Otevřený zdrojový kód peněženky: co to znamená a co ne

U kryptopeněženek se často setkáte s označením open source. Znamená, že zdrojový kód programu je veřejně dostupný a kdokoli ho může číst. Otevřený zdrojový kód peněženky se často prezentuje jako důkaz důvěryhodnosti. Pravda je složitější: otevřený kód vytváří možnost kontroly, ale kontrola sama od sebe neproběhne.

Co otevřený kód umožňuje

Nezávislí odborníci, výzkumníci a komunita mohou kód prozkoumat, najít chyby a upozornit na ně. Projekt, který má otevřený kód a aktivní komunitu, má větší šanci, že chyby budou odhaleny a opraveny. Uživatelé se mohou rozhodnout důvěřovat spíše ověřitelnému než neprůhlednému softwaru.

Otevřenost také umožňuje, aby projekt přežil, pokud původní autoři přestanou pracovat. Jiní ho mohou převzít nebo pokračovat v jeho vývoji. Tento princip je důležitý i pro samotné sítě, jako je Bitcoin, kde je protokol veřejně zdokumentovaný.

V praxi se otevřenost projevuje i tím, že můžete sledovat historii změn projektu, číst diskuse o opravách a vidět, kdo přispívá. Tyto informace jsou užitečným signálem o zdraví projektu, i když nejsou zárukou kvality.

Co otevřený kód nezaručuje

Skutečnost, že kód je veřejný, neznamená, že ho někdo skutečně četl. Složité projekty mohou obsahovat chyby, které zůstanou dlouho nepovšimnuty. Navíc aplikace, kterou si stáhnete, nemusí odpovídat zveřejněnému kódu, pokud ji získáte z neoficiálního zdroje nebo pokud je pozměněná.

Proto je důležité stahovat software jen z oficiálních zdrojů a tam, kde je to možné, ověřit digitální podpis nebo kontrolní součet. Některé projekty umožňují i reprodukovatelné sestavení, při kterém si můžete ověřit, že binární soubor odpovídá kódu.

Otevřený zdrojový kód také neznamená, že je projekt zdarma bez podmínek. Licence určuje, co s kódem smíte dělat, a některé projekty kombinují otevřené a uzavřené části. Před rozhodnutím si ověřte, co je skutečně otevřené.

Audity a reakce na chyby

Nezávislý bezpečnostní audit je cenný signál, pokud je zpráva zveřejněná a její zjištění byla vyřešena. Audit však zachycuje stav v určitém čase. Po úpravě kódu už platit nemusí. Zajímat by vás mělo i to, jak projekt reaguje na nahlášené zranitelnosti: zda existuje kontakt a zda se zveřejňují opravy a oznámení.

Podobné principy popisuje projekt OWASP při hodnocení bezpečnosti softwaru. Pro uživatele je důležité vnímat audit jako jeden ze vstupů, ne jako konečný důkaz.

Důležitá je i transparentnost. Dobrý projekt zveřejňuje seznam známých problémů, informuje o opravách a nepředstírá, že chyby neexistují. Naopak projekt, který na nahlášené problémy reaguje mlčením, není důvěryhodný.

Jak to využít při výběru

Podívejte se, zda je projekt aktivní, jak často vycházejí aktualizace a zda existuje dokumentace. Zjistěte, kdo za projektem stojí a jak dlouho existuje. U peněženky, o které nejsou žádné veřejné informace, je opatrnost na místě. Přehled kritérií najdete v sekci peněženky.

Žádné z těchto kritérií není samo o sobě rozhodující a jejich kombinace dává lepší obraz než kterékoli z nich. Pojmy najdete ve slovníku. Obsah není investiční radou a kryptoaktiva jsou riziková.

Uzavřený kód není automaticky špatný, vyžaduje ale větší důvěru v poskytovatele. Proto je u něj o to důležitější, aby existovaly nezávislé audity, dlouhodobá historie a jasně uvedený provozovatel.