Wederwaardigheden van Open Source

Op 28-10-10 schreef ik een posting 'setbacks voor open source' naar aanleiding van het terugdraaien van open source keuzen door de Duitse overheid. Bij deze nog eens een opsomming van gebeurtenissen. Er blijven tegengestelde bewegingen optreden.

In 2006 werd in de Nederlandse Tweede Kamer de motie Vendrik aangenomen. Open Source moest van overheidswege gestimuleerd worden. Daartoe werd het project OSOSS opgestart, later opgevolgd door het programma NoiV. Ook in andere landen zijn van overheidswege initiatieven geweest om open source te promoten. In Amerika wordt het gezien als een middel voor federale en lagere overheden om hun ICT-kosten te verlagen. In Duitsland en Frankrijk zijn grote overheidsdiensten overgegaan op open software. En in Engeland wordt het door de Tories gezien als het wondermiddel om een open, voor de burger gemakkelijk toegankelijke overheid te bouwen.

Aanleiding voor deze posting is het rapport van de Algemene Rekenkamer over Open Source. In maart 2011 heeft de Rekenkamer aan de minister gerapporteerd, dat het overgaan op open source maar een minimale kostenbesparing zal opleveren. Wellicht is dat ook de reden, dat het programma NoiV na de zomer 2011 zal stoppen. Voorstanders van open source wijzen erop, dat de focus op (licentie)kosten een veel te beperkte insteek is geweest van de Rekenkamer.

Rolf Zaal betoogt in Automatiseringsgids van maart 2011, dat er een politieke denkfout wordt gemaakt. De politiek denkt bij Open Source aan 'lekker gratis' en de Rekenkamer 'sukkelt daar kritiekloos in mee'. En berekent dat licentiekosten maar 4% van de totale ICT-kosten van het Rijk vertegenwoordigen. Volgens Zaal zit het voordeel van Open Source er vooral in, dat je als gebruiker zelf de verdere koers van de software kunt medebepalen. Je krijgt meer businessfit en komt nooit in een vendor lock-in. Zelf zie ik dat vendors als Microsoft alleen meebewegen als het moet (bijvoorbeeld wanneer ze druk van open software voelen, zoals bij Open Office). En anders is het toch hun eigen winstdoelstelling, die bepaalt welke aanpassingen in software wel of niet gedaan zullen worden. Je ziet aan Windows en Office, dat Microsoft steeds betere produkten levert, maar je moet je inderdaad afvragen, of dat verder gaat, zodra de druk van concurrentie (zoals open source software) wegvalt.

Het lijkt erop, dat open source een nicheprodukt wordt. Voor de liefhebbers en principiëlen. Dat geldt althans voor operating systems en voor officeprodukten. Voor sommige produkten, zoals de browser Firefox en serversoftware zoals Apache, heeft open software juist een sterke positie veroverd. Soms lijkt het, dat instellingen Microsoftplatformen kiezen uit gemakzucht of door handig manoevreren van Microsoft. (Denk bijvoorbeeld aan het feit, dat het Duitse ministerie van Buitenlandse Zaken van open platformen terugconverteert naar Windows. ) Anderzijds worden de produkten van Microsoft steeds beter, zoals ik zelf ervoer met het verkrijgen van Windows 7. Daarom ben ik afgestapt van Linux Ubuntu in mei 2011 toen ik een nieuwe laptop kreeg. Om nu, in november 2012, Ubuntu weer te installeren, omdat Windows na een hersteloperatie helemaal is vastgelopen.

Ben benieuwd, hoe die strijd zich ontwikkelt op de markt van smartphones en tablets. Apple is natuurlijk een fenomenale vernieuwer, maar wel ontzettend van de proprietary software. Apple standaarden worden bijvoorbeeld keihard vastgehouden, zodat Apple via zijn Appstores enorm kan verdienen aan de verkoop van apps. De open standaarden van Android winnen echter snel terrein. Ik houd het erop, dat Apple net als Microsoft bij de pc's zal moeten inbinden. Hoewel het daar nu, november 2012, helemaal nog niet op lijkt. Het begint erop te lijken, dat 'open' en 'proprietary' voorlopig naast elkaar zullen blijven bestaan. Elke optie kan in bepaalde omstandigheden de voorkeur verdienen.

Verrassende inzichten in computerbeveiliging

Onlangs schreef ik over het Open Overheids Congres op 31 mei 2012. Eén van de inleidende sprekers was Bart Jacobs, hoogleraar Computerbeveiliging aan de Radboud Universiteit. Zijn verhaal vond ik de moeite waard om een aparte posting aan te wijden.

De titel van zijn spreekbeurt was 'open standaarden en security'. Daar kan namelijk een frictie in ervaren worden. Sommigen maken volgens hem ten onrechte het punt, dat security minder sterk is, als hij open is, dat wil zeggen, als er veel informatie bekend is over de aard van de beveiliging.

Hij poneert twee stellingen:

=Het openlijk publiceren van designs en protocollen draagt bij aan de veiligheid van de beschermde systemen.

=No security through obscurity.

Vervolgens illustreert hij dat met “security through obscurity” blunders. Die van de Nederlandse OV-chip was mij bekend. Studenten van de Radboud toonden aan, dat je de OV-chip kon manipuleren om gratis te reizen. De gebruikte chip is een oud ontwerp uit de jaren negentig (Mifare Classic chip), die volgens Jacobs vol zit met cryptografische stupiditeiten. Ik kan mij herinneren, hoe de verantwoordelijke OV-instanties in het NOS-journaal bleven draaien om te vertellen, dat de OV-kaart betrouwbaar was en zelfs de krakers in de verdachte hoek zetten. Maar dit lijkt me duidelijk weer een voorbeeld van ethisch hacken. De krakers tonen zwaktes aan om de maatschappij daardoor beter te maken. Als ik google op Mifare-chips, dan blijken er toch ruim een miljard te worden gebruikt. Ze worden toegepast voor RFID tags (radiofrequency identification), waarmee je bijvoorbeeld containers op afstand kunt identificeren. Wellicht is het niet handig geweest om die chip ook te kiezen voor toepassingen, waarvan misbruik profijtelijk is, zoals OV-pas en toegangspassen. Er zijn dus aanvullende beveilingsmaatregelen nodig; ik ben er benieuwd naar welke maatregelen dat dan moeten zijn. Als ander voorbeeld noemt hij GSM. Dat is in het geheim ontwikkeld, maar na uitlekken van algorithmen bleek GSM gemakkelijk af te luisteren. Hij vertelt, dat de opvolger UMTS wél gebaseerd is op open protocollen en standaarden.

Hij introduceert het voor mij onbekende attribuut-georienteerde authenticatie en authorisatie. Voorbeeld: Je moet je ID laten zien om sterke drank te kopen, terwijl alleen de leeftijdscheck daar van belang is. Hij constateert, dat vaak identiteiten worden gebruikt ipv attributen. Dat bedreigt de privacy en gaat in tegen het minimale data vereiste. Andere toepasbare attributen zijn bijvoorbeeld geslacht, beroep, student en postcode. In het project IRMA (I Reveal My Attributes) wordt gewerkt aan een kaart waarop attributen worden opgeslagen. Issuers kunnen attributen aan de kaart toevoegen.

Argumenten voor open systemen:

Snelle detectie en herstel van bugs. Programmeurs produceren betere code als iedereen kan meekijken. Minder risico op backdoors. Meer flexibiliteit: partiële installaties zoals afgeslankte versies; onafhankelijkheid leveranciers voor patches; iedereen kan kwaliteit controleren.

Tegen gesloten: vals gevoel van veiligheid; assumptie is dat het verborgene een goed produkt is gefalsificeerd; source lekt toch uit; het verborgene geeft geen gevoel van vertrouwen.

Voor de volledigheid nog even de definitie van 'open' volgens het College Standaardisatie: Hij vindt dat een cryptografische standaard pas wordt geaccepteerd na een competitie. De organisator is de NIST. (National Institute for Standardisation and Technologies) Voorbeelden zijn AES en SHA-3.

Goed optreden van een academicus met objectieve, diepgaande inzichten over computerbeveiliging.

Open Overheid Congres

In 2011 stopte het programma Nederland Open in Verbinding (NOiV), het laatste initiatief van een serie die in 2006 begon naar aanleiding van de Tweede Kamer motie Vendrik om open source software vanuit de overheid te gaan promoten. Maar NoiV had wel een traditie opgebouwd van jaarlijks terugkerende voorjaarsconferenties. Die voorjaarsconferentie is nu overgenomen door ECP in samenwerking met een paar andere sponsors. Wel handig van ECP (electronic commerce platform) want volgens mij leiden die een zieltogend bestaan zonder aansprekende manifestaties; en ze moeten toch ergens hun budgetten spenderen. Maar nu dus het Open Overheid Congres, met absoluut interessante sprekers en weer een grote opkomst. Toch wel een paar honderd man in het congresgebouw van de Utrechtse jaarbeurs, op 31 mei 2012.

De directeur van KING (coördineert e-overheidsprojecten voor de Nederlandse gemeenten) pleit als spreker uiteraard voor samenwerking tussen gemeenten. Zelf het wiel uitvinden is dom. Hij maakt een goede opmerking: Je moet als gemeente niet je eigen identiteit willen uitstralen door je eigen IT te bouwen, maar door je eigen maatbehandeling van je burgers. En gebruik daarvoor dan IT-hulpmiddelen die alle gemeenten gezamenlijk aanschaffen.

Voor de workshops heb ik gekozen voor de track 'grensverleggend'. Nederland is een handelsnatie en kan zijn positie versterken door de transactiekosten te verlagen. In de transactieketens sluiten de geautomatiseerde systemen niet altijd op elkaar aan. Verschillende sprekers geven daarin inzicht. Yao-Hua Tan, hoogleraar ICT aan de TU Delft, spreekt over Interoperabiliteit en Standaarden voor Internationale Handel.

Nu is het bekend, dat er internationaal al jarenlang wordt gesproken over standaard-interfaces. Edifact, voor manufacturing, voor accounting etc. Maar het verrassende in het verhaal van Tan vond ik, dat er veel Business Process Redesign inzit. Ik herinner me in de jaren tachtig de oproep van Hammer & Champy: “Don't automate, obliterate”. Dus niet de oude situatie klakkeloos van papieren processen overzetten naar digitale processen. Maak van de gelegenheid gebruik om onnodige processtappen te elimineren. Dan boek je pas echt grote winst. Hij noemt een voorbeeld van handelstransacties met China betreffende plantenuitvoer. Je kunt automatiseren door allerlei klassieke vrachtbrieven, schimmelcertificaten etc naar digitale formulieren om te zetten. Maar die papieren zijn vroeger alleen ingevoerd omdat de handelspartners voor verzending en na ontvangst van de goederen allerlei gegevens omtrent de goederen moesten bevestigen en controleren. De papieren bewijzen maakten dat mogelijk. Maar, zegt Tan, je kunt beter faciliteren, dat de handelspartners via de cloud rechtstreeks in elkaars bestanden kunnen kijken. En dat is pas innovatie! Het garanderen van echtheid en kwaliteit gebeurt dan niet door het achteraf nalopen van de papieren, maar moet aan de bron gebeuren door verificatie van de bronnen. Er zullen afspraken moeten zijn over de activiteiten van EDP-auditors. Afspraken die wereldwijd worden gemaakt en nageleefd. De spreker wordt gevraagd, of Nederland in deze internationale overlegverbanden wel een rol kan spelen. Hij antwoordt, dat het zelfs zo is, dat andere landen zoals Duitsland en Frankrijk dit graag aan Nederland overlaten. Zelf zijn ze met hun ambtelijke structuren niet in staat om over zulke vergaande verandering mee te praten. Blijkbaar kan Nederland daar toch een pioniersrol vervullen. Hetgeen ook winst oplevert voor ons internationale bedrijfsleven. Het forum Standaardisatie verstrekt daarvoor een handreiking (www.forumstandaardisatie.nl/themas/internationale-ontwikkelingen/).

Al jaren volg ik de programma's, die vanuit de overheid verdere automatisering en standaardisering stimuleren. En over een lange reeks van jaren zie je weldegelijk hoe het vooruit gaat. Blijven doen dus. De druppel holt de steen... De aanhouder wint...

Schuldenproblematiek bij softwareontwikkeling

Het vroegere Cibit gaat na een management buy-out nu door het leven als Inspearit. Zij profileren zich nog altijd als deskundigen als het gaat om beoordelen van softwareontwikkeling en softwarekwaliteit. Op 19 juni 2012 organiseerden zij een seminar over Technical Debt.

Amerikaanse onderzoekers hebben de term Technical Debt ingevoerd, om aan te geven, dat je bij de ontwikkeling van software gebreken kunt inbouwen, die je later gaan opbreken cq geld gaan kosten. De parallel met de schuldenproblematiek van landen vond ik zeer intrigerend.

De belangrijkste spreker was een vrouwelijke onderzoeker van het Software Engineering Institute van Carnegy Mellon University in Pittsburgh: Ipek Ozkaya. Zij werkt in de vakgroep Architecture Centered Engineering. Zij licht achtergronden van Technical Debt toe. De term is bedacht door Steve McConnell. Hij onderscheidt twee typen van deze schuld. De eerste is onbedoeld en wordt veroorzaakt doordat een systeem wordt opgeleverd met foute specs en met fouten in de programmatuur. Ozkaya gaat daar verder niet op in, want kwaliteitssystemen en testen vindt ze vanzelfsprekend. Om de analogie met 'schuld' uit te werken: Als je schulden maakt, moet je rente betalen. Als je een onvolkomen systeem invoert, zul je in de loop der tijd kosten maken voor allerlei correctief onderhoud. Deze kosten kun je zien als de rente, die je betaalt over de aangegane schuld.

Het tweede type schuld is interessant. Je kunt namelijk bewust een onvolkomen systeem invoeren. Bijvoorbeeld om je time-to-market te verkorten. Bewust neem je dan als consequentie, dat je na enige tijd het 'quick and dirty'-systeem overnieuw moet bouwen, of dat je fiks correctief onderhoud zult moeten plegen. Dit is dus een strategische keuze, die verantwoord is, als je door de kortere time-to-market extra inkomen genereert, dat ruimschoots de betaalde rente overtreft.

Harm Spoor van Inspearit introduceert een kwadrant met IT Alignment langs de verticale as en IT Effectiveness langs de horizontale as. Ik interpreteer IT Effectiveness daarbij als een goed geleide IT-organisatie die de operaties foutloos laat draaien en die storingen bliksemssnel signaleert en oplost. De klassieke uitdaging is weer om van linksonder (Maintenance Zone) te komen in het kwadrant rechsboven ( IT enabled growth). Ga je via linksboven (alignment trap) of via rechtsonder (well-oiled IT)? Het eerste pad wordt meestal gekozen vanwege martkdruk en de noodzaak tot snelle aanpassing. Maar hier loopt men risico om technical debt op te lopen. Iedereen kent wel de situatie, dat snel een pakket moet worden ingevoerd om een produkt te kunnen introduceren. Het tweede pad (eerst de IT geheel op orde brengen) is de koninklijke weg en die duurt natuurlijk weer te lang. Volgens Spoor wordt vaak een duale aanpak gekozen. Waarschijnlijk dan de quick-and-dirty route voor strategische innovaties en de meer solide route voor de ondersteunende, meer intern gerichte systemen.

Ipek Ozkaya waarschuwt, dat ook de koninklijke weg gevaren kent. Bijvoorbeeld het gevaar van over-architecting. Ik kan mij dat helemaal voorstellen. De intern gerichte mensen, die steeds maar hun plaatjes blijven verfijnen en niet de sense of urgency voelen voor wat er in de markt gebeurt.

Zij besluit met drie strategiën voor de aanpak van technical debt:

1. Do nothing. Things will get worse.

2. Replace. High cost and high risk.

3. Incremental refactoring. Commitment to invest.

Alle drie de opties (ook de eerste!) kunnen geboden zijn. De beslissing vereist een goed inzicht in de interne en externe situatie van het bedrijf.