ניהול הספרייה שמאבטחת את האינטרנט

בכל פעם שמופיע סמל המנעול בשורת הדפדפן, סביר להניח שספריית OpenSSL פועלת מאחורי הקלעים. ספריית ההצפנה הזו, המבוססת על קוד פתוח, מפעילה את החיבורים המאובטחים שמגינים על סיסמאות, מספרי כרטיסי אשראי והודעות פרטיות בזמן שהם עוברים באינטרנט. לכן, כשארגון טכנולוגי שההחלטות שלו בעלות חשיבות רבה צריך לקבל החלטות, בהירות ושקיפות אינן עניין לבחירה.

״פתוח, שקוף, ממוקד בקהילה״ הן המילים הראשונות שאנחנו שומעים מאנטון אראפוב, מנהל התפעול של OpenSSL Corporation. כשאראפוב הצטרף לארגון לפני שלוש שנים, היו בו סדרי עדיפויות מתחרים. בעוד חלק גדול מהארגון התמקד בקידום ערכי קהילת הקוד הפתוח, קבוצות מסוימות התמקדו במתן תמיכה לגופים מסחריים כמו Microsoft, Amazon ו-Cisco. ההבדל הזה יצר חוסר איזון במיקוד.

״בעבר זה היה קשה״, מסביר אראפוב. ״היה לנו שילוב של אנשים... ולשילוב הזה היו מגוון סדרי יום. חלק התמקדו יותר בקהילה, ואחרים התמקדו יותר בהיבט המסחרי. היו התנגשויות כשניסינו לענות על השאלות... מה חשוב לעשות היום ומה חשוב לעשות מחר?״

אראפוב ואחרים מצאו פתרון מבני לחיכוך הזה. פרויקט OpenSSL התארגן מחדש בשני גופים: התאגיד המטפל בפעילות המסחרית, והקרן המנהלת את העבודה הלא מסחרית. המבנה החדש סיפק פתרון, אך שאלה יסודית נותרה בעינה: איך אוספים משוב מהמערכת הרחבה של אנשים התלויים בתוכנה, אך אינם לקוחות משלמים או מפתחי ליבה?

בסיס המשתמשים האמיתי

לאורך השנים, פרויקט OpenSSL תקשר עם שתי קבוצות: לקוחות משלמים בצד המסחרי, ומפתחים שהיו בקשר דרך GitHub בצד הקוד הפתוח. אראפוב ועמיתיו שיערו שיש הרבה יותר בעלי עניין: אנשי אקדמיה החוקרים הצפנה, עסקים קטנים המסתמכים על תקשורת מאובטחת, ארגונים גדולים עם צרכים ייחודיים של יציבות ויכולת חיזוי, מערכות הפעלה ומפיצים בהמשך שרשרת ההפצה שאורזים את התוכנה. ואלה רק כמה דוגמאות.

״בשלב מסוים קיימנו דיון: איך מגיעים לשאר הקהילה? יש לנו כמה סוגים של משתמשים. יש אנשים שאינם מפתחים ואינם מכירים את הפיתוח של כלי מפתחים.״

כמנהל התפעול וכמנהל הקהילה הלא רשמי של הארגון, אראפוב הוביל את החיפוש אחר פתרון. הוא התחיל בבדיקה כיצד ארגונים אחרים ניהלו משוב קהילתי. הוא למד על פרויקטים של קוד פתוח עם בסיסי משתמשים גדולים ובחן גופי תקינה שהצליחו להגיע להסכמה בנוגע להחלטות טכניות.

״כשהתחלתי, היה לי רק רעיון בסיסי שאני צריך סוג כלשהו של פורום, שרצוי שתהיה בו אפשרות הצבעה. כמה תכונות שמועילות לניהול, כמו ניהול קהילה.״

פורומים של קוד פתוח אפשרו דיונים אך לא סיפקו כלי הצבעה של ממש. לגופי תקינה היו מנגנוני הצבעה, אבל חוויית המשתמש הייתה מתוכננת בצורה גרועה. הוא המשיך לחפש והלך והתייאש. ״הגעתי למצב שבו הרגשתי שלא אמצא שום דבר ואצטרך להסתפק במשהו שמתאים רק באופן סביר.״

ההמלצה של ChatGPT

אראפוב גיבש קריטריונים ברורים. הם נזקקו לתוכנת קוד פתוח שתהלום את ערכי פרויקט OpenSSL. הם רצו יכולת להשתתף באמצעות דוא״ל ללא צורך להיכנס לפלטפורמה, דבר שהיה חיוני למהנדסים שמבלים את זמנם בדואר הנכנס. ממשק נקי ללא רעש חזותי. יכולות הצבעה עם מעקב מסודר. אפשרות לראות את כל הסקרים במקום אחד במקום לחפש בדיונים.

״מה שהיה חשוב לי מאוד כמהנדס הוא האפשרות לענות למישהו באמצעות תוכנת הדוא״ל שלי בלבד. כלומר, אני מקבל הודעה שמשהו קרה ועונה בתוכנת הדוא״ל שלי בלי להזדקק להיכנס לפלטפורמה.״

גם העבודה עם ספקי טכנולוגיה קטנים יותר הייתה חשובה. ״הרבה יותר קל לפנות אליהם, וזה היה ברור כי הצרכים שלנו שונים כמעט מכל תוכנה שראיתי. ידענו שנצטרך כמה התאמות וכמה תכונות שלא קיימות. ככל שהספק קטן יותר, קל יותר לקיים תקשורת כזו, להסביר דברים ולראות אותם מיושמים בפועל.״

גורם נוסף היה בעל משקל רב. ״יש לנו משימה ואנחנו ארגון שקוף ופתוח מאוד. מבחינתנו היה חשוב בהחלט שיהיה פתרון שהוא גם קוד פתוח. והיינו מוכנים לתמוך כלכלית בפתרון כזה.״ מלבד ההלימה בין המילים למעשים, קוד פתוח חשוב כל כך משום שהוא מבטיח בעלות על הנתונים וזכויות שימוש בתוכנה לצמיתות.

מול מועד אחרון וללא פתרון ברור, אראפוב ניסה משהו לא שגרתי. ״הכנסתי את הכול ל-ChatGPT. ChatGPT הציג לי את Loomio כתוצאה הראשונה. מעניין שבחיפושים במקומות אחרים בכלל לא מצאתי את Loomio. אז שאלתי את עצמי, מה זה Loomio?״

הוא נרשם במהירות לתקופת ניסיון ב-loomio.com ופנה לרוב גאתרי, איש התמיכה של Loomio, מייסד שותף והמפתח הראשי. ״ראיתי את OpenSSL מגיעים לדואר הנכנס שלי וחשבתי, אלוהים אדירים״, נזכר רוב. לאחר מכן אראפוב נרשם לגרסת הפרו כדי שיוכל לבחון את התכונות לעומק.

האפשרות לאירוח עצמי הכריעה את ההחלטה. ״רציתי פתרון באירוח עצמי; עדיין חשוב לנו מאוד להיות הבעלים של הנתונים שלנו.״ עבור ארגון האחראי על תשתית הצפנה שמאבטחת את תעבורת האינטרנט העולמית, ריבונות על הנתונים אינה נתונה למשא ומתן. החששות של הקהילה הטכנית בנוגע לאבטחה ולשליטה הפכו את האירוח העצמי להכרחי.

בניית מבנה הקהילה

ההתקנה הטכנית הייתה פשוטה. צוות התשתיות של Loomio טיפל בהקמה. האתגר הקשה יותר היה לתכנן את מבנה הקהילות עצמו. ״הדבר הקשה היה לגבש את המבנה המתאים לקהילות, כי זה היה חשוב מאוד. יש לנו כל כך הרבה קהילות.״

פרויקט OpenSSL זיהה שש קהילות נפרדות: אנשי אקדמיה, עסקים גדולים, עסקים קטנים, יחידים, הפצות ובעלי הרשאת commit. לכל קהילה היו אינטרסים מסחריים ולא מסחריים גם יחד, ולכן היו בסך הכול שתים עשרה קהילות בתאגיד ובקרן.

כדי להרחיב את הקהילות האלה, הם פנו לאנשים שהכירו מהעבר: מי שניסו ליצור קשר עם פרויקט OpenSSL באמצעות רשימות תפוצה, או אנשים שהראו מעורבות לאורך השנים. ״אמרנו להם שיש לנו מקום חדש ושאנחנו מזהים אותם כחלק מהקהילה הזאת. אם זה נראה מתאים, אפשר להצטרף לקהילה. ומפה לאוזן היא התחילה לגדול.״

כדי לאפשר שינויים בכל הקהילות, הם הקימו כמה ועדות מייעצות שנבחרו על ידי הקהילה. הוועדות העלו את צורכי הקהילה וייעצו לדירקטוריונים של הקרן ושל התאגיד, תוך תרגום הצרכים האלה לסעיפים במפת הדרכים של המוצר, לשינויים בממשל ועוד.

חשיבה מחדש על מפת הדרכים של המוצר

״יש לנו קבוצת מהנדסים דעתנית מאוד שחושבת שהיא יודעת מה כולם יודעים, אוהבים ורוצים.״ יחד הם צברו רשימה ארוכה של תכונות שלדעתם המשתמשים נזקקו להן.

לאחר מכן הם החלו לשאול את חברי הקהילה הרשומים מה הם רוצים, ישירות דרך Loomio. ״הספיק להעלות שאלה למקום שבו אנשים יכולים להשתתף. המהנדסים גילו שדעת הקהילה הייתה לפעמים הפוכה לגמרי ממה שהם הניחו. הקהילה עשויה לחשוב באופן הפוך לחלוטין.״

התגלית הייתה מפכחת מספיק כדי שפרויקט OpenSSL יקבל החלטה אמיצה. ״עם אימוץ הקהילות שלנו ב-Loomio, בחנו מחדש את הרשימה הארוכה של התכונות המוצעות. אותן תכונות שחשבנו שחשוב לפתח בעתיד. החלטנו לוותר על כל רשימת התכונות הישנה ולהתחיל מאפס באמצעות שיחה ישירה עם הקהילות.״

כעת תהליך השינוי פועל בשני הכיוונים. ״המטרה היא שלקהילות תהיה השפעה על ההחלטות שלנו. יש אנשים מעבר למפתחים וללקוחות משלמים שיש להם צרכים הנוגעים לספריית OpenSSL. הם זקוקים ליכולות, לתכונות, לכל מה שהתוכנה יכולה לספק. פלטפורמת Loomio, שקראנו לה OpenSSL Communities, היא מקום שבו אפשר להעלות את הצרכים האלה, לדון בהם ולבסוף להביא אותם לבחינת נציגי פרויקט OpenSSL והדירקטוריון. אנחנו מקבלים מהקהילה משוב בזמן אמת על תכונות מוצעות לפני הפיתוח.״

הקהילות יכולות להעלות צרכים. פרויקט OpenSSL יכול להציע תכונות לפני פיתוחן. ״כשאנחנו חושבים שהגיע הזמן לפתח תכונה מסוימת, אנחנו מודיעים לקהילות שאנחנו עומדים לעשות זאת. ושנעשה זאת בדרך מסוימת. ואנחנו שמחים להקשיב ולקבל על כך משוב.״

הצבעת הנציגים

תכונה אחת שפרויקט OpenSSL נזקק לה עדיין לא הייתה קיימת ב-Loomio. בקבוצות קהילתיות המאורגנות לפי גודל, ארגון גדול עם אלפי עובדים יכול היה לגבור בקלות על כל האחרים בהצבעה. ״כשעורכים סקר קונצנזוס בין קבוצות, אנחנו רוצים לראות מה ארגונים שונים חושבים על נושא מסוים. לכן קל מאוד לארגון שיש בו אלפי עובדים לגבור בהצבעה על ארגון קטן יותר.״

הם נזקקו לכך שלכל ארגון יהיה קול אחד (ללא קשר למספר העובדים שהשתתפו). הפתרון: לקבוע נציג אחד לכל ארגון. ״לכן כשאנחנו עורכים סקר בקבוצות שלנו שבו אנחנו מגבילים את ההשתתפות לאדם אחד מחברה או לקול אחד מהחברה, אנחנו יוצרים סקר לנציגים בלבד. וכך אנחנו מקבלים תוצאות מייצגות מסקרים שבהם לכל חברה יש קול אחד בלבד.״

רוב בנה את מערכת הנציגים במיוחד לצורכי פרויקט OpenSSL. התכונה החדשה התגלתה כחיונית בבחירות לוועדות המייעצות. ״במיוחד בקהילת העסקים הגדולים, היו לנו בחירות שנויות מאוד במחלוקת שבהן שישה אנשים התמודדו על מושב אחד. היה ברור שחברה גדולה יכולה לגבור בהצבעה על כל מועמד אחר כדי לקדם את המועמד שלה.״ עם נציגים וקול אחד לכל חברה, היתרון הזה נעלם.

המערכת משמשת גם ארגונים כמו מוסדות אקדמיים. באוניברסיטאות שונות משתתפים כמה אנשים, אבל בהחלטות מסוימות פרויקט OpenSSL מאפשר קול אחד בלבד לכל מוסד.

יצירת זיכרון ארגוני

בפרויקט בן 26 שנים, ההקשר ההיסטורי חשוב. ״ספריית OpenSSL היא פרויקט ותיק מאוד. ובעבר נהגנו לקבל הרבה החלטות מאחורי דלתיים סגורות. ההחלטות שלנו הותירו אנשים רבים מתוסכלים.״

אנשים שאלו מדוע פרויקט OpenSSL בחר בדרכים מסוימות. ״לפעמים אנחנו מקבלים שאלה כמו, למה קיבלתם החלטה בדרך הזאת ולא בדרך אחרת? לא תמיד יכולנו להצביע על תיעוד כלשהו מהעבר שמסביר מדוע התקבלה ההחלטה.״

Loomio יוצרת את התיעוד הזה. ״Loomio חשובה לנו מאוד, לא רק מבחינת המשוב שאנחנו רוצים לאסוף, אלא גם מבחינת הארכיון.״ עכשיו אפשר להצביע על הדיון המדויק שבו התקבלה החלטה ולהבין מדוע התקבלה.

השקיפות משרתת מטרה נוספת. רבים עדיין מטילים ספק בכך שלמשוב הקהילה יש השפעה של ממש. ״אנחנו עדיין מתמודדים עם אנשים שלא מאמינים שזה עובד. אחד הדברים שאני משתדל לעשות ככל האפשר הוא לתת להם דוגמאות שמראות שהתהליך עובד. משתמשים לא מאמינים שהם יכולים לשנות משהו. באמצעות השינויים הקטנים האלה, שמראים את יכולת המשתמשים להשפיע על החלטה, אנחנו יכולים להראות שזה באמת עובד.״

הוא הבחין במעגל חיובי. ״השתתפות יוצרת עוד השתתפות.״ ככל שהם מציעים יותר תוכן והקשר, כך מצטרפים יותר חברי קהילה. ככל שקבלת ההחלטות שלהם גלויה יותר, כך קל יותר להוכיח שהרעיון עובד.

בפרויקט אבטחה שבו אמון ופרטיות הם יסודות מרכזיים כל כך, ממשל שקוף של הפרויקט חיוני למשימתם. ״אנחנו עובדים על הצפנה וחייבים לזכות באמון. כדי לזכות באמון, הדרך היחידה, או אחת הדרכים העיקריות, היא להיות פתוחים.״

אנחנו עובדים על הצפנה וחייבים לזכות באמון. כדי לזכות באמון, הדרך היחידה, או אחת הדרכים העיקריות, היא להיות פתוחים.

הקשר פנים אל פנים

באוקטובר 2025 אירחה OpenSSL Corporation כנס בפראג. הכנס תוכנן במחשבה רבה. ״החלטנו לערוך את הכנס כך שהוא לא יהיה כנס מכירות ולא ייועד רק למהנדסים.״

אראפוב הזמין את רוב להשתתף ולהציג את Loomio. ״מבחינתנו, מבחינת פרויקט OpenSSL בכנס, מלבד יצירת קשר עם הקהילה והצוות, היה חשוב מאוד לדבר עם הציבור על מה שעשינו אחרת, על מה שחידשנו. אתר קהילת OpenSSL, המבוסס על תוכנת Loomio, היה חשוב מאוד. לכן נוכחות של מישהו מ-Loomio הייתה עזרה עצומה.״

הנוכחות של רוב סייעה בדרכים משמעותיות. ״היו אנשים שהיו ספקנים. הם לא הבינו את ההחלטה להשתמש ב-Loomio. היה טוב מאוד שאפשר היה לדבר איתם ולהסביר יותר על הרקע ועל הכוונות מאחורי הטמעת Loomio.״

הכנס חשף משהו עמוק יותר על בניית קהילה. ״מפגש פנים אל פנים עושה הבדל עצום״, משתף אראפוב.

״הייתי שמח לראות חלק מהאנשים שהגיעו לכנס, או את כולם, בקהילות OpenSSL, כי למי שהגיעו באמת אכפת, ועם מי שאכפת להם... אנחנו צריכים להישאר בקשר... הם הגיעו לכנס כי רצו ליצור קשר באופן אישי.״

קשרים שנוצרו ברשת באמצעות דיונים ב-Loomio התרחבו אל העולם הפיזי של הכנס. מעבר לכך, ההשתתפות המקוונת המשיכה לפרוח כאשר השיחות החודשיות של קהילת העסקים הגדולים ב-OpenSSL יצרו יותר הזדמנויות לתיאום ולפעולה. ״היה מדהים לראות בשיחה אחת מהנדסים, לקוחות ומנהלים מחברות כמו Amazon, Microsoft, Hewlett-Packard, Cisco ו-Juniper. אין להם הזדמנות אחרת להיות יחד.״ תפקידו של פרויקט OpenSSL בכינוס האנשים האלה יוצר הבדל משמעותי ומגביר את ההשתתפות, הן ברשת והן במפגשים פנים אל פנים.

עצות לפרויקטים של קוד פתוח

כשנשאל איזו עצה היה מציע לארגוני קוד פתוח אחרים, אראפוב מתייחס ישירות לנקודת עיוורון נפוצה. ״חשוב מאוד שקהילת המפתחים לא תהיה הקהילה היחידה בפרויקט קוד פתוח. זו בעיה של פרויקטים רבים של קוד פתוח, כי בדרך כלל המפתחים עצמם הם שיוזמים את הקהילה ואכפת להם מאוד מהפרויקטים האלה.״

״הם עשויים לחשוב שיש להם קהילה תוססת, אבל לרוב אלה מפתחים אחרים שמשתמשים בתוכנה שלהם. לעומת זאת, לעיתים קרובות יש קבוצה גדולה בהרבה של משתמשים.״

חשוב למצוא את המשתמשים האחרים האלה.

״אינטראקציה בין מפתחים חשובה. אבל האתגר הגדול יותר הוא למצוא דרכים להגיע אל מעבר לתחום הפיתוח ולהתחבר למשתמשים, לדרישות תאימות, למציאות של ארגונים גדולים ולמערכת הרחבה יותר.״

עבור פרויקט OpenSSL, Loomio הפכה לגשר הזה. היא הייתה דרך ליצור קהילה ולבנות שיחות בין משתמשים בעלי צרכים שונים לחלוטין. ״היה לנו קצת ניסיון. למשל, ידענו שלעסקים גדולים ולעסקים קטנים יש צרכים שונים מאוד. עסקים קטנים הם זריזים ולעיתים קרובות משתמשים בכלים חדשים, בדברים חדשים; הם יכולים להחליף ולשנות לעיתים קרובות. ארגונים גדולים מציבים עקביות ויכולת חיזוי במקום הראשון, וכל השאר פחות חשוב.״

הבנת הבדלים כאלה משפיעה ישירות על עיצובה של ספריית OpenSSL. היה חיוני להזמין ולשלב מגוון נקודות מבט מהקהילה כדי שהפיתוח ישקף צרכים אמיתיים.

מבט קדימה

הממשל של פרויקט OpenSSL נותר מינימלי במכוון. ״אנחנו לא ארגון גדול, ולכן התקורה בתהליכי קבלת ההחלטות שלנו מינימלית.״ נכון לעכשיו, קבלת ההחלטות ברמת ההנהגה פשוטה.

אראפוב מצפה שהמצב ישתנה. ״אנחנו בהחלט שוקלים להרחיב את השימוש שלנו ב-Loomio לקבלת החלטות, מבחינת מעקב ותיעוד. אנחנו גם חושבים שזה יהיה חשוב יותר בעתיד, כשיהיו יותר מושבים בדירקטוריון, ולכן יותר אנשים בדיון ויותר דעות לאסוף.״

הפלטפורמה שהחלה ככלי למעורבות קהילתית עשויה להתפתח גם למערכת הממשל הפנימית שלהם. לעת עתה, היא משרתת מטרה מרכזית: יצירת ערוצים לקהילות שאליהן לא הגיעו בעבר. פרויקט OpenSSL מעניק לקהילות האלה קול של ממש בעיצוב כלי האבטחה והפרטיות שמאבטחים את תעבורת האינטרנט העולמית.

עבור פרויקט אבטחה המתקרב לעשור השלישי שלו, מתן עדיפות לאמון ולמערכות יחסים באמצעות קבלת החלטות פתוחה הוא הבסיס שעליו נשען כל השאר.

תגיות: קהילה סיפורי לקוחות