Názory k článku
Švýcarská federální vláda vyžaduje uvolnění zdrojových kódu u svého softwaru

„pokud to nevylučují nebo neomezují práva třetích stran nebo bezpečnostní důvody“

Jen jestli se pod toto neschová 99% případů a reálně se nic nezmění,

jak tak čtu, tak tohle by se mělo týkat SW třetích stran, který není vyvinutý na zákázku pro státní správu, to zahrnuje věci jako firmware serverů, různé licencované kodeky pro multimédia, operační systémy atd. Cokoliv je v rámci zakázky vyvinuto, musí být zveřejněno, aspoň tak to chápu rychlým pročtením anglických zdrojů.

I u nás by se to hodilo. Měl jsem tu čest vidět část kódu, který se pro stavební úřad vytvořila firma InQool a je škoda, že není veřejná kontrola a nerozumím tomu, proč kód je uzavřený. Takových věcí by se dalo zjednodušit a zpřehlednit. Pak by bylo vidět za co se vlastně platí ty stovky milionů až miliardy.

V česku by to dopadlo jako ze zákonem o ochraně osobních údajů apod.. Jak jsme viděli zveřejnění smluv u státem ovládaných organizací viz. např. ČT kdy smlouvy byli z 95% začerněné.

a co ten zbytek, kteří zveřejňují vše? To není přínos? Přece nic není rovnou a správně, občas chvilku trvá než se něco stabilizuje. Já jsem rád, že si mohou prohlédnout spousty smluv a dohledat informace a ne pořád někomu psát žádosti, že potřebuji to a to.

Žádný zbytek neexistuje. Nikdo nezveřejnuje vše a pokud "náhodou ANO" tak zveřejní naprosto nesmyslné údaje nebo nepodstatné informace. Uveď příklad(y) za posledních 20 let kdy se něco takového stalo. Já si na nic takového nepamatuji.

Dodatek.
Mě se vybavuje jenom EET když byl Babiš na ministerstvu financí, tehdy stát zodpovídal za servery a zveřejnil specifikace/stan­dardy pro klientskou část kterou si každý mohl naprogramovat jak chtěl. To bylo nejblíže OPEN řešení jaké jsme v ČR zažily od revoluce a jeho zavedení bylo naprosto bezproblémové oproti např. stavebnímu portálu "od PIRÁTSKÝCH expertů " které ani po 3 měsících plně nefunguje, IZIPu(nikdy nefungoval), registru vozidel (nefungoval 3 týdny), ....

25. 9. 2024, 15:11 editováno autorem komentáře

vazne srovnavate EET (ktere je uplne primitivni) s DSR?

Pokud máte zdrojáky, útočníkům se mnohem lépe se budou hledat bezpečnostní díry.

To lze ale zase eliminovat tím, že kdo díru nahlásí, dostane odměnu.
Kdo přidá opravu, dostane odměnu ještě větší.

Takže na tom nakonec může být aplikace co se bezpečnosti týče výrazně lépe, než kdyby se to nezveřejnilo. Navíc se z toho dají dělat různé odvozeniny pro podobné účely, na čemž se hodně ušetří.

Ale IT mafie to chtít nebude. Ale asi to bude tím, že ve švýcarsku IT mafie nerozhoduje o přesné podobě zakázky.

Security through obscurity, to nefunguje. Pro útočníka nemusí být problém se dostat do zdrojových kódů a ve zdrojových kódech by nemělo být žádné tejemství, na kterém stojí aplikace.

Nebo snad linuxové distribuce jsou na tom s bezpečností tak moc špatně proti Windowsu?

Dělání odvozenin se řeší licencí ke zdrojovému kódu, kde to můžeš omezit.

Neřekl bych IT mafie, ale logicky společnosti, které jsou závislé na tom, že mají jako jediný k dispozici zdrojový kód se snaží svoji výhodu si ponechat a lobují pro svoje potřeby, dokud lobují pouze argumenty, viděl bych to na normální stav.

U nás kde, zhotovitel často mluví do toho, jaké by měli být podmínky výběrového řízení a je možné projekty 10-ti násobně předražit a ještě zprznit, se IT mafii jistě bavit dá, na rozdíl od Švýcarska.

Otevření kódu jistě předpokládá nějaké možnosti sdílení s podobnými projekty.

Bohužel se obávám že českých IT firem řešící státní zakázky je uzavřenost kódu jako jeden z hlavních bezpečnostních prvků, protože jinak je to příšerně děravé.

Jak mám chápat jinak je to příšerně děravé? Jako že se nezveřejněním zdrojáků stane ta samá binárka méně děravou? :-)

Moje zkušenost se zdrojáky projektů, které byly od začátku closed source, ať už později došlo k jejich zveřejnění nebo ne, a zdrojáky projektů, které byly od začátku open source, je taková, že statisticky si vývojář, který počítá s tím, že jeho kód si bude moci kdokoli prohlédnout, nedovolí zdaleka takové čuňárny jako ten, kdo při psaní počítá s tím, že to stejně nikdo neuvidí. Jsou samozřejmě i výjimky (na obou stranách), ale většinově to takhle funguje.

Mas to chapat tak, ze vse co nas stat pouziva je derave jak reseto, dodavatele to vedi a neresi to, ale snazi se to zamaskovat tim, ze nezverejni zdrojaky.

A ono to ani nemusi byt derave technicky, kdyz soudruzi pak rozeslou treba ty osobni udaje deti na vsechny strany zcela verejne ze? Viz prijimacky napr.

Naprosto falesne dilema, navic opakovane vyvracene. Bezpecniostni diry se hledaji uplne stejne at uz dotycny zdrojaky ma nebo ne.

Nebo snad mas pocit, ze ve windowsich je znamo nasobne mene der nez v tuxovi? Aha, on je pravdou spis opak ze?

Pozri sa nižšie kde som to vysvetlil. Vy schválne ale zamlčujete že aj ľudia s dobrým úmyslom vidia kód, rýchlejšie najdu tie isté bezpečnostné chyby a skorej je opravia.

Měl jsem za to, že u nás to taky jde:

Soutěž na dodávku systému pro digitalizaci stavebního řízení vyhrála firma Servodata.

Vzhledem k tomu, že ten systém je open source a je modulární, tak se dá dále rozvíjet,“ řekl ministr.

Zdroj: https://www.idnes.cz/zpravy/domaci/bartos-stavebni-rizeni-digitalizace-servodata.A240908_135710_domaci_mul

Jestli je to pravda, tak to může být jeden z hřebíčků, který mu zatloukli do rakve.

25. 9. 2024, 15:58 editováno autorem komentáře

Samozřejmě, protože kluci z ODS + ANO už měli připraveno "řešení", za které měli vycashovat 2 miliardy. Samozřejmě uzavřené, takže další tučné příjmy v dalších letech zajištěny. Bartoš to dělal otevřené a mnohem levněji. Proto mu nejdřív házeli klacky pod nohy, zdržovali to a pak ho odstřelili s tím, že to jde moc pomalu.

No mnohem... Ano, 400mil je méně než 2mld, ale stále mě to nepřestává šokovat.
Takový systém nemůže stát více než 10mil.

Bartošovi jsem samozřejmě držel palce a tleskám mu za ohromnou odvahu se do toho pustit, ale i tak, řešení za půl miliardy je prostě moc.

Tenhle náraz s realitou přišel v roce 2012, kdy my jsme vyrobili elektronické tržiště Gemin za cca 2 mil, zatímco stát připravoval NEN za cca 1mld. Potom přišel CRAB za 250mil. apod. Prakticky každý státní IT projekt je předražen stovky násobně. (NEN zrovna 500x, CRAB prakticky 1000x.)

=====
Takový systém nemůže stát více než 10mil.
=====

Nedovedu si představit, jak by se u tak velkého systému vešli do 10M včetně pořádné analýzy požadavků (což očividně neudělali), kvalitního zaškolení uživatelů atd. atd.

Co jsem četl termíny ve zveřejněné smlouvě s inQoolem, ty nebyly reálné a během jara se teprve měla dodělávat specifikace požadavků, na implementaci bylo pár měsíců, na zaškolení uživatelů je ve smlouvě 51 tis https://smlouvy.gov.cz/smlouva/26352931.

IMO to nebylo projektově zvládnuté.

V době "krize" v r. 2008, pár dnů po tom, co Klaus varoval lidi, že teď přijde čas utahování opasků zadala Praha zakázku na "aktualizaci webových stránek" za 300 000 000.

V roce 2018 až 2021 jsem se osobně účastnil, některých jednání na MŠMT týkajících se vytvoření RIS (Resortní informační systém), do kterého mělo být nalito stovky milionů. V principu šlo o propojení několika existujících systémů tak aby byly schopné si předávat data a aby se odstranily některé duplicity.

Na mnohé mé technické a organizační připomínky nebyly schopni/ochotni reagovat.
V roce 2021 byl projekt, bez jakéhokoliv smysluplného výsledku ukončen. (A nahrazen novým projektem...)

A takových podobných projektů byly vyšší desíky.
Odpovědnost konkrétních osob, nulová.
Zástupci politických stran, které tehdy vládly a jejichž úředníci tyto projekty neúspěšně vedly, patří dnes k nejhlasitějším kritikům Systému digitalizace stavebního řízení.

Bohužel se to děje na úrovních, na které běžný volič nedosáhne a pokud ano, lidská paměť je krátká.
A přísloví říká, že kdo nezná historii a nepoučil se z ní, bude nucen si ji zopakovat.

https://msmt.gov.cz/ministerstvo/novinar/msmt-zahajilo-realizaci-projektu-resortniho-informacniho

https://www.itbiz.cz/zpravicky/zruseny-plan-informacniho-systemu-pro-skoly-nahradilo-msmt-novym-projektem

To je asi největší benefit zveřejnění, kolik řádek kódu se za dané peníze napsalo...

Podle mě jsi z levného kraje.

Já osobně bych to viděl na hw + connectivita tak 50 mega základ. Jenom těch 10 mega by šlo do hardidsků ( minimálně 2 zálohy, sdílené databáze, umístění tak do 2-3 datových centrech místech geograficky vzdáleno 100km, firewalls, vyřešit dlouhodobou zálohu jako jsou archívy neboť archívy archivujou jenom papírovou dokumentaci atd..) + provoz náklady tak 2-3 mega měsíčně

V tomto případě je zrovna kóding to nejlevnější. Mnohem složitější a časově náročnější je analýza procesů SR a jejích podkladů vč. jejího zdokumetování, vyřešit aktualizace sw části v závislosti na časté modifikaci legislativy stavebního zákona a příbuzné legislativy, testing, manuály + tutoriály (vč. aktualizací atd..).

A až se to zaběhne(2-3roky) a plně automatizuje tak začít optimalizovat provozní náklady(propouštět lidi, zkracovat termíny, atd).

A napojeni a uprava rozhrani do dalsich kooperujicich systemu ? Security ? Network ? Support? ... Takze nemate ani poneti :)

Podle mě jsi z levného kraje.

Nejsem.

To, co jsi popsal, jsem spravoval 12 let. 4 lokality, zálohy, archivy. Opravdu není nutný HW za 50M. A už vůbec 3M měsíčně? Tedy dalších 36M ročně? Na co? Navíc proč do toho počítáš HW? Stát si buduje vlastní cloud za opět megalomanské miliardy, takže od této chvíle se vůbec žádný HW počítat nemusí.

Deset milionů? Tak možná v dolarech. Evidentně vůbec nemáte představu. Co je jak moc předražené opravdu netuším, ale deset milionů je mimo tak o řád.

Chápu. Pracoval jsem v tomhle oboru asi jenom 12 let a mám za sebou tři úspěšné celostátní projekty a vím kolik stojí vývoj a vím kolik stojí HW, protože jsem se o něj 12 let staral.

Možná by to chtělo nějaké argumenty, proč by to podle tebe mělo stát stovky milionů. Rád bych si je poslechl. A konfrontoval s realitou.

Ano, rozhodně je to spiknutí. Sebereflexe Pirátů je fakt naprosto nulová, to je totální tragédie. A to vás taky nakonec pohřbí a dobře tak. Ten vývoj podle všeho totálně selhal už na úrovni projektového řízení. Za to žádná ANO ani ODS fakt nemohou.

Servodata ale predchozi system nepsla ne? - ten psala jina firma a servodata ma napsat novy, ktery bude fungovat.

Bartoš ale udělal chybu v tom, že trval na spuštění nedodělané věci. Co mu bránilo aby mohl být přechodnou dobu v provozu jak starý tak nový systém souběžně?

A to jeho trvání na tom, že jsou jen drobné problémy na kterých se pracuje a že se to zvládne. Místo toho se měl postarat o to, aby bylo možné ještě nějakou dobu používat i starý způsob.

Jak to bylo skutečně se stavebním řízením?
Možná Bartoš není dokonalý stratég ani manažer (o čemž mnohem víc než stavební řízení vypovídá koalice PirStan), ale podívejte se prosím nejprve na tuto reportáž:
https://www.ceskatelevize.cz/porady/1142743803-reporteri-ct/224452801240025/cast/1067371/

Říká se tam i proč to Bartoš musel pustit, aniž by to bylo pořádně připravené.
A kritika ODS, která měla digitalizovat například justici, kde se nehráblo do země (přesto už zmizelo několik set milionů korun), je faaakt trapná.

Další věc je, že v novém systému je vidět, kdo přesně zdržuje stavební řízení, což dost nevyhovuje mnohým, kteří byli zvyklí čekat s nataženou rukou."

IMHO hlavní chyba Bartoše v tomhle konkrétním případě byla v tom, že i po patnácti letech v politice myslel jako "ajťák", takže k tomu přistupoval primárně jako k technickému problému, který mají všichni zúčastnění zájem vyřešit. Ve skutečnosti šlo primárně o problém politický a kromě obvyklého přístupu většiny úředníků ("hlavně žádné novoty, desítky let jsme to dělali na papíře a fungovalo nám to krásně, tyhle počítače všechno jen komplikují") se u části zúčastněných přidal zcela racionální zájem na tom, aby to nešlo - což ostatně zmiňujete v posledním odstavci svého komentáře.

Podařilo se nad očekávání, Kupka teď všechno vrátí do doby papírové, bude za to oslavován jako hrdina a zachránce a veškerá další "digitalizace" se bude odehrávat cestou drobných kosmetických vylepšení a na cokoli většího a systémového ještě hodně dlouho nebude mít nikdo odvahu. (A pokud snad ano, ostatní mu to nekompromisně zatrhnou.)

Kupka jen nahral ANO, aby uskutecnilo svoji dvoumiliardovou akci a ted uz to bude aspon za 4 miliardy s vendor lock na 10 let a digitalizace se zrusi uplne. Takhle vedeme stat :)

Jistě. Řešil to jako technický problém, ale projektové řízení bylo zcela evidentně naprosto nefunkční. Za to určitě mohou ostatní. Za všechno zlé co se kde Pirátům stalo mohou ostatní. Přesně tahle totální absence sebereflexe a pokory je už brzy potopí. A dobře tak.

Nelibi se to spolecnosti, co vyvinula SW, ktery je pouzitelny jen ve Svycarsku, nebot je vyvinut na miru CH zakonum a tamni praxi - otazka zni proc ?

1) Muze dany SW nasledne spravovat jina firma.
2) Muze vyjit najevo, ze neumi psat SW
3) SW muze byt napsan skvele a konkurence by se z toho mohla neco naucit.

Ono staci, kdyz ma zdrojaky dany urad a pripadna firma co by dany SW mohla nasledne spravovat.

Vyhoda mit zdrojove kody a dokumentace je nasnade, krom toho, ze dodavatel musi nabizet konkurence schopne ceny je to hlavne ochrana pred krachem dane firmy, coz muze velky urad zachranit prechodem vyvojaru pod urad, nebo ze by to zastresila dalsi firma se stejnymi lidmi, co dany SW vyvijeli - ano porad muze byt problem ziskat kod aplikace, firma muze, ale nemusi spolupracovat - takhle ten kod proste maji a o jeden krok mene v pripade reseni problemu.

To se mi líbí. Práce pro stát, za veřejné peníze, ať plně patří všem. Jestli někdo část použije, ať už pro svůj projekt, nebo pro vlastní poučení, tím líp, bude z toho veřejný užitek. Snad se to ujme.

a ty miliardy navic treba za bezpecnost at taky zaplati vse kdyz to patri vsem, ze ano? Psat bezpecny softver ala armada stoji 10x vice penez nez psat obycejny softver. Takze misto 70% zdaneni budete mit 95% zdaneni. Je naivni si myslet, ze OSS je psan bezpecne, spoustu commitu vidi 2-3 lidi kteri obvykle nemaji s psanim bezpecneho kodu zkusenost a tak pro jakehokoliv utocnika je verejne dostupny kod pozehnanim.

Tohle jsou typické kecy někoho kdo vyjeb*va se svými zákazníky. Opensource neznamená nižší bezpečnost. V ČR by to pomoci bug bounty, hackatonu apod vedlo ke zlepšení těch produktů. Na opensource modelu se točí dost velký peníze a třeba linux proti windows fakt netrpí na bezpečnost.
Vše vyvíjené na míru by mělo jít ven, to by umožnilo kvalitní diskusi, nutilo by to dodavatele pracovat kvalitně.

Je potřeba rozlišit open-source s kódem veřejně dostupným na Githubu a open-source, kde má kód pouze zákazník (a ten nemá důvod ho zveřejňovat).
První případ by se ve veřejné sféře hodil spíš na systémy s veřejným API, které má hromadu voleb (datovky/ISDS), protože případný útok půjde pravděpodobně přes ono API s cílem je vyřadit z provozu.
U interních systémů jsou zajímavá spíš data a tam bude útok pravděpodobně pomocí cíleného phishingu na uživatele (úředníky, hodnostáře) s vysokými oprávněními. Zde je výhodné mít zdrojové kódy kvůli případnému krachu/cenovému vydírání od dodavatele systému, jak bylo zmíněno výše.

Ak je kód verejný tak je pravda že útočník nájde skorej chybu. Zároveň ale tú istú chybu nájde aj dobrovoľný prispievateľ do kódu. Takže dosť rychlo sa chyba opraví. U closed-source sú často chyby nepovšimnuté správcami kódu celé desaťročia čo zatiaľ útočník môže takúto chybu zneužívať.

Povedal by som že otvorený zdrojový kód naopak zvyšuje bezpečnosť.

Problem je, ze kdyz vidis kod, nemusis byt genius, a vidis ze to psalo prase. Kdyz ho nevidis, tak si to sice muzes myslet taky, a v 99% mas pravdu, ale nemuzes to dolozit.

Mno a dost tezko bys obhajoval stovky miliard (protoze to je castka o ktere se bavime) vynalozene na totalne zpraseny kod uplne vseho.

Dnes kdyz je tolik SW uvolneno jako open source zacina byt problem s originalitou. Vzdyt kazdy jsme nekde zacinali, najaci ucitele nam predavali sve dovednosti, inspirovali jsme se u kolegu nebo na jinem SW.
Takze kdyz si tohle sebou neseme tak je jasne ze nas kod se bude necemu podobat. Takovy zapis promennych nebo nazvu funkcii ze?
Nezacina bzt tady problem? Staci dlouho patrat a narazite na neco co se podoba vasemu kodu ale vas kod to neni.

PS: Ja napriklad kdyz zasahuji do ciziho kodu snazim se napodobnit styl puvodniho autora i kdyz my ten styl neni blizky.

Záleží na jakou jdete úroveň. Příkazy, proměnné, podmínky, cykly, najdete asi všude. A ty už používala i hraběnka Ada.

Ale o tom to není.
Máte autorská práva k softwarovým celkům, máte patenty na některé technologie Například nedávno si MS patentoval propojení tabulkového kalkulátoru a scriptovacího jazyka
https://patents.google.com/patent/US12026560B2/

Což spadá pod elektronické patenty proti jejichž zavedení jsme hlasitě protestovali kolem roku 2003,
https://web.archive.org/web/20061006171859/http://swpat.ffii.org/log/03/demo0827/index.en.html
až to loby některých firem protlačila tak daleko, že to chtěli schválit přes "Radu ministrů pro zemědělství a rybolov."
https://www.root.cz/zpravicky/patenty-opet-s-rybolovem-v-pondeli/

A našlo by se toho ještě víc.

Na jednu stranu by to mohlo vypadat, že nemůžete "svobodně" naprogramovat téměř nic, na druhou stranu nikdo nemá (doufejme, že ne jen zatím) možnost koukat všem přes rameno a popotahovat je. Ani by se jim to finančně nevyplatilo. Takže patentové boje se odehrávají především tam, kde je dostatečně movitý žalobce a žaloba mu potenciálně přinese další dostatečný zisk.

R.I.<strike>P­.</strike>H. SCO Group.