Log4j 漏洞,阿里躺枪

说在前头

大半夜看到新闻,大概意思是“阿里发现Log4j的漏洞后率先告知了美国的阿帕奇软件基金会,未及时向电信主管部门报告”

好像很早之前就有,但话题还没发酵的这么厉害,没看到,今天看到了感觉不太对劲,就来说说个人看法

首先这篇文章不是给阿里洗白,只针对以上论述进行探讨

个人看法

从一个程序员的角度看,我认为这个论述是有点奇怪的,以下几点

1. 程序的BUG反馈

对于一个程序员来说,使用别人或别的组织的程序时发现了问题,一般情况下有两个选择

  1. 向开发者或组织反馈问题,等待对方确认和修复(Issue)
  2. 如果是开源可以自己修复问题并提交到开源项目中(Pull Request)

比如以下是我的一个开源项目中,用户给我提的BUG反馈,以及我确认修复后关闭的反馈

再比如我发现了别人项目的问题,修复并提交到他的项目中

个人猜测阿里为什么要先联系阿帕奇软件基金会?

因为他们是Log4j的开发组织,问题的确认及修复会更快

个人猜测阿里为什么会未及时向电信主管部门报告?

可能是我见识短,我猜测是一个开源软件出了严重的BUG,需要第一时间上报给电信主管部门的先例,很少

或者说因为没有上报被曝出来的,很少。我是没怎么听说过

2. 开源项目和组织

Log4j是个开源项目,开源协议是Apache-2.0 License

开源就意味着这个软件不属于任何一个人或者国家,而是属于整个开源社区(个人理解),每个人都可以是作者之一

所以很多文章特意强调了“美国”,只能说是一个噱头。虽然阿帕奇软件基金会确实是美国的,我不否认

3. 这可是提交了一个BUG啊!

这可是提交了一个BUG啊!又不是提交了国家机密!

个人认为,阿里只是之前的一些事上引起了大众的反感(违反《反垄断法》之类的)

但如果单看这件事上,说阿里的技术团队是“吹哨人”都不为过。国内外的软件应用、整个开源社区都得到了止损


本博客所有文章除特别声明外,均采用 CC BY-SA 4.0 协议 ,转载请注明出处!