Gran parte de la infraestructura digital moderna depende de software abandonado o mantenido por personas individuales, creando una fragilidad donde empresas multimillonarias basan sus servicios en piezas de código invisibles que pueden fallar por falta de financiación o mantenimiento humano.

El otro día recordé con David Sierra de Cruce de cables (RNE) el problema del software abandonado del que dependen muchísimos proyectos de todos los tamaños, muchas veces aunque la gente no sepa ni que está ahí. Puede escucharse aquí:

• El software abandonado que sostiene el mundo [en 19:00].

Y qué mejor forma de visualizar el problema que la archifamosa viñeta de XKCD que más de una vez hemos mencionado por aquí:

El caso es que una parte importante de Internet y del software moderno se basa en pequeñas piezas de código mantenidas por una o dos personas desde su casa. Es una situación que se hace rara, porque solemos imaginar enormes equipos de ingenieros y empresas multimillonarias tras estos proyectos. Pero por debajo hay una especie de «fontanería digital» llena de piezas invisibles que casi nadie ve… hasta que algo falla.

Las aplicaciones modernas son una especie de muñecas rusas tecnológicas. Los programas utilizan estas librerías y funciones como parte de su día a día. Pero a veces esa librería utiliza otras diez, y esas diez usan otras veinte más. Así que es perfectamente normal que una aplicación moderna y compleja dependa de cientos o miles de componentes distintos. Y entre ellas puede haber una pequeña pieza de software escrita hace diez años por una sola persona en su tiempo libre (y que quizá viva en Nebraska, como en la viñeta).

¿Cómo puede una sola persona acabar sosteniendo media industria?

Muchas veces esos proyectos surgen como herramientas personales: alguien que necesita resolver un problema, publica el código y otras personas que luego empiezan a reutilizarlo. Si resulta ser bueno, las empresas lo incorporan a sus productos y, sin que nadie lo haya planificado, termina ejecutándose en miles o millones de dispositivos. ¿Qué podría salir mal?

En ocasiones la gente se cansa del proyecto y lo abandona por cualquiera entre mil razones (por ej. por discutir con otras personas implicadas en el tema). O, como personas que son, tienen problemas, a veces situaciones médicas complicadas o directamente se mueren. Por pensar en algo menos trágico pero más humano, están quienes se equivocan e introducen algún bug en un software del que mucha gente depende, haciendo que de repente se vaya todo a la porra.

Uno de los casos más famosos fue OpenSSL. Es una librería relacionada con las conexiones seguras en Internet: páginas web, correos y comunicaciones cifradas (lo que está detrás del «candadito» en el navegador). En 2014 surgió un fallo llamado Heartbleed y el susto fue enorme, apocalíptico hasta que se corrigió… Pero lo que más llamó la atención fue descubrir que OpenSSL, que era parte de la infraestructura crítica para media Internet, estaba mantenida por un equipo sorprendentemente pequeño.

Otro ejemplo se convirtió prácticamente en un meme tecnológico: left-pad. Su función era algo tan tonto como «añadir espacios delante de un texto». Nada más. Un día su autor eliminó el paquete y miles de proyectos dejaron de funcionar correctamente. Empresas de todos los tamaños acabaron descubriendo que dependían indirectamente de unas pocas líneas de código escritas por una sola persona… y encima para hacer algo relativamente sencillo.

También está el caso de curl, menos conocido para el público general pero omnipresente. Se usa para transferir datos entre sistemas y está integrado en Linux, Windows, routers, televisores, coches y una cantidad enorme de dispositivos y aplicaciones. Es una de esas herramientas silenciosas que nadie ve, pero que están prácticamente en todas partes. Aunque está bien mantenido por un grupo pequeño el problema es la gran dependencia de esa única pieza para toda la industria del software. Un fallo en 2023 desveló que todas las versiones desde 2020 tenían un fallo (!!) Luego se corrigió, pero se volvió a demostrar esa gran dependencia invisible para muchos usuarios que no creían depender de algo así.

Entonces… ¿el problema es ese software?

Curiosamente, no suele serlo. El software muchas veces funciona perfectamente durante años y años. El problema es más humano: los proyectos pueden quedarse sin financiación, sin que haya tiempo para ellos o sin personas que los mantengan. Ahí aparece una paradoja cuando menos, curiosa: empresas valoradas en miles de millones que, a veces sin saberlo, dependen de proyectos que quizá mantiene una única persona en sus ratos libres después de cenar. Algunas son consciente de ellos y donan dinero para garantizar la continuidad de esos proyectos casi anónimos, o apoyan a fundaciones que se encargan de ello. Pero, la mayor parte, diría que no tienen ni idea de quién dependen. Cualquier día acaban visitando una cabaña en Nebraska buscando a un tipo…