Ha inoltre adattato la correzione alle versioni precedenti di PHP, risparmiando a migliaia di sviluppatori il lavoro di doverla eseguire autonomamente e contribuendo a proteggere milioni di siti web.
Sebbene abbia ricevuto ringraziamenti pubblici e sia stato descritto dai media come un eroe anonimo, Surý considera il lavoro di routine. È il principale manutentore di PHP e di altri pacchetti per Debian, un ruolo volontario sostenuto su Patreon da 490 persone, che contribuiscono con 1.539 euro al mese.
L’incidente ha sottolineato la dipendenza dell’infrastruttura di internet dal software open source mantenuto da singoli individui. Courtney Miller, professoressa alla George Washington University, ha affermato che molte aziende traggono vantaggio dai progetti open source anche se questi sono spesso guidati da una sola persona. I manutentori possono alla fine smettere a causa di un nuovo lavoro, della perdita di interesse o della mancanza di tempo.
La pressione sta aumentando mentre l’intelligenza artificiale accelera la ricerca delle vulnerabilità. Michael Schwartz, direttore tecnico della società di cybersicurezza Censys, ha affermato che gli strumenti di intelligenza artificiale potrebbero portare alla scoperta di un numero maggiore di falle, migliorando al contempo le capacità difensive. Il risultato è una competizione sempre più rapida tra aggressori e difensori, che potrebbe essere difficile da gestire per piccoli team di volontari.
Daniel Stenberg, lo sviluppatore del software di trasferimento dati curl, ha sostenuto che le aziende che traggono vantaggio dal software open source dovrebbero contribuire ai progetti dai quali dipendono. Anche Surý ha affermato che le aziende commerciali dovrebbero essere ritenute responsabili dei prodotti che vendono e dovrebbero contribuire a finanziare il software open source utilizzato nei loro sistemi.
Surý ritiene che la sfida principale sia trovare nuovi manutentori. Ha affermato che un tempo il software libero sembrava innovativo ed entusiasmante, mentre oggi la velocità di internet e il numero di tecnologie disponibili possono sopraffare i giovani. A suo giudizio, mantenere software essenziale richiede la volontà di fare qualcosa per gli altri.
Gli esperti hanno avvertito che incidenti simili potrebbero verificarsi nuovamente. Jesús María González Barahona, professore di Ingegneria Telematica all’Università Rey Juan Carlos, ha affermato che componenti ampiamente utilizzati potrebbero essere esposti a falle rapidamente sfruttabili, con conseguenze potenziali per le infrastrutture critiche. Ha chiesto maggiori investimenti sia da parte delle aziende sia delle istituzioni pubbliche.
Fonti: El País Sociedad.