De Circulaire #255: de PHPaniek-editie 🫠

Hallo!

Afgelopen week was opeens een groot deel van het internet offline door een bug in PHP. Ik schreef hoe dat kan (en hoe het voorlopig niet beter gaat worden). Verder: een trouwe lezer zoekt een kamer, Matrix-pingpong en een kat die geen pianist wordt.

Veel plezier met deze Circulaire !

Na het PHP-lek: het halve internet draait op één vrijwilliger

U kunt het moeilijk gemist hebben de afgelopen week: het lek in de programmeertaal PHP waardoor websites tijdelijk offline gingen of anders zeer kwetsbaar waren voor hackers. Ook uw hoofdredacteur moest aan de bak: ik beheer zeven servers waar allemaal PHP op draait. Die moesten dus allemaal tijdelijk uit tot er een fix was.

Wat niet iedereen weet is hoe ontzettend fragiel en informeel het hele ecosysteem is waar onze huidige technische infrastructuur op draait. Een bekend plaatje is deze cartoon van Randall Munroe (xkcd) uit 2020:

Dit is geen hyperbool: die persoon van het blokje rechtsonder bestaat echt. Hij komt alleen niet uit Nebraska maar uit Tsjechië en heet Ondřej Surý.

Surý is al 20 jaar de beheerder van veelgebruikte PHP-pakketten voor de Linux-distributies Ubuntu en Debian. Dat betekent dat veel mensen die op dat besturingssysteem servers met PHP draaien afhankelijk zijn van Surý’s werk. Hoeveel servers dat zijn is moeilijk in te schatten maar het kan zomaar een derde tot de helft van het internet zijn. Om een voorbeeld te geven: het populaire CMS WordPress draait op PHP, en vaak op een Ubuntu of Debian-server.

Linux is open source en gratis, en Surý’s PHP-pakketten zijn dat ook. Toch draaien miljardenbedrijven op die technologie waar ze niks voor hoeven te betalen.

Je zou zeggen dat zo’n belangrijke taak is ondergebracht bij een goed gefinancierde organisatie, maar niks is minder waar. Surý doet dit werk op basis van donaties . In een interview met de BBC vertelde hij dat hij door het PHP-lek ongeveer evenveel donaties kreeg als normaal in een jaar: $10.000. Daarnaast heeft hij ook nog een baan.

Ergo: de man die bij wijze van spreken het internet overeind houdt verdient voor dat werk minder dan het minimumloon.

Dit is geen uitzondering in de wereld van open source software. De compressiesoftware die op elke iPhone draait. De databestanden voor tijdzones die alle smartphones gebruiken. De code die XML-bestanden leest en op 5,6 miljard apparaten draait.

Al die projecten, en nog veel meer, worden onderhouden door één of twee mensen ( dit is een goed overzicht ). Soms krijgen ze subsidie of donaties. Meer dan een paar duizend euro per jaar is het zelden. Ter vergelijking: Apple en Google hadden vorig jaar beide een omzet van meer dan 400 miljard dollar.

Uitbuiting

Ondřej Surý zei zelf in een interview met The Atlantic dat open source soms voelt als uitbuiting. Het is niet meer dan logisch dat de mensen die het meest profiteren van open source software ook de mensen belonen die dat werk doen. Een blik op de technische discussie rondom de gefixte PHP-pakketten laat zien dat daar genoeg profiteurs tussen zitten: mensen die van Surý eisen dat hij snel archaïsche versies van PHP oplevert zodat zij hun servers kunnen beveiligen waar ze jarenlang niks aan hebben gedaan.

Ook vanuit de publieke sector zou er meer kunnen worden geïnvesteerd in open source. Er gaat zeker geld die kant op, bijvoorbeeld vanuit de overheid, maar vaak in de vorm van sponsoring van congressen, of voor specifieke nieuwe projecten. Direct investeren in de fundering van het internet is blijkbaar net zo sexy als het onderhoud van bruggen en wegen. Het gevolg van dat laatste weten we inmiddels . In Duitsland doen ze het overigens beter, met het Sovereign Tech Agency dat bijdroeg aan een grote security audit van PHP .

Open source en soevereine technologie

Er is recent veel discussie geweest over ‘soevereine technologie’, zodat we minder afhankelijk worden van Amerikaanse big tech . Gebruik maken van open source software is daarvoor onontbeerlijk.

Het PHP-lek zou de indruk kunnen wekken dat open source onveilig is. Maar bij closed source software ben je overgeleverd aan één partij om de gaten te dichten: de leverancier. Gaten die misschien niet eens bekend zijn. Case in point : de software van het bedrijf Citrix. Toen daar eind 2019 een kwetsbaarheid in werd ontdekt was de enige oplossing servers uit te zetten. De fix kwam niet, zoals bij PHP, in een paar uur, maar pas weken later .

De kwetsbaarheden in PHP werden ontdekt dankzij AI-modellen . Dat er de komende tijd veel meer van dit soort lekken zullen opduiken is vrijwel zeker. De ironie is dat die modellen zijn getraind en draaien dankzij het werk van de vrijwilligers die open source software onderhouden. De bedrijven die de modellen maken zijn miljarden waard, de vrijwilligers moeten het hebben van liefdewerk oud papier.

Met dank aan Maarten Zeinstra van Open Nederland voor het meelezen met dit stuk.

Kamer gezocht

Via trouwe lezer en mede-Wikimediaan Nyo kreeg ik het volgende bericht:

Heb jij iets voor Nyo? Bijvoorbeeld een tijdelijke kamer bij de VU in de buurt omdat je die periode in het buitenland bent? Laat het hem weten via nyo.dekens@student.hogent.be .

Mocht je iets hebben voor Nyo dan krijg je van mij het Circulaire- tijdschrift, heel veel stickers en natuurlijk mijn eeuwige dank.

De beste linkjes

• Op donderdag 19 november komt, na dertien (!) jaar, het langverwachte zesde deel uit van Grand Theft Auto . Massale ziekmeldingen worden verwacht. Zo werd dat spel ontwikkeld . ( archieflinkje )

• Misschien wel de beste uitvinding van de afgelopen 25 jaar wordt 25 jaar: de OV-Fiets is jarig .

• Derek Sivers ging naar Istanbul, sprak 30 mensen, en vatte observaties van die gesprekken samen .

• Een Javascriptje dat elke keer dat je op refresh klikt een nieuwe vis genereert .

• Hoe werkt een diaprojector eigenlijk ? (video)

• Voor de kunstliefhebbers: afgelopen weken gingen nieuwe websites live met de brieven en geschriften van Vincent van Gogh , Piet Mondriaan en Isaac Israëls .

• Afgelopen jaar hield VPRO Digitaal, waar ik zelf vier jaar werkte, op te bestaan. Hoe archiveer je dan al die oude projecten? GertJan Kuiper, die er lang heeft gewerkt, vertelde dat in een interview .

• Siri Beerends schrijft in een essay dat we niet bang moeten zijn dat machines steeds meer op ons gaan lijken, maar dat wij steeds meer op machines gaan lijken .

• Meta’s nieuwe AI- agent Muse is voor losers . (via Lieven )

• De Britse premier Andy Burnham lanceerde een campagne gericht op mensen in de trein die geen oortjes gebruiken als ze geluid produceren op hun telefoon. Hij wil ook boetes gaan opleggen (ik zou zelf meer zijn voor de brandstapel of radbraken, maar je kan niet alles hebben). ( archieflinkje )

• Kasou Taishou is een tweejaarlijks (twaarlijks?) Japans tv-programma waar mensen de meest bizarre stukjes uitvoeren met briljante kostuums. Case in point: Matrix Ping Pong . En hier zijn nog veel meer hoogtepunten .

• De Chef Kattengifjes is oude Vines aan het herkijken (Vine was een soort TikTok in 2013, maar dan leuker) en ze liet me weten dat dit de beste compilatie is .

• “Dit is echt iets voor jouw nieuwsbrief” zei mijn collega Maarten, en inderdaad: alle kentekens uit Groningen tussen 1906 en 1951 . (overigens ook beschikbaar voor de meeste andere provincies )

• Een leuk spelletje om je Nederlandse topografie te verbeteren: Polderprikker .

• Nog een spelletje: bekijk de videoclip en raad het jaar .

De beste gifjes

Lotte Belice, mijn geliefde Chef Kattengifjes, en haar echtgenoot waren afgelopen week vijftien jaar samen! We hebben het gevierd in een dimsumrestaurant en zijn daarna gaan poolen (het kan niet altijd kaviaar en champagne zijn hè). Gelukkig had ze ook nog tijd om rond alle festiviteiten leuke gifjes te vinden!

Deze kat gaat waarschijnlijk geen goede pianist worden.

Ik ben niet zo goed in vroeg opstaan. Dat doe ik een beetje als deze pelikaan.

En hebben we eigenlijk weleens een maki gehad in De Circulaire ? Eens moet de eerste keer zijn!

En dat was het!

De volgende Circulaire verschijnt op maandag 9 november.

Tot dan!