オープンソースcURLの作者、某大企業から「24時間以内にこの質問に答えるように」との無礼なメールを受け取る
今回は「オープンソースcURLの作者、某大企業から「24時間以内にこの質問に答えるように」との無礼なメールを受け取る」についてご紹介します。
関連ワード （上位層、意図的、掲載等） についても参考にしながら、ぜひ本記事について議論していってくださいね。
本記事は、Publickey様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。
コマンドラインからさまざまなプロトコルでデータ転送を実行できる「curl」コマンド（以下cURL）は、多くのITエンジニアにとって欠かせない、非常に便利なツールです。
cURLはオープンソースで開発されているソフトウェアです。先日その作者であるDaniel Stenberg氏に、某大企業からオープンソースを全く理解していないとみられる大変無礼なメールが届いたとして話題になっています。
If you are a multi billion dollar company and are concerned about log4j, why not just email OSS authors you never paid anything and demand a response for free within 24 hours with lots of info? (company name redacted for *my* peace of mind) pic.twitter.com/saumXAWPKO
— Daniel Stenberg (@bagder) January 21, 2022
メールの宛名となっている「Haxx」は、cURLのトップスポンサーとして名前が掲載されているcurlの開発者の集まりである「Haxx」のこと。
メールの送信元となる会社名や製品名はStenberg氏の判断で黒塗りになっています。
メール本文の1行目から2行目にはこうあります「あなたがこのメールを受け取ったのは、■■があなたが開発した製品を採用しているためです。私たちはこのメールをあなたが受け取ってから24時間以内に、お読みいただいた上でご返答いただくよう要求します」。
本文に続いて、先日脆弱性が発見されて話題となったLog4jに関係する8つの質問が連なっています。
つまり、まるで商用製品を購入した顧客が開発元にサポートを要求するのと同じことを、オープンソースの作者に要求しているのです。
メールの発信者はcURLがオープンソースであることを知らないのでしょう。
オープンソースを理解していないユーザーの存在
Stenberg氏は、このことについて記したブログ「LOGJ4 SECURITY INQUIRY – RESPONSE REQUIRED」で次のように書いています。
I think maybe this serves as a good example of the open source pyramid and users in the upper layers not at all thinking of how the lower layers are maintained.
これは、オープンソースのピラミッドの良い例だと思う。上位層にいるユーザーは、下位層がどのようにメンテナンスされているかについて全く考えが及ばないのだ。
Stenberg氏が指摘するように、オープンソースのことを理解せずに使っているユーザーが多数存在することは事実です。
つい先日も、オープンソースのライブラリであるfaker.jsの作者が、無料で使っている企業のためにただ働きするのはもういやだ、というメッセージとともにライブラリの内容を破壊する、といった事件が起きていました。
- OSS「faker.js」と「colors.js」の開発者、自身でライブラリを意図的に改ざん 「ただ働きはもうしない」 – ITmedia NEWS
オープンソース開発者のことを顧みないユーザーが多いことに業を煮やした末の事件でしょう。
3年前にはRedisやMongoDBなどのオープンソース開発企業が大手クラウドベンダに反発する事態も起きました。
- Redis、MongoDB、Kafkaらが相次いで商用サービスを制限するライセンス変更。AWSなどクラウドベンダによる「オープンソースのいいとこ取り」に反発
オープンソースが普及し、多くの企業やクラウドがユーザーとしてその成果を享受する一方で、開発者に対して何らかの価値をどうやって還元するべきなのかは、いまだにユーザーとオープンソース開発者のあいだですっきりと解決できない大きな課題となっています。
今回もcURLの件も、ユーザー側のオープンソースに対する無理解に起因した事象といえます。
ちなみにStenberg氏はすぐさま「サポート契約を結んでくれれば、すぐに返事をしますよ」と返したそうです。
I replied saying I'd be happy to answer all the questions as soon as we have a support contract.
— Daniel Stenberg (@bagder) January 21, 2022