KözKód

Bevezető

Az állami szoftver-fejlesztés jelenlegi modelljei — akár a szállító, akár az állam tulajdonolja a forráskódot — jellemzően valamilyen fejlesztői kapacitásfüggőséget hoznak létre. Ez nem egyedi magyar jelenség és nem feltétlenül rossz szándék eredménye; a piac egyszerűen eddig nem kínált más megközelítést.

Az egyik modellben a fejlesztés külső szállítótól érkezik, zárt forráskóddal, fix licencfeltételekkel. A karbantartás és a hibajavítás szintén a szállítóhoz kötött — az árazás nehezen ellenőrizhető, a kódba nem lehet belátni. Ha a szállító árat emel, kilép a piacról, vagy megszűnik, az intézménynek kevés mozgástere marad. Ez az ismert vendor lock-in.

A másik modellben az állam tulajdonolja a forráskódot — de a fejlesztői kapacitás akkor is korlátozott és drága. Ha az eredeti fejlesztő marad, a kapacitásfüggőség fennáll, más formában. Ha váltanak, betanulási idő, elveszett intézményi tudás és kontextus-veszteség keletkezik. Mindkét esetben az állami szervezet viseli a költséget.

Közben Magyarországon több tízezer képzett fejlesztő, tesztelő, UX-tervező, kiberbiztonsági szakember dolgozik, akiknek a tudása eddig kihasználatlan maradt az állami digitális infrastruktúra fejlesztésében. Holott a kód egy részénél erre biztonsági feltétel is teljesíthető: ügyfélszolgálati portálok frontendkódja, belső adminisztratív eszközök, dokumentációs felületek — ezeknél a szakmai közösség bevonása a biztonságot erősíti. A „many eyes" elv alapján ezek éppen megbízhatóbbak lennének, ha a szakmai közösség auditálhatja őket.

Ez az a pont, ahol a KözKód alternatívát kínál — és ahol a megvalósítás elkezdődött.

Kétirányú platform — azonosított közösséggel

A KözKód két egymást kiegészítő irányban működik, és mindkettőhöz ugyanaz az azonosított közösség járul hozzá.

A közösségi irány különösen ott hatékony, ahol ma kereskedelmi dobozos szoftvereket használnak az intézmények — olyan általános adminisztratív eszközöket, amelyek biztonsági besorolása alap szintű, és amelyeket a szakmai közösség meg tud építeni. Ezek az eszközök a platformon fejlesztve, nyílt licenc alatt állnak elő, és bármely állami szerv telepítheti őket a saját infrastruktúrájára — a KözKód kizárólag a telepítő csomagot biztosítja, az üzemeltetés minden esetben az intézmény saját szerverein történik.

Mindkét irányhoz ugyanaz az azonosítási alap tartozik. Minden hozzájáruló valódi névvel, valódi felelősséggel vesz részt — a belépés felhasználónévvel, jelszóval és kötelező kétlépéses azonosítással (TOTP 2FA) történik a platform.kozkod.hu oldalon. Minden commit visszavezethető az azt beküldő személyhez. Tervezett jövőbeli fejlesztés a KAÜ (Központi Azonosítási Ügynök) integráció az Ügyfélkapu+/DÁP hozzáféréssel — az infrastruktúra előkészítve.

Az első belépéskor a hozzájáruló aláírja a Hozzájárulói Megállapodást (CLA), amely tisztázza a szerzői jogi és felelősségi kérdéseket, majd kiválasztja a profilját: fejlesztő, tesztelő, dokumentáló, fordító, biztonsági szakember — vagy ezek kombinációja.

Mit lehet megnyitni — és mit nem

A 2024. évi LXIX. törvény, a Kiberbiztonsági törvény, három biztonsági osztályt különböztet meg: alap, jelentős és magas. A KözKód kizárólag az alap osztályba sorolt rendszereket és — rendkívül szigorú feltételek mellett — a jelentős osztályba sorolt rendszerek meghatározott, nem érzékeny moduljait engedi megnyitni. A magas osztály soha, semmilyen körülmények között.

Az alap osztályba kerülhet: belső adminisztratív eszközök, dokumentációs portálok, nyilvános tájékoztató felületek, e-learning rendszerek. Ezeket teljes egészükben meg lehet nyitni — feltéve, hogy nem tartalmaznak titkosítási kulcsokat, jelszavakat, hozzáférési tokeneket, IP-címeket, üzemeltetési konfigurációkat vagy személyes adatot mintaként.

A megnyitásnak minden esetben előzménye van: az intézmény információbiztonsági felelőse (IBF) és a Nemzeti Kiberbiztonsági Intézet (NKI) együtt vizsgálja meg, mi nyitható meg. Formális határozat, meghatározott hatókörrel, kizárt komponensek listájával és felülvizsgálati ciklussal.

A megnyitott komponensek szerzői jogi szempontból engedélyezett licencek alatt jelenhetnek meg: EUPL 1.2 (ajánlott — az EU saját közigazgatási nyílt licence), MIT vagy Apache 2.0.

A szereplők

A platformot jelenleg a KözKód közösség tartja fenn — a kódtárhelyet, a CI/CD rendszert és az azonosítási integrációt egyaránt. Az üzemeltetés bármikor átadható egy állami szerv részére: a digitalizációért felelős minisztérium, az IdomSoft, a NISZ vagy a DÁP Ügynökség bármikor átveheti, ha az intézményi elköteleződés és a kapacitás adott.

Ez a modell kapcsolódik az Állami Alkalmazás-fejlesztési Keretrendszer (ÁAFK) logikájához, amely már ma is egységes fejlesztési infrastruktúrát, közös komponenskönyvtárat és kontrollált kiadási folyamatot kínál az állami szoftverprojektekhez. A KözKód ezt a megközelítést terjeszti ki a civil fejlesztői közösség felé — és kínál egy természetes átjárót az állami átvételre, ha arra igény keletkezik.

A forrás-megnyitó intézmények — minisztériumok, önkormányzatok, állami tulajdonú társaságok — döntik el, mit tesznek fel a platformra. A megnyitás az ő döntésük, de csak a minisztérium jóváhagyásával és az NKI kötelező, 15 napos határidejű véleménye alapján hozhatják meg.

A karbantartók az adott intézmény által kijelölt személyek — lehetnek belső munkatársak, de szerződéses szállítók képviselői is. Ők fogadják be a pull requesteket. A 4-szem elv kötelező: legalább két karbantartó jóváhagyása szükséges minden egyes változtatáshoz.

A hozzájárulók az Ügyfélkapun belépett, azonosított fejlesztők, tesztelők, technikai írók, UX-tervezők, biztonsági kutatók — mindenki, akinek van szakmai kompetenciája és ideje egy-egy feladatot felvállalni.

A jelenlegi szállítók sem kimaradnak ebből — éppen ellenkezőleg. A platformon felhalmozódó, újrafelhasználható komponenseket egy szállító szabadon beépítheti a saját megoldásába akkor is, ha az zárt forráskódú: a közös komponensek megengedő (permisszív) licenc alatt állnak, így magas vagy jelentős biztonsági osztályú — épp ezért nem nyitható — rendszerekbe is beépíthetők. A szállítónak nem kell, és e rendszereknél nem is szabad megnyitnia a saját forráskódját; az egyetlen feltétel, hogy látható helyen feltüntesse, ha KözKód-komponenst használ. Így a szállító gyorsabban és olcsóbban dolgozhat, a KözKód pedig nem kiszorítja a piaci szereplőket, hanem közös alapot ad nekik — és arra ösztönzi őket, hogy saját érdekükből maguk is fejlesszék a közös komponenseket.

Erre van nemzetközi példa: a Linux kernel egyik legnagyobb vállalati hozzájárulója egy időszakban éppen a Microsoft volt — saját céljaiból, de így a közöshöz tette hozzá a legtöbbet. Ez a közös fejlesztés logikája: mindenki azt rakja hozzá, amire neki is szüksége van, és együtt több lesz az egész.