Tác giả XScreenSaver khẳng định không có kho mã nguồn chính thức trên GitHub

Lời cảnh báo từ chính tác giả

Jamie Zawinski, được cộng đồng công nghệ biết đến với biệt danh jwz, là tác giả của XScreenSaver – bộ trình bảo vệ màn hình kinh điển dành cho hệ thống X11 trên Linux và các hệ điều hành tương tự Unix. Mới đây, ông đã lên tiếng làm rõ một hiểu lầm đang lan truyền trong cộng đồng mã nguồn mở.

"Tôi là jwz, tác giả của XScreenSaver, và tôi không công bố bất kỳ kho mã nguồn công khai nào."

Phát biểu này xuất phát từ việc xuất hiện một kho lưu trữ mang tên "xscreensaver-official" trên GitHub, khiến nhiều người dùng tưởng rằng đây là nơi phát triển chính thức của dự án.

Chỉ có một nguồn phát hành duy nhất

Theo jwz, cách duy nhất để tiếp cận mã nguồn XScreenSaver chính thức là tải các bản phát hành dưới dạng tệp tar từ trang web chính thức của dự án. Ông nhấn mạnh rằng mọi kho lưu trữ khác, dù trên GitHub hay bất kỳ nền tảng nào, đều không liên quan đến ông và người dùng không nên tin tưởng chúng.

Điều này đặt ra một vấn đề đáng lưu tâm về mặt bảo mật:

• Các kho sao chép có thể chứa mã độc hoặc mã đã bị chỉnh sửa mà người dùng không hay biết
• Người dùng tải phần mềm từ nguồn không chính thức có thể gặp rủi ro về an toàn thông tin
• Việc mạo danh dự án mã nguồn mở là chiêu thức ngày càng phổ biến để phát tán phần mềm độc hại

Một phong cách làm việc khác biệt

Câu chuyện này phản ánh triết lý phát triển phần mềm đặc trưng của jwz – một trong những lập trình viên kỳ cựu có ảnh hưởng lớn trong thế giới phần mềm tự do. Ông nổi tiếng với quan điểm bảo thủ về quy trình phát hành, ưu tiên kiểm soát chất lượng và tính toàn vẹn của sản phẩm hơn là sự tiện lợi của các nền tảng lưu trữ hiện đại.

Thay vì sử dụng GitHub hay các hệ thống quản lý phiên bản phổ biến, ông vẫn duy trì việc tiếp nhận đề xuất và yêu cầu thay đổi qua email. Cách làm này tuy khác lạ so với chuẩn mực hiện nay nhưng vẫn đảm bảo dòng chảy đóng góp từ cộng đồng.

"Tôi hoan nghênh các đề xuất và yêu cầu thay đổi qua email. Không sao cả. Bạn sẽ quen thôi."

Bài học cho người dùng Việt Nam

Với cộng đồng người dùng Linux và phần mềm mã nguồn mở tại Việt Nam, câu chuyện này là lời nhắc nhở quan trọng về việc kiểm tra nguồn gốc phần mềm trước khi tải về. Trong bối cảnh các cuộc tấn công chuỗi cung ứng phần mềm (supply chain attack) ngày càng tinh vi, việc ưu tiên tải phần mềm từ trang chủ chính thức của nhà phát triển thay vì các kho sao chép trôi nổi là nguyên tắc an toàn cơ bản.

Người dùng nên xác minh chữ ký số của các gói phần mềm khi có thể, và đặc biệt cảnh giác với những kho lưu trữ có tên gọi "nghe có vẻ chính thức" nhưng không được tác giả xác nhận.