La semaine dernière, la rébellion contre HashiCorp suite à l'adoption d'une licence restreignant la concurrence pour son logiciel Terraform s'est intensifiée. Lors du Sommet Open Source à Tokyo, au Japon, la nouvelle est apparue selon laquelle la Linux Foundation avait l'intention de soutenir le développement d'une alternative open source à Vault., le projet de gestion secrète de l'entreprise.
Sebastian Stadil, co-fondateur et PDG de Scalr et l'un des organisateurs d'OpenTofu, un fork de Terraform, a révélé des détails sur le projet appelé OpenBao. OpenBao est un fork de Vault, un logiciel qui aide les développeurs à gérer les secrets tels que les mots de passe, les jetons, les certificats, les clés API, etc.
OpenBao existe pour fournir une solution logicielle permettant de gérer, stocker et distribuer des données sensibles, notamment des secrets, des certificats et des clés. La communauté OpenBao a l'intention de fournir ce logiciel sous une licence open source approuvée par l'OSI, dirigée par une communauté fonctionnant selon des principes de gouvernance ouverte.
Un système moderne nécessite l'accès à plusieurs secrets : identifiants de base de données, clés API pour les services externes, identifiants pour la communication dans une architecture orientée services, etc. Déterminer qui accède à quels secrets est déjà très difficile et spécifique à la plateforme. L'ajout d'une rotation des clés, d'un stockage sécurisé et de journaux d'audit détaillés est presque impossible sans une solution personnalisée. C'est là qu'intervient OpenBao.
Les principales fonctionnalités d'OpenBao sont :
- Stockage sécurisé des secrets : Des clés/valeurs secrètes arbitraires peuvent être stockées dans OpenBao. OpenBao crypte ces secrets avant de les écrire dans la mémoire persistante, donc accéder à la mémoire brute ne suffit pas pour accéder à vos secrets. OpenBao peut écrire sur le disque, Consul et plus encore.
- Secrets dynamiques : OpenBao peut générer des secrets à la demande pour certains systèmes, comme les bases de données AWS ou SQL. Par exemple, lorsqu'une application doit accéder à un compartiment S3, elle demande des informations d'identification à OpenBao, et OpenBao générera une paire de clés AWS avec des autorisations valides sur demande. Après avoir créé ces secrets dynamiques, OpenBao les révoque automatiquement à la fin de la période de location.
- Cryptage des données : OpenBao peut crypter et déchiffrer des données sans les stocker. Cela permet aux équipes de sécurité de définir des paramètres de chiffrement et aux développeurs de stocker les données chiffrées dans un emplacement tel qu'une base de données SQL sans avoir à concevoir leurs propres méthodes de chiffrement.
- Bail et renouvellement : Tous les secrets dans OpenBao ont un emplacement associé. À la fin du bail, OpenBao révoque automatiquement ce secret. Les clients peuvent renouveler leurs baux via des API de renouvellement intégrées.
- Révocation: OpenBao prend en charge la révocation des secrets. OpenBao peut révoquer non seulement des secrets individuels, mais également un arbre de secrets, par exemple tous les secrets lus par un utilisateur spécifique ou tous les secrets d'un type particulier. La révocation facilite la rotation des clés et le verrouillage des systèmes en cas d'intrusion.
Vault, ainsi que d'autres produits HashiCorp tels que Boundary, Consul, Nomad, Packer, Terraform, Vagrant et Waypoint, ont été placés sous la licence Business Source, ce qui empêche d'autres sociétés cloud de proposer le logiciel en tant que produit compétitif. En conséquence, les concurrents ont copié le code Vault sous une licence conforme à l'OSI, Mozilla PLv2, pour garantir un accès continu à la technologie.
Stadil, lors de la conférence, a déclaré : « S'il y a deux projets identiques et que l'un est open source et l'autre non, je crois personnellement que le choix moral est d'utiliser le projet open source et de l'aider d'une manière ou d'une autre. »
Stadil a expliqué à The Register que la version candidate d'OpenTofu est attendue prochainement et qu'OpenBao commencera à accepter de nouvelles contributions. OpenBao est incubé au sein de la Linux Foundation, dirigé par les développeurs IBM via LF Edge, une initiative d'informatique de pointe. Le projet n'est pas encore officiellement approuvé par IBM, mais avant d'être considéré comme « achevé » par la Linux Foundation, il doit répondre à certains critères pour démontrer sa probable pérennité.
Lors de la présentation de Stadil, des inquiétudes ont été exprimées quant à la vitalité et à la longévité des projets OpenTofu et OpenBao, encore considérés comme récents. Stadil a refusé de parler au nom d'autres entreprises, mais a recommandé de visiter les référentiels de projets pour noter qui contribue à deux projets comme indicateur du soutien de l'entreprise.
Lorsqu'on lui a demandé quelle était la raison pour laquelle HashiCorp avait renouvelé la licence de son logiciel, Stadil a répondu que la ligne officielle est que Terraform est vital pour Internet et qu'il existe depuis longtemps un désir de le placer sous la supervision de la Fondation Linux.
Stadil a conclu en disant : « Si HashiCorp voulait nous rejoindre dans OpenTofu à l'avenir, nous serions ravis de voir cela se produire. » Il a refusé de spéculer sur le processus décisionnel interne de HashiCorp.
HashiCorp, selon Stadil, brûlait des liquidités et, avec la hausse des taux d'intérêt, il ne serait pas surprenant de voir l'éditeur de logiciels prendre des mesures pour générer davantage de revenus. HashiCorp n'a pas immédiatement répondu à une demande de commentaire.
Jeudi, l'éditeur de logiciels a annoncé un chiffre d'affaires de 146,1 millions de dollars pour son troisième trimestre fiscal 2024, en hausse de 17 % sur un an. Cela a entraîné une perte nette GAAP de 39,5 millions de dollars, en baisse par rapport aux 72 millions de dollars de la même période de l'année dernière.
