Hace 2 años | Por mr_b a genbeta.com
Publicado hace 2 años por mr_b a genbeta.com

La difusión el pasado jueves de una vulnerabilidad 'zero day' que puede afectar a cientos de servicios online ha obligado administradores de todo el mundo a realizar actualizaciones urgentes para solucionar dicho fallo. La vulnerabilidad (CVE-2021-44228) ya ha sido parcheada, pero si estás pensando en atribuir esta rápida respuesta a que la Apache Foundation cuenta con una amplia plantilla de desarrolladores espera a conocer esto: los responsables han sido tres desarrolladores voluntarios que trabajan en el proyecto en su tiempo libre.

Comentarios

marcumen

#6 lol lol lol

g

#6 openssl

Shinu

#6 Muy bueno.

wildseven23

#1 Entiendo lo que quieres decir, de verdad, y en parte estoy de acuerdo. Pero de hacerse lo que propones dejaría de ser software libre y pasaría a ser otra cosa, y atentaría contra el principio del mismo. El debate es interesante.

mr_b

#3 Seguiría siendo software libre porque se seguiría distribuyendo el código fuente; simplemente se haría pagar por su uso a las empresas que se lucrasen con él.

#8 Te digo lo mismo: pagar por software libre no hace que deje de ser software libre, hace que pagues por él. Se seguiría distribuyendo el código fuente, que es de lo que se trata para ser software libre.

mr_b

#11 No, no estoy confundido. Libre significa que lo puedes modificar sin perjuicio y que tienes que distribuir los cambios que hagas con la misma licencia. Pero en ningún momento habla de que no cobres por ese software o por esos cambios. La prueba es Red Hat, por ejemplo.

Otra cosa es que tú distribuyas tu software como abierto, pero eso no tiene nada que ver ni con cobrar ni con el tema que estamos tratando.

Y yo lo que pido, y creo que lo dejé perfectamente claro en el primero comentario, es que las empresas que se lucren con software libre paguen por él. Nada más. Ni que se cierre, ni que se deje de distribuir el código fuente, ni nada por el estilo.

De hecho, aparte de Red Hat, tenemos otro ejemplo muy claro: Qt. Está doble licenciado. Si haces proyectos libres no pagas, si haces proyectos donde te lucras, pagas. Y sigue siendo libre (GNU LGPL). Otra cosa es que Digia, ahora, quiera lucrarse más y ande cambiando licencias, pero ese es otro tema.

mr_b

#14 ¿No sabes leer? Lo pregunto en serio. ¿Por qué insistes en decir que yo quiero quitar el software libre cuando lo que quiero es que paguen los que se lucren con él?

Por otro lado, cuéntame, ¿qué parte de la GPL, la licencia más restrictiva en cuanto a la libertad del software libre (restrictiva en cuanto a que no lo puedes cerrar en ningún caso y que tienes que compartir los cambios), impide que cobres por él?

Por favor, deja de poner en mi boca cosas que no he dicho. Gracias.

mr_b

#16 La GPL tiene muchas restricciones de libertades, que ves todas bien y que dices que confieren a dicho software la característica de “software libre” (cosa obvia). Si tú crees que añadir una más, la que obliga a colaborar (con dinero o de otra forma) a quienes se lucren con dicho software, hace perder la cualidad de “software libre” pues tú mismo.

Fijate, podemos hacer un símil con el Estado y los impuestos: ¿pondrías los impuestos libres y que colaborara con la sociedad y todos sus recursos públicos solo aquel que quisiera? En realidad es lo mismo: obligar a pagar es restringir libertades (como libertades restringe la GPL). ¿Por qué unas te parecen bien y otras no, y encima tienes la desfachatez de decir que obligar a pagar haría perder la cualidad de software libre? ¿Obligar a pagar impuestos para colaborar para con la sociedad hace perder la cualidad de demócrata a dicha sociedad?

mr_b

#18 No estoy en contra del software libre, estoy a favor de obligar a colaborar a quienes se lucren con él. No modifiquemos la GPL si no estás de acuerdo (acepto que se limitan libertades, tienes razón ahí). Pues pongamos doble licencia, como puse en mi primer comentario.

Porque de no restringir estas libertades luego pasa lo que pasa, que tres tíos en su tiempo libre y totalmente gratis hacen un software del que se lucran millones de empresas. No sé si ves el problema más allá de que creas la falsedad de que yo quiero acabar con el software libre.

¿Que no quieres modificar la GPL para limitar (más, si cabe) libertades? De acuerdo. Tienes razón. Pero el problema de fondo de esta noticia lleva con nosotros demasiado tiempo, así que tú mismo.

sorrillo

#19 Pues pongamos doble licencia, como puse en mi primer comentario.

Esa es una buena iniciativa, que se pueda elegir entre la licencia de software libre y otra que a ti te parezca oportuna. De forma que cualquiera pueda seguir eligiendo la licencia de software libre y usar ese software con total libertad, ya sea para uso personal o para fines lucrativos, con libertad.

Eso que propones cuando se elige la licencia de software libre obliga por igual a quienes se lucran como a quienes no, por lo que solo obligaría a quienes decidieran renunciar al software libre y decidieran usar la otra licencia distinta.

No hace falta cambiar nada, ya se puede hacer lo que reivindicas, sin ir más lejos tú mismo has puesto el ejemplo de Qt que lo hace.

Pero el problema de fondo de esta noticia lleva con nosotros demasiado tiempo, así que tú mismo.

Yo no he visto ningún problema en esta noticia. Sí he visto un problema en tu propuesta de erradicar el software libre, pero bueno, ahora parece que en este último comentario ya te estás retractando (aunque aún quede alguna frase contradictoria en tu comentario).

mr_b

#20 Yo no he propuesto erradicar el software libre. No seas deshonesto y no pongas en mi boca lo que no he dicho.

JohnSmith_

#22 En puridad, yo (personalmente) le doy la razon asorrillosorrillo en este debate. Entiendo a lo que te refieres pero el software libre, tal como es hoy en dia te otorga X libertades y tu pretendes que otorgue X - 1, es decir, estas en contra del software libre tal como es hoy en dia.

editado:
lo cual no tiene mucho sentido porque hacer lo que tu pretendes ya puede hacerse hoy en dia. Los ejemplos son incontables.

pawer13

#22 es tan sencillo como esto: hago un fork de un proyecto cuyo software quiero usar y lo distribuyo cambiando 4 detalles para que se ajuste más a lo que quiero. Ahora estoy usando MI software libre en mi proyecto y no tengo que pagar a nadie.
¿Quieres limitar esta libertad? No es software libre.
Por tanto, no se puede obligar a pagar.
Tu puedes usar Redhat sin pagar y se llamará Fedora o CentOS, ellos cobran por el soporte, no por el software

g

#22 Después de nosecuántos comentarios, o sigues sin entender lo que es el software libre o no eres consciente de que tu propuesta de que las empresas que se lucren con el software libre tengan que pagar por él significa de hecho que ya no existiría el software libre. Con lo que estás proponiendo se puede estar de acuerdo o no, pero no digas que eso no es erradicar el software libre, porque es exactamente eso: la desaparición del software libre y su sustitución por otra cosa

crateo

#19 Pero es que esos tres tios han elegido libremente usar la licencia apache 2. ¿Quien eres tu (o cualquier otro) para decirles como pueden o deben licenciar su software?

Si quieren cobrar, que se vayan del proyecto y hagan un fork con una licencia privativa lol,

M

#19 , es mejor que esa gente no escriba código

elhumero

#15 Para lo que dices, ya existe otra licencia aparte de la GPL.
La GPL obliga a liberar el código modificado.
Si no te gusta tienes la BSD o la una de Apache. Con esto las grandes empresas y las que se lucran devuelven parte del lucro, cualquier otro puede implementar los cambios que estas han hecho.
Luego esta la parte, quien pone el cascabel al gato, es decir quien sabe que/cuando/cuanto han modificado. ¿O la empresa X realmente esta lucrandose de ese software o del servicio que esta dando a su cliente que usa ese software? Eso esta recogido en la GPL.

D

#15 Haz el favor de leer "Software libre para una sociedad libre" y deja de comentar sinsorgadas.

El software libre es para usarlo en CUALQUIER propósito, incluído el comercial.

mr_b

#66 Y NADIE dice que no se pueda usar con propósito comercial. Digo que los que se LUCREN con él TIENEN que pagar. Es otra obligación más de las muchas que trae la GPL. ¿No te gusta? Pues vale. Pero de ahí a que creas que deja de ser libre o que creas que digo que quiero que deje de ser libre a un trecho. Vamos, que no he dicho eso. No sé cuántas veces lo tengo que repetir.

D

#75 Que no coño, si te lucras la GPL no puede hacer nada para que NO paguen, solo dar las fuentes. Es lo que hay.

D

#15 "¿No sabes leer? Lo pregunto en serio. "

Cuando no se tiene la razón, ni se tienen argumentos, se recurre al insulto.

No te voy a señalar la incoherencia que es preguntarle por escrito a alguien "¿No sabes leer?" Te lo voy a explicar, porque creo que lo necesitas:
Si sabe leer, leerá tu pregunta y será innecesaria la respuesta, ya que ha leído tu pregunta-insulto.
Y si no sabe leer, no podrá leer tu pregunta.

No creo que lo entiendas, pero espero que al menos no me insultes a mí también.

D

#12 Si para lucrarse hay que pagar, entonces no es software libre, como bien te ha explicado #11.

c

#11 tener acceso al código fuente y libertad de modificarlo o distribuirlo no quiere decir que ese acceso sea gratis

D

#9 El software libre no se ninguna religion. Esta perfecto que estos señores se lucren de su propia creacion y pase a llamarse software privado o como quieran llamarlo.

a

#9 Estoy de acuerdo, pero pagar ¿A quién? ¿A toda la comunidad?

D

#9 Eso no es libre.

SaulBadman

#3 No sería software libre, pero personalmente creo que sería software más justo.

AdaSH

#1 Realmente se trata de que el software libre se use mucho más todavía, y dejar constancia a quien lo use de qué es lo qué está usando y como se ha hecho ese software.

Si algún día el 90% del software o más fuera software libre, entonces sería fácil canalizar dinero hacia ese trabajo y compensar a los programadores.

mr_b

#4 En servidores apostaría a que el 90% sí es software libre. Pero sigue sin canalizarse dinero hacia los desarrolladores.

crateo

#10 Y que siga siendo asi. Si no, se acabó el software libre.

pawer13

#10 si miras los mayores aportadores al software libre (kernel Linux, herramientas de desarrollo y despliegue, librerías y frameworks) son empresas privadas:
Microsoft (ha aportado mucho a Linux, aparte de crear Typescript y Visual Studio Code
IBM aporta mucho código a Linux y creó Eclipse
Facebook creó React y el compilador de PHP más eficiente del momento.
Google creó Angular, ha aportado a Linux, creó Kubernetes.
Otras empresas que aportan regularmente: Netflix, Apple, Canonical...
Realmente las ONG y fundaciones como Apache, FSF y demás son las que iniciaron todo el movimiento y siguen protegiendo la idea, pero hoy día aportan una pequeña parte.

sorrillo

#1 y la otra indicando que si te lucras con él tienes que pagar

En otras palabras, que deje de ser software libre. Que no estás de acuerdo con la existencia de software libre.

M

#1 la mayoria del software libre es asi, uso LIBRE SIN LUCRAR.

Nova6K0

#1 Pues como pasa con el dominio público, que una persona use una obra que no creó para forrarse, pues...

Por eso el copyleft o las licencias libres, o menos restrictivas, tienen algo que nunca tendrá la clásica licencia copyright, libertad de renunciar a parte de los derechos sin renunciar a todos, y no solo eso que las obras derivadas (si se permiten) que puedan hacer que tengan lucro comercial o no, según interese a sus creadores.

Por otro lado mucha gente usa el software libre, porque tiende a ser gratis, pero no entiende que el software libre, sus libertades, es mucho más que ser gratis, y los políticos tampoco, por supuesto.

Saludos.

blid

#1 Si es libre es libre. Menudo concepto de libertad tenéis algunos.

D

#1 si te lucras con él tienes que pagar
¿A quien pagas?

¿Si usas libreoffice le pagas a libreoffice o también a OpenOffice? Al fin y al cabo es un fork, y la mayoría del código base es posible que aún sea original de OpenOffice.

Si solo pagas al que ha hecho el último fork, simplemente haces un fork, cambias cuatro cosas y te pagas a ti mismo.

Básicamente, lo que sugieres es difícil o imposible de implementar de forma razonable.

mr_b

#37 Les pagas a sus desarrolladores.

crateo

#44 ¿Que desarrolladores? ¿Los del fork o los del original? ¿Y cuanto les pagas? ¿Y como se distribuye el dinero? ¿Y como se distribuye la factura?

Como decimos en galicia, o falar non ten cancela.

mr_b

#50 Estoy seguro de que tú, que no trabajas gratis, sabrías contestarte a todas esas preguntas llegado el caso.

D

#59 Pues yo no tendría ni puta idea de como contestar esas preguntas, de ahí que te plantee la duda que estás evitando contestar.

En un proyecto de código libre puede haber miles de desarrolladores y colaboradores (no todo es código, hay documentación, traducciones, etc), y ese proyecto de código libre puede proceder de forks de otros proyectos, cuyos desarrolladores puede haber puesto más tiempo y recursos que los del fork actual.

¿Si me lucro utilizando LibreOffice a quien pago? ¿Quienes son sus desarrolladores? ¿Los del fork actual? ¿Los del fork actual más el proyecto inicial? ¿En que proporción?

No es un cálculo trivial, y en casos especialmente complejos no es ni siquiera algo que parezca manejable.

En cualquier caso, si crees que es posible lo tienes fácil, crea una licencia que establezca esas condiciones que dices y, si es tan beneficiosa, seguro que coge tracción.

crateo

#59 Yo soy un particular con un contrato, no una organizacion multinacional decentralizada sin animo de lucro.

Pero si que se contestar a mis preguntas: No se puede determinar, y por lo tanto, no soluciona nada.

thorin

#1 El uso profesional de software libre también conlleva la obligación de publicar las mejoras directas que haga la compañía, siempre y cuando la licencia tenga esa viralidad, de tal manera que se beneficia toda la comunidad.

Pero bueno, no es algo que siempre se da, ya que, o no hacen caso de la licencia, o usan el software tal cual.

s

#1 Por eso Microsoft y las grandes empresas del software apuestan en sus proyectos libres por la Licencia MIT, porque es libre, pero puedes coger el programa, cerrarlo y modificarlo sin tener que pagar nada, ni contar nada a los desarrolladores originales. La GPL obliga a entregar los cambios a la comunidad.

Las licencias de la GPL no impiden que te lucres con los programas aunque no seas el autor original, lo que obliga es a entregar los cambios que has hecho a la comunidad. Y son licencias libres, no gratis. En español no hay el problema que hay con el ingles con el término Free.

snowdenknows

#1 si que existe, por ejemplo en dafont se usa muchisimo. Creo que es un tipo de copyleft o usan varias licencias nose

D

#1 totalmente de acuerdo

crateo

#1 ¿Lo que viene siendo GPL? Hay un monton de opciones para comercializar tu software libre. Que alguien decida poner su proyecto con una licencia Apache, es perfectamente legitimo y no es ninguna aberracion.

D

#1 No. Nunca. Jamás. Promueve la GPL por encima de la BSD o MIT, pero JAMÁS restrinjas el uso comercial.

D

#1 Libre =/ obligar

Y ya está.

mr_b

#69 Piruri, que el software LIBRE te está OBLIGANDO a compartirlo. No sé si ves tu propia incoherencia.

Al siguiente comentario ya ni te voy a responder. Pa' qué.

PussyLover

#1 #1 Me ha pasado lo mismo. Después de salir a la luz esta vulnerabilidad por ejemplo y ver la cantidad de empresas que se aprovechan del software libre sin aportar nada a cambio... se les debería caer la cara de vergüenza aunque fuese un poco.

Cantro

#1 a ver, que muchas de esas empresas donan mucha pasta a muchos proyectos, o colaboran en su desarrollo. Ni tanto, ni tan calvo.

Por ejemplo, he visto componentes de Spotify y de Netflix en ansible y docker

l

#30 #34 No se instalaria con las actualizaciones de seguridad automaticas?
#1 Hay licencias con diversas limitaciones la GPL tiene copyleft y obliga a publicar todas las modificaciones, BSD no obliga. Hay diversas CCommons y algunas casi son copyright si no permites modificar no ganar dinero.

Una opcion que se me ocurre es cobrar impuestos o una tasa a las empresas y reinvertirlo en SL. Se podria devolver si la empresa lo reinvierte en SL. Seria conveniente poder cobrarlo a la extranjeras, tipo aranceles, por usar la red, etc. Asi no se perjudicaria a empresas locales.

Peka

#2 Esta profesión se va al garete. Putos milenials!!!

a

Vaya sección de comentarios. Esto parece barrapunto en los 2000

kavra

#47 tercera dosis en breve ?

a

#53 Me he reído, muy buena

Si, en breve, mamoncete

D

#47 Pues te escribo desde Slackware en Fluxbox, estoy conectado a un Pubnix, leyendo en HN un artículo sobre GNUstep y viciando al Slashem.

D

#27 Eso es lo habitual. Pero bueno, hay otros motivos para hacerlo.

Para ser un cbroncete, para que se den prisa, para que la gente vea tu twitter o, incluso, porque no lo has pensado y has avisado como se te ha ocurrido

D

Bueno, lo más importante es que gracias al trabajo de estos tres hombres se han evitado pérdidas multimillonarias, pero también hay que recordar lo que este caso pone sobre la mesa: que los hombres realizamos muchas horas de trabajo no remunerado que son básicas para el funcionamiento de la sociedad. Todavía hay mucho hembrismo, y por eso este trabajo no remunerado permanece oculto. Hay que visibilizar que ellos pueden y exigir que se reconozca su trabajo. ¡Un hombre puede lograr todo aquello que se proponga exactamente igual que una mujer!

D

https://christine.website/blog/open-source-broken-2021-12-11 habla claramente de lo que la industria debe hacer.

R

Aun con todo el respeto que tengo a proyectos de Software Libre, no estoy de acuerdo con algunos de los mensajes que estan haciendo publicos. Veo varios mensajes por parte de los desarrolladores de Log4j2 diciendo que Log4j1 tambien esta afectado por esta vulnerabilidad, porque puede conectarse a un servidor via JNDI enviar logs (JMSAppender). Tambien dicen que la vulnerabilidad viene por una pieza de codigo que no les gusta pero que mantienen por compatibilidad con versiones anteriores.

Sin embargo, para que alguien sea capaz de comprometer una instalacion con Log4j1 necesita o bien ser capaz de modificar los ficheros de configuracion del servidor, o bien cambiar la configuracion de log4j1 en caliente de manera programatica. Es decir, tienes que tener un nivel de acceso extremadamente elevado al servidor para poder cambiar esto.

Log4j2 mantiene este appender por compatibilidad, si. Pero esta no ha sido la causa del problema. La causa del problema es la decision de permitir interpolacion de cadenas de texto, y por defecto, aplicar esta interpolacion a los mensajes de log incluso despues de que se hayan sustuido argumentos. Y permitir que esta interpolacion se utilice para hacer conexiones jndi. Esta no es una funcionalidad que existiese en log4j1 y no se añadió por temas de compatibilidad. El mensaje cuando se añadio dice "It would be really convenient to support JNDI resource lookup in the configuration."

ChukNorris

No entiendo:La vulnerabilidad, conocida como 'CVE-2021-44228' o 'Log4Shell', fue descubierta por Chen Zhaojun (ingeniero de software de Alibaba), y afecta a Apache Log4j, una biblioteca open source desarrollada por la Apache Foundation

De Google:
Apache Software Foundation
Organización sin fines de lucro

Apache Software Foundation es una organización sin fines de lucro creada para dar soporte a los proyectos de software bajo la denominación Apache, incluyendo el popular servidor HTTP Apache. La ASF se formó a partir del llamado Grupo Apache y fue registrada en Delaware, en junio de 1999.

Fundación: 25 de marzo de 1999, Delaware, Estados Unidos
Ingresos: 2,26 millones USD


¿Apache Foundation no paga a los desarrolladores que mantienen su software?

j

#21 Hasta donde se, que es bien poco, sin ánimo de lucro no es que no tenga beneficios, es que no puede repartir beneficios entre accionista. Es decir, todo se queda en la empresa: todo lo que gana, se tiene que reinvertir de alguna forma. Pero seguro que ando equivocado.

S

#21 Me parece muy raro eso de que un profesional encuentre una vulverabilidad y la ponga en Twitter. ¿No sé suponia que antes de publicarla se informaba a los desarrolladores para que la parchearan?

D

#21 Por lo general estas fundaciones no tienen suficiente presupuesto para pagar más que un puñado de salarios. El grueso de sus gastos suelen ser en infraestructura. Con 2.2 millones/año te da para pagar la infraestructura y tal vez 15~20 salarios, nada más.

e

#21
Pues tendra algunos que si y otros no. No es una empresa que paga nominas, Es una fundacion que organiza, lidera y apoya a los proyectos que dependen de ella.
Normalmente los programadores pagados los ponen empresas privadas que les interesa: Ampliar funcionalidad, que sus productos esten soportados por ese software o son simples donaciones en especias.
Tambien hay empresas que donan dinero y con ese dinero se contratan programadores en areas que se requieran.

Efnauj72

Amigo informáticoooo , que sabeee un montóooon...

marcumen

#7 lol lol

frg

No hay por qué. El full disclosure no tiene por qué ser respetuoso con los tiempos. Se publica, y consigues que se parchee en la misma semana

D

Imposible Todo el mundo sabe que nadie hace nada si no es por dinero.

t

Que exista el parche es una cosa y que los servidores y servicios afectados lo apliquen es otra muy diferente.

D

#30 En grandes empresas, que es de lo que se habla, se habrán aplicado de inmediato.

Vamos, que si se enteran a las ocho nadie se va a casa hasta que no esté corriendo.

Otra cosa es que en la pequeña pyme igual ni se hayan enterado. Que esa es otra, apuntarte a los correos periódicos de INCIBE es MUY sencillo.

e

Trabajar gratis no existe.
Si no está remunerado no es un trabajo. Es otra cosa.

D

He ido siguiendo el culebrón desde la distancia y estos programadores han sido, de buenos, tontos.

Empresas millonarias aprovechándose gratis de su trabajo y atreviéndose a poner presión y exigencias.

Llego a ser yo, y lo tengo claro: "chavales, el código es abierto y libre, ahí lo tenéis que yo me voy de finde"

frg

#41 No solo grandes empresas usan log4j. Prácticamente cualquier proyecto con java lo utiliza. Mucho del ecosistema también se ha beneficiado del parche.

D

Bueno lo habrán hecho gratis pero al menos tienen algo muy interesante que añadir a su curriculum que les abrirá las puertas a las empresas más grandes del mundo: "trabajo gratis".

En su apuesta por el talento Indra ya les ha ofrecido un puesto vitalicio como programador junior

frg

#26 Si miras la foto ves que tienen "el culo pelado", y que tener otra muesca en su currículo se la suda.

D

Y una vez más señores, otra cagada del software libre. Pocas me parecen, teniendo en cuenta la de código que hay susceptible de ser zero day, mantenido por programadores en sus ratos libres y gratis, y que ni Dios lo mira ni lo revisa.

D

#57 Si sacamos cagadas del software propietario no acabamos en siglos.

frg

#57 lol lol

A ver si mejoramos el nivel de troll, que está muy bajo.