U kunt het moeilijk gemist hebben de afgelopen week: het lek in de programmeertaal PHP waardoor websites tijdelijk offline gingen of anders zeer kwetsbaar waren voor hackers. Ook uw hoofdredacteur moest aan de bak: ik beheer zeven servers waar allemaal PHP op draait. Die moesten dus allemaal tijdelijk uit tot er een fix was.

Wat niet iedereen weet is hoe ontzettend fragiel en informeel het hele ecosysteem is waar onze huidige technische infrastructuur op draait. Een bekend plaatje is deze cartoon van Randall Munroe (xkcd) uit 2020:

Dit is geen hyperbool: die persoon van het blokje rechtsonder bestaat echt. Hij komt alleen niet uit Nebraska maar uit Tsjechië en heet Ondřej Surý.

Surý is al 20 jaar de beheerder van veelgebruikte PHP-pakketten voor de Linux-distributies Ubuntu en Debian. Dat betekent dat veel mensen die op dat besturingssysteem servers met PHP draaien afhankelijk zijn van Surý’s werk. Hoeveel servers dat zijn is moeilijk in te schatten maar het kan zomaar een derde tot de helft van het internet zijn. Om een voorbeeld te geven: het populaire CMS WordPress draait op PHP, en vaak op een Ubuntu of Debian-server.

Linux is open source en gratis, en Surý’s PHP-pakketten zijn dat ook. Toch draaien miljardenbedrijven op die technologie waar ze niks voor hoeven te betalen.

Je zou zeggen dat zo’n belangrijke taak is ondergebracht bij een goed gefinancierde organisatie, maar niks is minder waar. Surý doet dit werk op basis van donaties. In een interview met de BBC vertelde hij dat hij door het PHP-lek ongeveer evenveel donaties kreeg als normaal in een jaar: $10.000. Daarnaast heeft hij ook nog een baan.

Ergo: de man die bij wijze van spreken het internet overeind houdt verdient voor dat werk minder dan het minimumloon.

Dit is geen uitzondering in de wereld van open source software. De compressiesoftware die op elke iPhone draait. De databestanden voor tijdzones die alle smartphones gebruiken. De code die XML-bestanden leest en op 5,6 miljard apparaten draait.

Al die projecten, en nog veel meer, worden onderhouden door één of twee mensen (dit is een goed overzicht). Soms krijgen ze subsidie of donaties. Meer dan een paar duizend euro per jaar is het zelden. Ter vergelijking: Apple en Google hadden vorig jaar beide een omzet van meer dan 400 miljard dollar.

Uitbuiting

Ondřej Surý zei zelf in een interview met The Atlantic dat open source soms voelt als uitbuiting. Het is niet meer dan logisch dat de mensen die het meest profiteren van open source software ook de mensen belonen die dat werk doen. Een blik op de technische discussie rondom de gefixte PHP-pakketten laat zien dat daar genoeg profiteurs tussen zitten: mensen die van Surý eisen dat hij snel archaïsche versies van PHP oplevert zodat zij hun servers kunnen beveiligen waar ze jarenlang niks aan hebben gedaan.

Ook vanuit de publieke sector zou er meer kunnen worden geïnvesteerd in open source. Er gaat zeker geld die kant op, bijvoorbeeld vanuit de overheid, maar vaak in de vorm van sponsoring van congressen, of voor specifieke nieuwe projecten. Direct investeren in de fundering van het internet is blijkbaar net zo sexy als het onderhoud van bruggen en wegen. Het gevolg van dat laatste weten we inmiddels. In Duitsland doen ze het overigens beter, met het Sovereign Tech Agency dat bijdroeg aan een grote security audit van PHP.

Open source en soevereine technologie

Er is recent veel discussie geweest over ‘soevereine technologie’, zodat we minder afhankelijk worden van Amerikaanse big tech. Gebruik maken van open source software is daarvoor onontbeerlijk.

Het PHP-lek zou de indruk kunnen wekken dat open source onveilig is. Maar bij closed source software ben je overgeleverd aan één partij om de gaten te dichten: de leverancier. Gaten die misschien niet eens bekend zijn. Case in point: de software van het bedrijf Citrix. Toen daar eind 2019 een kwetsbaarheid in werd ontdekt was de enige oplossing servers uit te zetten. De fix kwam niet, zoals bij PHP, in een paar uur, maar pas weken later.

De kwetsbaarheden in PHP werden ontdekt dankzij AI-modellen. Dat er de komende tijd veel meer van dit soort lekken zullen opduiken is vrijwel zeker. De ironie is dat die modellen zijn getraind en draaien dankzij het werk van de vrijwilligers die open source software onderhouden. De bedrijven die de modellen maken zijn miljarden waard, de vrijwilligers moeten het hebben van liefdewerk oud papier.

Met dank aan Maarten Zeinstra van Open Nederland en Lotte Belice voor het meelezen met dit stuk.

Add a comment