Linux: Dokumentation soll Vertrauen ergänzen
Zwar sei es bislang immer gelungen, entsprechende Anschuldigungen zu entkräften, doch dies habe unnötig viel Arbeit verursacht, beispielsweise die Recherche in Archiven der Linux-Kernel-Mailingliste aus dem Jahr 1992. "Not much fun" , wie Torvalds meint und will daher künftig die Dokumentation verbessern, um die Herkunft einzelner Code-Teile einfacher nachweisen zu können.
Torvalds hält die Vorwürfe von SCO, Linux enthalte geklauten Code, zwar für abwegig, reagiert aber dennoch auf das Vorgehen des Unternehmens, vor allem, da SCO auch gegen Linux-Nutzer vorgeht: "Einige von euch haben vielleicht von dieser verrücken Firma namens SCO gehört (auch bekannt als 'Smoking Crack Organization'), die Schwiergkeiten damit hat zu glauben, dass Open Source besser funktioniert als ihre eigenen fünf Entwickler" , so Torvalds in einer E-Mail(öffnet im neuen Fenster) an die Linux-Kernel-Mailingliste.
Die meisten Patches, die ihren Weg in den Kernel finden, gehen nicht direkt an Linus Torvalds, sondern nehmen ihren Weg über die Betreuer der diversen Subsysteme des Linux-Kernels. Dabei spielt das Vertrauen zwischen den jeweils zwei beteiligten Entwicklern ein große Rolle. Da also nicht jeder jeden kennen muss, spielt der Weg, auf dem ein Patch seinen Weg in den offiziellen Kernel findet, ein wichtige Rolle.
Torvalds schlägt nun vor, die einzelnen Patches in jeder Stufe der Kette zu markieren, um so nachweisen zu können, welchen Weg ein Patch nimmt. Auch biete dies die Möglichkeit, dass Mittelsmänner Änderungen an einem Patch vornehmen können, ohne dass die namentliche Nennung eines Entwicklers verschwindet. Schließlich habe der Patch, der letztendlich in den Kernel integriert wird, oft nicht mehr viel mit dem Patch gemeinsam, der ursprünglich eingereicht wurde.
Der ganze Prozess des Signierens von Patches soll nach Torvalds Vorstellung dabei möglichst einfach gehalten werden, beispielsweise, indem jedes Mitglied in der Kette Namen und E-Mail unter die Erklärungen zum Patch setzt. Damit wäre für jeden ersichtlich, wer zuvor diesen Patch weitergegeben hat.
Alle Mitglieder der Kette sollen dabei eine "Developer's Certificate of Origin" abgeben, in dem sie versichern, dass der Code zum Teil oder vollständig von ihnen geschrieben wurde und sie das Recht haben, diesen unter einer Open-Source-Lizenz zu veröffentlichen. Zudem soll jeder Beteiligte zusichern, dass sofern Code auf der Vorarbeit anderer basiert, dieser unter einer entsprechenden Open-Source-Lizenz steht und sie das Recht haben, im Original oder in modifizierter Form weiterzugeben.
Damit soll die Vertrauenskette auch für Außenstehende dokumentiert und somit nachvollziehbar werden. Es gehe aber lediglich um einen Dokumentation, nicht darum, echte kryptografische Signaturen zu ersetzen, dies sei ein anderes Thema, betont Torvalds ausdrücklich.