Dopo il clamore suscitato dall'individuazione dell'Heartbleed Bug e alle polemiche non sempre giustificate dal punto di vista tecnico nei confronti dell'OpenSSL Project, in particolare quelle provenienti da una parte della "stampa di settore" che avrebbe definito tale vulnerabilità un "malware", gli sviluppatori del noto security toolkit hanno deciso di modificare la Roadmap prevista per la sua implementazione in modo da correggere alcune criticità.
Il primo problema analizzato è stato quello relativo ai backlog, il bug tracking system del progetto avrebbe infatti registrato nel tempo un gran numero di segnalazioni, molte delle quali rimaste in sospeso ormai da anni se non addirittura in attesa di consultazione; a ciò si aggiungerebbe un certo disordine nel completamento della documentazione, motivo per il quale alcuni argomenti sarebbero stati trattati in modo approfondito, altri invece rimasti praticamente ignorati.
Un'altra problematica farebbe riferimento all'eccessiva complessità della libreria, ciò potrebbe essere dovuto al fatto che molte componenti della API pubblica dovrebbero essere sviluppati come elementi interni, per non parlare dei vari porting per i quali sono state necessarie implementazioni dedicate a piattaforme oggi meno rilevanti rispetto al passato.
E' chiaro che da questo punto di vista avrebbe avuto un ruolo fondamentale il sorgente, a carico del quale sarebbero stati apportati fino ad oggi vari interventi da parte di sviluppatori caratterizzati da stili di programmazione differenti; tutto ciò avrebbe portato alla crescita di un codebase dotato di un layout confusionario con relative difficoltà nelle procedure di manutenzione. Fermo restando un sistema per la gestione della memoria spesso fonte di vulnerabilità impreviste.
Detto questo, la nuova Roadmap prevedrebbe a partire da ora un'azione volta alla riduzione del backlog nonché l'introduzione di un nuovo sistema per la documentazione, una revisione dell'API pubblica, il refactoring del codice per la gestione della memoria e di FIPS, la definizione di un coding standard per l'intero progetto, l'introduzione di un code review system e la definizione di alcune piattaforme privilegiate dal punto di vista dello sviluppo (Linux e FreeBSD).
In futuro la community di OpenSSL dovrebbe occuparsi dell'introduzione di nuove funzionalità tra cui il supporto per DANE e l'IPv6 nonché il miglioramento di quello per SSL_CONF, il tutto nei limiti di un progetto che, nonostante vanti tra i suoi utilizzatori alcune delle più importanti realtà del Web, rimane comunque un'iniziativa sostenuta su base volontaria.
Via OpenSSL Project
