mai 2012

Cronologia unei breșe de securitate:

În 2010 Adobe a lansat Creative Suite versiunea 5 (CS5). Aceasta este o suită de programe pentru design grafic și editare video. Ca și majoritatea codului produs de Adobe, CS5 este software privat, adică utilizatorii trebuie să semneze o licență pentru a-l putea folosi și, în plus, nu au acces la codul-sursă. Din aceste două cauze, ei nu au niciuna din cele patru libertăți fundamentale care definesc software-ul liber: nu pot executa programul decât în modurile permise de Adobe, nu pot multiplica programul, nu pot studia și modifica codul-sursă și nu pot redistribui copii modificate.

Pe 20.03.2012 a fost raportată o breșă critică de securitate în CS5. Un programator care exploatează această breșă poate prelua complet controlul oricărui calculator pe care rulează o copie de CS5.

Pe 07.05.2012 Adobe a lansat noua versiune de Creative Suite, CS6. Upgrade-ul de la CS5 ls CS6 poate fi cumpărat pentru circa $200. Desigur, CS6 este tot software privat.

Pe 08.05.2012, Adobe a publicat un buletin de securitate în care vorbește despre breșa de securitate din CS5 și propune ca remediu cumpărarea CS6, în care această breșă a fost reparată.

Între 08.05.2012 și 11.05.2012 a avut loc o reacție publică de dimensiuni moderate împotriva Adobe. Vedeți discuția de pe Slashdot (un site de știri din IT cu o comunitate foarte vorbăreață) sau aceste articole.

Pe 11.05.2012, Adobe a actualizat buletinul de securitate și a precizat că va oferi gratuit un patch pentru CS5 (un patch este o bucată de cod care modifică un program existent pentru a repara o problemă specifică). Nu se știe când va fi gata acest patch.

Ce învățăm de aici?

Cu software-ul privat, utilizatorul este la mila companiei producătoare a programului. Susținătorii software-ului privat spun că nu este nimic rău cu aceasta și că o companie bună are grijă de utilizatorii ei. Iată că nu este așa. Acesta nu este un exemplu izolat; este doar unul care s-a întâmplat să-mi cadă sub ochi în detaliu.

Cu software-ul privat, utilizatorul intră de bunăvoie într-un monopol pentru suport. Pentru tot ce înseamnă breșe de securitate, componente care funcționează prost sau orice funcții noi pe care utilizatorul le-ar dori, singura care poate scrie codul necesar este compania. Nimeni altcineva nu are acces la codul-sursă.

Compania nu este neapărat rău-intenționată. Ea are pur și simplu propriile sale resurse de alocat și propriile sale intenții, care includ sau nu implementarea cerințelor unui utilizator anume. În acest caz particular, poate Adobe a fost rău intenționată când a publicat soluția sugerată („cumpărați CS6”) la exact o zi după lansarea CS6. Sau poate Adobe a fost doar foarte ocupată cu finalizarea și lansarea CS6 și a trecut orice altceva pe planul doi, inclusiv repararea unei vulnerabilități grave în CS5. Faptul că Adobe a așteptat fix până după ce a lansat CS6 ca să recomande o soluție scumpă unor oameni fără alternative mă face să cred că Adobe s-a comportat ticălos. Dar aceasta contează mai puțin.

Ce contează este că semnarea unei licențe este un lucru de evitat. Mai ales atunci când vorbim de un program cu care utilizatorul își câștigă pâinea (așa cum este CS5 pentru un designer grafic), utilizatorul devine efectiv un sclav care trebuie să joace așa cum îi cântă compania.

Faptul că putem folosi alte programe, tot private (cum ar fi CorelDraw) nu schimbă situația. În cuvintele lui Stallman, „Libertatea nu înseamnă o alegere între un stăpân sau altul. Libertatea înseamnă să nu ai stăpân”. Singurul mod de a face acest lucru în lumea calculatoarelor este să folosim software liber.

Dacă folosim software liber, diferența este că oricine poate citi și modifica codul-sursă al programului. Dacă eu nu știu să programez și sunt doar un utilizator, mă pot totuși duce la orice prieten programator sau pot angaja un programator care să repare breșa depistată sau să-mi implementeze o funcție pe care mi-o doresc de la program. Alți utilizatori pot să adopte versiunea mea modificată sau nu, după cum doresc. În loc de monopol, avem o piață liberă. Din nou, acest scenariu nu este ipotetic. Și programele libere au breșe de securitate ocazionale sau alte bug-uri. Dar cele mai grave sunt reparate în câteva ore.

Am tot amânat, dar iată noutăți despre disputa mea cu Societatea Română de Radiodifuziune privind taxa radio pentru persoane juridice (puteți citi episodul 1 aici).

Am început să caut un avocat ca să văd ce pot face. Norocul a fost că am dat peste cineva deosebit de competent care era la curent cu un proces vizând exact această taxă radio. În 2010 și 2011 a fost o firmă din Cluj care a dat Guvernul României în judecată solicitând anularea acestei taxe. SRR a fost intervenientă în acest proces. Firma a câștigat procesul în aprilie 2010 și recursul care a urmat în 2011, iar Înalta Curte de Casație și Justiție a dispus anularea unor prevederi-cheie din hotărârea de guvern care permite SRR să colecteze această taxă. Toate aceste lucruri au fost publicate în Monitorul Oficial.

În concluzie, Codex Publicus (firma care deține proiectul DEX online) a trimis o scrisoare către SRR prin care solicită anularea datoriilor cerute și un document care să ateste acest lucru.

Sunt pur și simplu stupefiat de această respingere puerilă a unui adevăr evident („mă fac că nu există”). M-am consultat din nou cu avocatul, care mi-a recomandat să aștept până să apară un titlu executoriu, pe care apoi îl putem contesta în instanță. Cât timp există doar o înștiințare de plată, ar fi prematur să intentăm un proces.

În dreptul român, precedentul nu are valoare juridică, dar, din fericire, demersul firmei din Cluj a realizat mult mai mult decât să creeze un precedent anulând taxa pentru o singură firmă. Prin publicarea în Monitorul Oficial, decizia ne servește pe toți.

Sper ca aceste informații să ajute și pe alții. Documentele de mai sus indică actele relevante și adresele unde pot fi descărcate.