- Python Software Foundation (PSF) menarik proposal senilai 1,5 juta dolar yang diajukan ke National Science Foundation (NSF) AS dengan tujuan meningkatkan kerentanan keamanan pada Python dan PyPI
- Ini merupakan kali pertama mengajukan diri ke program ‘Safety, Security and Privacy for Open Source Ecosystems (SAFE OSE)’ milik NSF, tetapi klausul pembatasan aktivitas DEI (diversity, equity, inclusion) dalam syarat penerimaan hibah menjadi masalah
- Klausul tersebut berlaku untuk seluruh aktivitas PSF, dan jika dilanggar mencakup kemungkinan penarikan kembali dana yang sudah dibayarkan (claw back) sehingga menimbulkan risiko finansial yang besar
- Sesuai misinya yang menegaskan DEI sebagai nilai inti, PSF menolak menerima syarat tersebut dan memutuskan penarikan secara bulat oleh dewan
- Keputusan ini membebani kondisi keuangan PSF, tetapi dinilai sebagai pilihan untuk menjaga nilai dan prinsip komunitas
Latar belakang dan tujuan pengajuan proposal
- Pada Januari 2025, PSF mengajukan proposal ke program SAFE OSE milik NSF dengan tujuan menangani kerentanan keamanan struktural pada Python dan PyPI
- Ini adalah kasus pertama PSF mengajukan hibah pemerintah, dan prosesnya dijalankan oleh tim kecil sambil mempelajari prosedur administrasi yang kompleks
- Penulisan proposal dipimpin oleh Seth Larson (security developer), dengan Loren Crary (Deputy Executive Director) sebagai penanggung jawab bersama
- PSF menilai proposal tersebut selaras dengan tujuan program, dan jika diterima akan membawa manfaat besar bagi komunitas, sehingga banyak waktu dan upaya dicurahkan untuknya
Persetujuan proposal dan munculnya masalah
- Setelah berbulan-bulan peninjauan, proposal tersebut mendapat status recommended for funding, sebuah kasus langka karena hanya 36% pelamar baru yang berhasil pada percobaan pertama
- Namun, masalah muncul pada syarat penerimaan hibah
- Dalam syarat itu terdapat frasa bahwa organisasi “tidak menjalankan program yang mendorong DEI (diversity, equity, inclusion) atau ideologi kesetaraan diskriminatif”
- Klausul ini berlaku bukan hanya pada proyek keamanan yang dijalankan lewat hibah, tetapi pada seluruh aktivitas PSF
- Jika dilanggar, NSF dapat menarik kembali dana yang sudah dibayarkan (claw back), sehingga dapat menimbulkan risiko finansial yang tidak terbatas
Nilai dan misi PSF
- PSF menegaskan DEI sebagai nilai inti, dan menyatakannya secara jelas dalam mission statement resminya
- Misi PSF ditetapkan sebagai “memajukan dan melindungi bahasa Python, serta mendukung pertumbuhan komunitas yang beragam dan internasional”
- PSF mencoba memperjelas penafsiran syarat tersebut melalui diskusi dengan NSF, dan meninjau contoh organisasi seperti The Carpentries yang mengalami situasi serupa, tetapi akhirnya menyimpulkan bahwa syarat yang bertentangan dengan nilai mereka tidak dapat diterima
- Pada akhirnya, PSF mempertahankan posisi tidak akan menghentikan aktivitas DEI dan menarik proposal hibah tersebut
Isi teknis proyek yang diajukan
- Proyek yang diajukan bertujuan mengembangkan alat pra-tinjau otomatis untuk mencegah serangan supply chain di PyPI
- Saat ini PyPI hanya mengoperasikan sistem peninjauan setelah kejadian, tetapi sistem yang diusulkan memiliki struktur untuk menganalisis semua paket yang diunggah sebelum dipublikasikan
- Sistem ini dirancang untuk mendeteksi ancaman potensial lebih awal dengan memanfaatkan capability analysis berbasis dataset malware
- Teknologi ini dapat diterapkan bukan hanya pada PyPI, tetapi juga pada registry paket open source lain seperti NPM dan Crates.io, sehingga berpotensi berkontribusi pada penguatan keamanan ekosistem open source secara keseluruhan
Dampak finansial dan tantangan ke depan
- PSF beroperasi dengan anggaran tahunan sekitar 5 juta dolar dan merupakan organisasi kecil dengan 14 karyawan
- Dana 1,5 juta dolar selama dua tahun itu akan menjadi hibah terbesar dalam sejarah PSF
- Namun, PSF menempatkan praktik nilai dan dukungan bebas bagi komunitas di atas keuntungan finansial
- Dewan menyetujui keputusan penarikan secara bulat
- Akibat penarikan ini, PSF menghadapi tekanan finansial yang bertemu dengan faktor lain seperti inflasi, menurunnya sponsor, perlambatan industri teknologi, dan ketidakpastian global
- PSF meminta dukungan berkelanjutan dan peningkatan partisipasi dari anggota, donor, dan sponsor perusahaan
- Individu dapat mendukung misi dan aktivitas PSF melalui menjadi anggota, berdonasi, dan berpartisipasi dalam sponsorship
Kesimpulan
- PSF memilih menjaga nilai organisasi dan prinsip komunitas dibanding kerugian finansial
- Kasus ini dinilai sebagai preseden penting yang menunjukkan dampak syarat hibah pemerintah terhadap otonomi dan nilai organisasi open source
- Ke depan, PSF berencana terus melanjutkan aktivitas dengan arah yang menggabungkan penguatan keamanan ekosistem Python dan peningkatan keberagaman
Belum ada komentar.