Baterie przyszłości, satelity Amazona i kryzys open source: od GitLaba po upadek ingress-nginx

Dzień dobry, nazywam się Marcin Lis i zapraszam do wysłuchania kolejnego odcinka What the Fox says. W dzisiejszym odcinku będzie trochę o bezpieczeństwie i prywatności, trochę o technologiach satelitarnych, oczywiście o open source, ale zaczniemy od samochodów elektrycznych, a raczej od baterii w samochodach elektrycznych. Chińczycy Robią kolejny krok w kierunku rewolucji, jeżeli chodzi o samochody elektryczne, czyli uruchamiają pierwszą na świecie linię produkcyjną baterii All Solid State do pojazdów elektrycznych. Co to są baterie All Solid State?

Są to baterie, w których ciekły elektrolit zastępuje się ciałem stałym, co zwiększa po części bezpieczeństwo, ale też trwałość i pojemność baterii. Problemem jest to, że technologia takich baterii jest dużo bardziej kosztowna, no i trudniejsza. Ale Chińczycy obiecują, że ich nowe baterie będą mogły podwoić zasięg samochodów elektrycznych. Ich nowo uruchomiona linia produkcyjna wykorzystuje tzw. suchy proces, który łączy przygotowanie, powlekanie, rolkowanie tych baterii, wszystko w jednym kroku, co skraca czas produkcji oraz zmniejsza koszty. Nowe baterie mają zapewnić zasięgi około tysiąca, może nawet ponad tysiąca kilometrów na jednym ładowaniu.

Testy małoseryjne pojazdów z tymi bateriami mają ruszyć już w 2026 roku, a masowa produkcja tychże baterii i samochodów na nich opartych w latach kolejnych, czyli 2027-2030. W Chinach, jak to w Chinach oczywiście, wszystko jest sterowane centralnie, w związku z tym ta produkcja ma się odbywać przez tzw. All Solid State Battery Collaborative Innovation Platform, która łączy producentów baterii, koncerny motoryzacyjne, wspiera ten rozwój technologii. Wiadomo, Chińczykom na tym zależy, chcą być pierwsi, najlepsi, chcą przejąć co się da.

Co ciekawe, w Chinach nie tylko GAC Group, która uruchamia tę fabrykę, ale też inni producenci pracują nad takimi samymi bateriami albo bardzo podobnymi. Psychmotor, BYD, CATL, wszystkie te grupy aktywnie rozwijają własne baterie typu All Solid State i chcą wyruszyć jak najszybciej z produkcją seryjną tychże baterii, więc mamy duże szanse na to, że już niedługo jazda autem elektrycznym i zasięgi ponad 1000 km nie będą niczym dziwnym.

Dodatkowo Amazon ma też w planach wdrożenie datacenter w przestrzeni kosmicznej, co może być ciekawym rozwiązaniem i umożliwić na przetwarzanie danych bezpośrednio na orbicie. Wiem, że brzmi to trochę jak science fiction, ale kto wie, poczekamy parę lat, może coś takiego się okaże. Nie jest to pierwsza firma, która o czymś takim myśli. Terminal Leo Ultra, patrząc na to, jakie zawiera technologie, zwłaszcza to Direct to AWS, raczej jest skierowany do klientów korporacyjnych niż zwykłych użytkowników prywatnych. Na pewno są klienci korporacyjni, którzy potrzebują niezawodnego i szybkiego dostępu Internetu w miejscach, w których ciężko jest dociągnąć standardowo łącze światłowodowe, albo ewentualnie też chcą mieć po prostu jakieś łącze zapasowe, gdyby z głównym stało się coś złego.

W efekcie wiele firm unieważniło klucze i hasła, które zostały znalezione, a sam Marshall otrzymał około 9 tysięcy dolarów z różnych programów bug bounty, Ale, co ciekawe, część sekretów mimo wszystko nadal pozostaje publicznie dostępna, nie zostały one usunięcie. Sytuacja ta unacznia, że nawet dojrzałe zespoły deweloperskie potrafią ignorować podstawowe zasady bezpieczeństwa informacji, można powiedzieć takiej higieny bezpieczeństwa deweloperskiej. Eksperci podkreślają konieczność stosowania menadżerów sekretów, konieczność stosowania automatycznych skanów repozytoriów właśnie, żeby znaleźć, czy coś takiego się nie przyślizgnęło, żeby minimalizować prawdopodobieństwo podobnych wycieków, bo każdy taki wyciek stanowi poważne ryzyko dla organizacji i to dla organizacji niezależnie od jej wielkości.

A jak już mówimy o bezpieczeństwie, tak teraz trochę o prawodawstwie w UE. Po ponad trzech latach przepychanek pomiędzy rządami, rządy państw Unii Europejskiej osiągnęły porozumienie w sprawie bardzo kontrowersyjnego rozporządzenia, oficjalnie zwanego CSAR, czyli Children Sexual Abuse Regulation, ale które znane jest szerzej pod popularną nazwą Chat Control. Wcześniej wielu ekspertów, ale nie tylko ekspertów, protestowało przeciwko temu rozwiązaniu, ponieważ miało ono oznaczać tak naprawdę koniec szyfrowania end to end i wprowadzenie powszechnej inwigilacji.

Bo jak sama powiedziała, tutaj nie chodzi o ochronę dzieci. To jest po prostu luka prawna. Która ma na celu umożliwić masowe skanowanie wiadomości. Sama regulacja też nie przeszła bez sprzeciwu. Głosowanie w Radzie Unii Europejskiej było ciekawe. Część krajów była za przyjęciem tej regulacji, część była taka, która zdecydowanie sprzeciwiała się tym przepisom. Argumentowały to... Tym, że walka z pedofilią nie może odbywać się kosztem tajemnicy korespondencji prywatności, czyli tak naprawdę fundamentalnych praw obywatelskich, ale część krajów właśnie dzięki temu zapisowi o dobrowolności, w cudzysłowie, były, ta część krajów była, nie wetowała,

Może nie do końca w tym przypadku jest to 100% open source, ale bardzo związane. Całkiem niedawno firma Qualcomm przejęła Arduino. Dla tych, co nie wiedzą, Arduino to do tej pory przynajmniej otwarta platforma elektroniczna, która umożliwia tworzenie różnych projektów urządzeń, interaktywnych projektów urządzeń. Składa się ona tak naprawdę z dwóch głównych elementów. Z płytki Arduino, czyli z hardware'u i z IDE, czyli oprogramowania, które służy do pisania i wgrywania kodu. Nie będę wchodził w szczegóły odnośnie Arduino, bo jeżeli ktoś będzie chciał, to się tym zainteresuję.

Wracając do tego przejęcia przez Qualcomm'a. Firma Qualcomm po przejęciu Arduino zaktualizowała regulamin oraz politykę prywatności tych usług. Zmiany obejmują kluczowe obszary, bo prawo do inżynierii wstecznej, zasady przetwarzania danych, licencjonowanie treści użytkowników, I tak naprawdę dla hobbystów, ale też dla twórców, może to oznaczać bardzo duże zmiany. Np. nowy regulamin wprowadza kategoryczny zakaz tłumaczenia, dekompilacji lub inżynierii wstecznej platformy, czyli tak naprawdę poznawanie algorytmów i logiki jej działania.

do takich rzeczy jak czas obliczeniowy, przechowywane dane, ale nie wskazuje ani zakresu, ani celu takiego nadzoru. Ten brak transparentności, brak konkretów w opisie o tym, jakie informacje będą zbierane oraz potencjalny dostęp Qualcommu do tych danych, Tak naprawdę osłabia zaufanie wobec platformy. Szczególnie, jeżeli mamy zapis, w którym użytkownik, który publikuje materiały na platformie, czy to kod, czy tekst, czy obraz, udziela automatycznie Arduino niewyłącznej, nieodwołalnej i zbywalnej licencji na ich wykorzystanie.

Czyli tak naprawdę pozwala Arduino zrobić wszystko z naszą pracą, nawet na monetyzację tej pracy. Jest to totalne zaprzeczenie idei ruchu open source, który polega na współdzieleniu się swoimi rzeczami, ale też na poszanowaniu autorstwa i poszanowaniu autorów. A najśmieszniejszym, przynajmniej z mojego punktu widzenia, elementem nowego regulaminu jest, jak to zostało zapisane, zakaz wykorzystywania platformy do zbierania dowodów wspierających roszczenia patentowe przeciwko Arduino. W świecie open source raczej się czegoś takiego nie stosuje.

W konsekwencji atakujący może uzyskać dostęp do wszystkich sekretów we wszystkich przestrzeniach nazw klastra, ma możliwość pełnego przejęcia kontroli nad klastrem Kubernetes oraz wykonania dowolnego kodu w kontekście kontrolera. I tutaj nawiązanie do ostatniego odcinka. Jak wskazała Tabitha Sable, czyli współprzewodnicząca Grupy ds. Bezpieczeństwa Kubernetes, ingress-nginx od zawsze zmagał się z niewystarczającą liczbą opiekunów, Przez lata ten projekt, tak krytyczny dla wielu osób, ale też firm, był rozwijany przez jedną, maksymalnie dwie osoby po ich godzinach pracy, ewentualnie w weekendy, czyli typowo był to dla nich projekt hobbystyczny.

Decyzja ta została właśnie z jednej strony podyktowana tym, że nie ma kto nad tym pracować, jest narastający dług technologiczny, ale właśnie najbardziej dołożyły się do tego te krytyczne luki bezpieczeństwa odkryte przez firmę Visa. Jeden z opiekunów Kubernetes, Tim Hawking, odpowiedział na reakcję ludzi, którzy nie byli zachwyceni tą informacją i którzy uważali, że informacja taka powinna zostać ogłoszona z dużo większym wyprzedzeniem, żeby dać czas ludziom na migrację, na inne rozwiązania.

Powiedział, że, cytuję, rozumiem wasze uczucia, ale proszę, odłóżcie na bok roszczeniową postawę. Ludzie, którzy obecnie pracują nad ingress-nginx, robią to za darmo. Robią to głównie z poczucia obowiązku. Przez dwa lata, odkąd temat jest dyskutowany, praktycznie nikt nie zgłosił się do pomocy. Nie ma nowych wykonów w kolejce. Zamknięcie tego projektu jest konieczne. Koniec cytatu. Historia ta, Podobnie jak inne, które wspomniałem w poprzednim odcinku, ilustruje jeden z głównych problemów ekosystemu open source. Ecosystem ten tak naprawdę nie pozwala na pracę wolontariacką aktualnie, bo społeczność ma bardzo specyficzny stosunek do oprogramowania open source.

Pokazuje to bardzo smutną rzeczywistość, jak bardzo Opiekunowie projektów open source są niedoceniani w obecnym świecie, gdzie nie tylko osoby prywatne, ale bardzo dużo firm uznaje projekty open source, ich istnienie i możliwość skorzystania z nich jako coś oczywistego, a co jednak przecież takim oczywistym nie jest, bo ktoś musi je pisać, ktoś musi je tworzyć, ktoś musi je utrzymywać. No i to chyba tyle na dzisiaj. Dziękuję za wysłuchanie tego odcinka i do usłyszenia następnym razem, prawdopodobnie za dwa tygodnie.