Alan Cox a programozó biztonsággal összefüggő felelőssége ellen szólt

Nos, engem kedves szüleim mindig úgy próbáltak nevelni, hogy mindent a tudásom legjava szerint csináljak, illetve foglalkozásukból kifolyólag a "csak olyasmit gyárts, amit te magad is szívesen megennél" mondás alapján részben egyetértek Alan Cox-szal. Gondolom a legtöbb fejlesztő igyekszik tudása legjavát nyújtani, amikor elkészít egy szoftvert, azonban ott a régi-régi törvényszerűség is, miszerint hibátlan rendszer nem létezik.

Na de mi van olyankor, ha én nem nyilatkozom arról, hogy az általam készített szoftver maximálisan biztonságos? T.i. (javítsatok, ha tévednék) a GPL (nem tudom más licenszek állítanak-e ilyet) tartalmaz egy olyan sort, miszerint a szoftver fejlesztője nem vállal semmilyen garanciát adott szoftverért. Most akkor ha én elfogadom ezt a feltételt, azzal hogy elolvasom a licenszet és rábökök az accept gombra, akkor ha gáz van, mi jogon reklamálok?

Zárt forrás: erről nem tudok mit mondani; az a ms büntetős videó jut eszembe, ami pár hete került fel...

A szavazásnál nem-re böktem, de inkább egy "Akkor, ha..." feliratú gombra nyomtam volna...
Ez a véleményem.
--
A gyors gondolat többet ér, mint a gyors mozdulat.

az ablakzár gyártókat sem tekinti senki bűnösnek a (lakás) betörések kapcsán.

Milyen stílusos... :)

--
//:wladek's world

Nos ez nem egy egyszerű probléma szerintem, azaz nem lehet annyival elintézni, hogy "igen legyen felelős" vagy "nem felelős". A programkészítés (kicsit leegyszerűsítve a folyamat nevét) is egy olyan szakma, mint bármi más, pl. építészet. Nem véletlen, hogy sokszor szoftver mérnöknek hívják a programozót. Ha egy építész mérnök olyan hibát vét, amely miatt milliós kár keletkezik, netán sérülést vagy halált is okoz, akkor természetes, hogy előveszik érte. Ki kell persze vizsgálni, hogy az ő hibájából történt-e a baleset, vagy mondjuk valaki egy főfalba ajtót vágott mert szerinte az trendi. Ha egy programot biztonságosnak hirdet a készítője, függetlenül attól, hogy pénzért vagy ingyen adja, illetve, hogy ezt jóhiszeműen vagy rosszhiszeműen állítja és az mégsem az, akkor valamilyen szinten megtévesztette a felhasználó(ka)t. Az sem jó persze, ha a "szerencsétlen" programozó "rettegve" írja a kódot, hogy vajon lesz-e benne -komoly- hiba, és akkor pellengérre állítanak (lesittelnek, megbüntetnek) érte vagy sem.
Én úgy gondolom, hogy ha egy programozó eléggé lelkiismeretes, körültekintő és hozzáértő, akkor el tudja dönteni, hogy a saját kódja elég biztonságos avagy sem. Itt is van még egy "kis" buktató, hogy a kódjában alkalmaz olyan biztonságosnak hitt algoritmust, vagy könyvtárat, amelyről később kiderül, hogy hibás vagy törhető stb. akkor azért ő lesz-e a felelős vagy sem.
A felelőség kérdése tehát az egyik dolog. A másik a felelősség mértéke, azaz, hogy milyen kártérítéssel tartozik a hibájáért. Mondhatjuk azt, hogy valaki vesz néhány tízezer forintért egy alkalmazást, majd annak hibája miatt milliós kár éri. Beperelheti-e a programozót vagy a céget, amlelytől vette a teljes kár erejéig (vagy egyáltalán). Elsőre talán azt mondanánk, hogy nem, de mi a helyzet egy más esetben, mikor pl. egy autószerelő mondjuk 50e Ft-ért javít egy autó féket (rosszul) és ebből baleset lesz, több százezres kár vagy még rosszabb. Akkor ő csak 50 rugó kártérítésre kötelezhető max.
Azt meg, hogy a megvásárolt szoftver licencében az van, hogy semmiféle felelősséget nem vállalnak bármiféle adatvesztés vagy egyéb "baleset" esetén, én meglehetősen nagy genyaságnak tartom. Na ja, persze oda írhatnák, hogy pl. az "Operációs rendszere adatvesztést okozhat", ez igaz, de kb. olyan mint, hogy ay "Autója balesetet okozhat". Ez így van, csak nem mindegy, hogy én vagyok a béna és nem tudok vezetni (akkor meg ugye hogy kaphatok jogsit, de ez egy más kérdés), vagy az új autóm néhány kanyar után kormányozhatatlanná válik és azért.
Röviden tehát, az hogy a programozó felelős a program minőségéért nem szerintem nem kétséges. Azt hogy mennyire és milyen formában, azt meg döntsék el az okosok.

Szerintem rossz helyen húzta meg a határt Cox bátyó.
Nem a nyílt és a zárt forrás a lényeg, hanem az, hogy a szoftver kereskedelmi szoftver vagy nem.

Ha én fizetek egy szoftverért, legyen az nyílt vagy zárt forráskódú, akkor jogosan várom el, hogy a lehető legjobban működjön. Persze tökéletes szoftver nincs, ezt én is tudom, mivel írtam már hibás programot, de a pénzemért cserébe elvárom, hogy a felfedezett hibákat záros határidőn belül kijavítsák.

Ha azonban nem kereskedelmi szoftverről beszélünk és ugyebár ingyen volt, akkor szerintem nincs jogom elvárni semmit, mivel nem fizettem érte, de a fejlesztő image-ét erősen rombolja, ha folyamatosan tele van hibákkal a kódja. (Bár ez a fizetősnél is így van.)

Üdv: Tamaas

"Adam Laurie - nyílt forrású fejlesztő és biztonsági szakértő - szerint a szoftverfejlesztőknek felelősnek kellene lenniük azokért a kódokért, amelyekről azt állítják, hogy biztnságosak, de kiderül róluk, hogy nem azok."

na bumm. akkor majd mindenki megtanul máshogy fogalmazni.

Alapvetően nem azzal van a baj, hogy a programokban hiba van, mert nincs olyan program amiben nincs, hanem azzal, hogy nem javítják a hibát. A megoldásra van egy kicsit drasztikus ötletem. Ha egy programban nem javítanak ki egy reprodukálható hibát X időn belül akkor a gyártó köteles a kódot nyilttá tenni és a program licence automatikusan a törvény erejénél fogva public domain lesz.
Nyilvá ehhez az kell, hogy a hiba reprodukálható legyen és a hibajelentő hajlandó legyen az együttműködésre. (A reprodukálható hibákért pedig fizetnie kell a hibajelentőnek, hiszen tesztelést végzett, amit a gyártó kellett volna végezzen.)
Gazdaságilag ez azt jelenti, hogy a gyártó addig tud az eladásból profitot szerezni, ameddig a hibákat javítja, ha már nem érdekli a saját programja annyira, hogy valóban olyanná tegye, mint amit ígért amikor eladta hagy profitáljon belőle a köz.
Hajlandó vagyok persze egy kicsit puhítani is az ötleten: Ne vonatkozzon a rendelkezés csak a biztonságot érintő hibákra (de arra kőkeményen). Vagy legyen elég a gyártónak bizonyítania, hogy a hiba bejelentésétől számított Y időn belül elegendő erőforrást allokált a munkára és rajta kívülálló okból (pl. nehezen reprodukálható a hiba - mondjuk néhány ms-ig tartó versenyhelyzet vagy nem működik együtt a hibajelentő) nem sikerült a hibát kijavítania az X időn belül.