Euro-Office wciąż korzysta z rosyjskiego kodu i może być podatne na rosyjskie modyfikacje

Europa od miesięcy szuka sposobu na uniezależnienie się od amerykańskich gigantów technologicznych. W tym wyścigu szczególne miejsce zajmuje Euro-Office – pakiet biurowy promowany jako europejska odpowiedź na Microsoft Office i Dokumenty Google. Projekt miał stać się symbolem cyfrowej niezależności Starego Kontynentu. Tymczasem najnowsza analiza kodu źródłowego wywołała burzliwą dyskusję o bezpieczeństwie i rzeczywistym pochodzeniu technologii, na której opiera się nowe rozwiązanie.

Nie od dziś wiadomo, że Euro-Office nadal bazuje niemal w całości na kodzie rozwijanym wcześniej przez OnlyOffice – projekcie od lat budzącym kontrowersje ze względu na swoje związki z Rosją. Sprawa nabiera szczególnego znaczenia w momencie, gdy europejskie instytucje coraz częściej mówią o konieczności budowania własnej infrastruktury cyfrowej.

Europejski projekt z rosyjskim rodowodem

Euro-Office został zaprezentowany jako rozwidlenie, czyli tzw. fork popularnego pakietu OnlyOffice. Twórcy projektu przekonywali, że celem było stworzenie bardziej przejrzystej, otwartej i rozwijanej przez europejską społeczność alternatywy.

Analiza pokazuje jednak, że zdecydowana większość kodu wykorzystywanego przez Euro-Office pochodzi z wcześniejszych prac związanych z OnlyOffice. Badacze przeanalizowali tysiące zmian zapisanych w repozytoriach projektu i doszli do wniosku, że około 99 proc. komponentów odpowiadających za działanie silnika dokumentów oraz usług współpracy online ma swoje źródła w kodzie tworzonym przez programistów pracujących w rosyjskich strefach czasowych.

Choć dane stref czasowych nie pozwalają jednoznacznie określić narodowości programistów, stanowią ważny trop pokazujący, gdzie mogła odbywać się większość prac rozwojowych.

Euro-Office nadal pobiera fragmenty kodu OnlyOffice

Największy problem budzi fakt, że po formalnym rozdzieleniu obu projektów Euro-Office miał nadal integrować wybrane aktualizacje pochodzące z OnlyOffice. Według analizy dotyczyło to przede wszystkim elementów odpowiedzialnych za współpracę online przy dokumentach, arkuszach kalkulacyjnych i prezentacjach. Programiści związani z projektem Euro-Office zaimportowali setki zmian opracowanych po rozdzieleniu obu platform. To właśnie ten element wzbudził pytania o stopień faktycznej niezależności projektu.

Eksperci zwracają uwagę, że budowanie nowego pakietu biurowego od podstaw wymagałoby ogromnych nakładów finansowych i wielu lat pracy. W praktyce większość nowych projektów open source rozwija się właśnie poprzez modyfikowanie istniejącego kodu. Problem pojawia się wtedy, gdy rozwiązanie reklamowane jako całkowicie niezależne nadal korzysta z dużej części wcześniejszej infrastruktury technologicznej.

Nextcloud odpowiada na zarzuty

Do sprawy odniosła się firma Nextcloud, jeden z głównych uczestników projektu Euro-Office. Przedstawiciele przedsiębiorstwa przyznali, że baza kodu OnlyOffice rzeczywiście powstała głównie w Rosji, jednak właśnie dlatego zdecydowano się na rozwidlenie projektu. Według Nextcloud trwa proces szczegółowej analizy i oczyszczania kodu źródłowego. Firma przekonuje, że wraz z rozwojem społeczności open source coraz więcej niezależnych programistów będzie mogło przeglądać kod i zgłaszać ewentualne problemy.

Twórcy Euro-Office argumentują również, że przejrzystość procesu rozwoju stanowi najlepszą metodę wykrywania błędów i potencjalnych zagrożeń.

OnlyOffice odpiera krytykę

Odmienne stanowisko prezentuje OnlyOffice. Firma podkreśla, że działa poprzez przedsiębiorstwo zarejestrowane na Łotwie i przestrzega przepisów obowiązujących w Unii Europejskiej. Przedstawiciele spółki zwracają uwagę, że współczesne projekty technologiczne rozwijane są przez międzynarodowe zespoły rozsiane po całym świecie. Ich zdaniem ocenianie oprogramowania przez pryzmat lokalizacji programistów prowadzi do błędnych wniosków i odwraca uwagę od rzeczywistych parametrów produktu, takich jak jakość, bezpieczeństwo czy zgodność z regulacjami.

To jednak nie wszystko, bo firma stojąca za OnlyOffice od miesięcy zarzuca twórcom Euro-Office naruszenie zasad licencji AGPLv3. Według przedstawicieli OnlyOffice, każdy projekt oparty na ich kodzie musi spełniać wszystkie warunki licencyjne, w tym dodatkowe zapisy dotyczące dystrybucji i modyfikacji. W ich ocenie nowe oprogramowanie nie respektuje tych zasad.