23 个核心开源项目中有 11 个由 1 或 2 人运行

您手机上的每个闹钟、登机牌和日历邀请都取决于一个文本文件，该文件包含政府宣布的所有时钟规则。加州大学洛杉矶分校 (UCLA) 讲师保罗·埃格特 (Paul Eggert) 在业余时间保存该文件，至少有 40 亿部 Android 手机和 iPhone 阅读该文件。他是一名开源维护者，而且他并不是唯一一个担任该职位的人。每次安全恐慌后发布的 xkcd 漫画（编号 2347）展示了一座现代基础设施塔，平衡在一个小街区上，由一个人维护，无需感谢。 Reddit 上一位名为 u/Mastbubbles 的帖子试图测试这与事实有多接近。他们下载了手机、浏览器和服务器所依赖的 23 个项目的完整历史记录，统计了过去一年中做出 10 次或更多更改的每个人，并将结果发布在 Sheets.works 上，名称为“支撑互联网的人们”。该帖子发布第一天就在 r/linux 上获得了大约 1,100 个点赞。 23 个项目中有 11 个项目由一两个人负责日常工作。本文的其余部分介绍了这些人是谁、他们收到了什么资金以及 r/linux 在哪里推回了这些数字。主要调查结果概览 23 个项目中有 11 个在 2025 年 10 月 7 日至 2026 年 10 月 7 日期间有一两个人进行了十次或更多更改。xz 有一个定期贡献者 Lasse Collin，他在 2025 年编写了 97% 的更改。分析发现，在 2024 年后门之后没有新的资金。从 2008 年到 2018 年，sudo 的 5,409 次更改中有 5,408 次来自托德·米勒 (Todd Miller)。经分析检查，包括时区数据库、SQLite、zlib、xz 和 bash 在内的八个项目均未显示任何公共资金来源的资助或赞助。灾难之后就是金钱。 2014 年 Heartbleed 事件发生后的两个月内，Linux 基金会筹集了 540 万美元，而 OpenSSL 则依靠每年约 2,000 美元的捐款维持生计，获得了开发人员的报酬并接受了审计。计数如何运作 作者获取了每个项目的完整公开历史，保留了 2025 年 10 月 7 日至 2026 年 10 月 7 日期间编写的更改，并省略了合并和机器人。任何在该窗口内进行十次或以上更改的人都算作定期贡献者。对于资金而言，“无公共资助”并不意味着来自 Sovereign Tech Agency、Alpha-Omega、Open Collective 或 GitHub 赞助商的任何资助。这并不意味着没有人付过钱给这些人。接近末尾的限制部分涵盖了该方法遗漏的内容。一人项目：xz、sudo、bash 和时区数据库 xz：让一名维护者成为众人瞩目的后门 居住在芬兰的 Lasse Collin 负责维护 xz，这是几乎每台 Linux 服务器上都有的压缩工具。 2022 年 6 月，他告诉邮件列表，这是一个无偿的业余爱好项目，他的跟上能力受到限制，主要是由于长期的心理健康问题。几个月来，自称 Jigar Kumar 和 Dennis Ens 的账户一直在公开抱怨事情进展缓慢，而一位名叫 Jia Tan 的贡献者则发送了有用的补丁。科林给了贾坦更多的接触机会。到 2023 年，Jia Tan 做出的更改比 Collin 更多，从 304 增加到 172。2024 年 2 月，Jia Tan 发布的版本以隐藏方式进入 Linux 服务器。微软工程师 Andres Freund 在 3 月 29 日发现了这个问题，因为在大多数 Linux 系统发布之前，他的 SSH 登录使用的处理器时间超出了应有的时间。进入 sshd 的路径通过发行版补丁运行：几个发行版将 OpenSSH 链接到 libsystemd，并且 libsystemd 引入 liblzma，它是 xz 的一部分。没有人知道贾坦是谁。科林又孤身一人了。 2025 年，xz 97% 的变更都是他编写的，到 2026 年，该项目有了一名定期贡献者。分析发现后门之后没有新的资金，这与 Heartbleed 之后 OpenSSL 的情况正好相反（更多内容见下文）。时区数据库：一名讲师、一项备份、四十亿台设备 Eggert 自 2012 年以来一直是时区文件的官方协调员，并在加州大学洛杉矶分校教授计算机科学。 Android、iOS 和大多数服务器读取该文件来计算当地时间。 9 月 29 日发布的 2026e 版本以曼尼托巴省于 10 月 31 日转至永久 -05 开始，这告诉温尼伯的电话不要将时钟调回 11 月 1 日。在过去一年对文件进行的 251 项更改中，Eggert 进行了 218 项，Tim Parenti 进行了 28 项。2020 年，Eggert 要求邮件列表将 Parenti 作为备份，以防退休或其他原因带走他。这项工作也存在法律风险。 2011 年，一家占星软件公司起诉艾格特和阿瑟·大卫·奥尔森（Arthur David Olson）于 1986 年在美国国立卫生研究院创建了该数据库，声称该数据库的部分历史来自该公司拥有的地图集。邮件列表和下载网站一直处于离线状态，直到当月晚些时候 IANA 接管它们为止。电子前沿基金会免费为两人辩护，该公司于 2012 年 2 月撤销了此案。如今，艾格特没有赞助商页面，分析发现该项目没有公共资助。 sudo：资金最多的单人项目