Bitwarden cambia las compilaciones de la tienda a una licencia comercial

Lo que cubre este video

• El próximo cambio de distribución se aplica a las compilaciones de la tienda. Bitwarden también dice que las descargas directas usarán la licencia comercial; no asuma que la descarga del sitio web es la compilación GPL.
• Bitwarden dice que las características actuales permanecen en ambas versiones, las compilaciones GPL continúan en GitHub y el plan gratuito se mantiene. Estas son declaraciones de la compañía; no se reclama una auditoría independiente de equivalencia binaria/fuente.
• El repositorio de clientes ya clasifica el código GPLv3 y Bitwarden License v1.0. Este evento cambia las licencias de las compilaciones distribuidas en lugar de introducir la primera estructura de licencia mixta del repositorio.
• Una respuesta del personal dice que algunos componentes futuros existirán solo en la compilación comercial. No se nombra ninguna característica o fecha de entrega en particular, por lo que la paridad futura sigue siendo una tarea de inspección.
• La visibilidad de la fuente y el permiso de modificación o redistribución son verificaciones diferentes. Revise el paquete exacto y los avisos aplicables antes de asumir que cada componente tiene la misma licencia.
• Una tilde entre comillas puede permanecer literal en una asignación de PATH, creando una entrada relativa resuelta desde el directorio actual. La corrección de $HOME entre comillas del blog expande el directorio de inicio previsto; la semántica de asignación de Bash sin comillas difiere.
• Terence Eden describe haber pagado €25 por una hora de prueba de primera ejecución de ActivityBot, alrededor de €150 en total, con pantalla compartida, comentarios hablados y revisiones del README entre sesiones. El informe informal no proporciona una mejora controlada de la tasa de éxito.
• Un usuario nuevo puede exponer enlaces incorrectos, instrucciones confusas de archivos ocultos y explicaciones de productos faltantes que el autor suministra silenciosamente de memoria. Mantenga claros los hechos de instalación requeridos y las bromas fuera de los requisitos previos.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

¿Qué compilación de Bitwarden estás obteniendo?

0:00 Esperas un gestor de contraseñas de código abierto de la tienda de aplicaciones. Bitwarden dice que sus próximas compilaciones de la tienda llevarán una licencia comercial. En este video, ¿qué compilación cambia? ¿Qué derechos sobreviven? ¿Y qué podría dividirse más tarde? Una respuesta del personal cambia lo tranquilizador que suena ese anuncio. Tenlo en cuenta. Es domingo, once de octubre, y este es The Daily Diff.

0:19 Bitwarden es un gestor de contraseñas que almacena inicios de sesión en una bóveda cifrada y los rellena en sitios web. Su código cliente es público en GitHub. Esta historia se refiere a la licencia adjunta a las aplicaciones distribuidas. El viernes, un empleado de Bitwarden anunció el cambio para la próxima versión. Para el domingo, los desarrolladores estaban discutiendo sobre la aplicación descargada. Mientras tanto, un atajo de shell apunta a un lugar sorprendente, y alguien realmente pagó a humanos para leer las instrucciones.

0:41 Comienza con la división de la distribución.

¿A dónde va la compilación GPL?

0:43 Las compilaciones de la tienda obtienen la licencia comercial. La versión de licencia pública general sigue recibiendo actualizaciones en GitHub. Todas las características actuales están disponibles en ambas versiones. La primera reacción útil provino de un moderador voluntario preguntando qué diferiría entre las versiones paralelas. Las características idénticas aún pueden ocultar una hoja de ruta cambiante. El "diff" puede llegar antes que el código. El repositorio ya tiene dos categorías de licencia.

1:05 Su archivo de licencia por defecto es la versión tres de la licencia pública general, con código con licencia separada en otros lugares. El acuerdo comercial en sí está fechado en 2020. El nacimiento de la doble licencia es anterior a este anuncio. Entonces el empleado responde.

¿Qué podría divergir en futuras versiones?

1:17 Algunos componentes futuros existirán solo en la compilación comercial. Las características recién desarrolladas se evalúan caso por caso. Ahí está el límite móvil. Las listas de características coincidentes hoy dejan espacio para diferentes listas de características más tarde, sin ninguna característica o fecha de entrega prometida. El anuncio también dice que el plan gratuito se mantiene, y una aclaración editada dice que el código sigue siendo auditable públicamente. Bien. La confianza importa para un gestor de contraseñas.

1:40 Encontrar una segunda licencia detrás del mismo botón de descarga agrega trabajo a esa relación. La visibilidad y el permiso son preguntas separadas. Leer el código fuente ayuda a una auditoría. Tu permiso para modificar y redistribuir un componente particular proviene de su licencia aplicable. Revisa el paquete real antes de confiar en un logo familiar. Así que la primera respuesta es la compilación de la tienda. La ruta de supervivencia es la versión GPL en GitHub. La división futura es explícitamente posible.

2:04 Puedes seguir usando la aplicación actual mientras sigues ese límite, un pasatiempo marginalmente más barato que los teclados mecánicos.

¿Cuándo deja la tilde de significar inicio?

2:10 Eso nos lleva a un límite que tu shell puede malinterpretar. La publicación del dos de octubre de Disconnect3d resurgió en Hacker News hoy después de que un sandbox marcara una entrada de ruta grabable. El pequeño carácter en el centro es la tilde, nuestra abreviatura segura para "home". Pon esa tilde dentro de una asignación de ruta entre comillas y se mantiene literal. El ejemplo añade un directorio "bin". El manual de Bash requiere una tilde sin comillas para esa expansión. Las comillas preservan ese carácter.

2:34 La búsqueda comienza desde tu directorio actual, dentro de un directorio realmente llamado tilde. La demostración del autor encuentra un programa allí e imprime "hello". El directorio "home" nunca participa. Tu directorio de trabajo tiene un voto decisivo. Eso importa cuando entras en un directorio que alguien más controla. Una entrada de búsqueda relativa puede cambiar dónde se encuentra un comando. Esta publicación demuestra el comportamiento de búsqueda; no aporta pruebas de víctimas

2:56 o de una nueva vulnerabilidad de shell. El "footgun" llegó con el mobiliario. La solución en la publicación utiliza la variable de entorno "home" dentro de las comillas.

¿Cómo inspeccionas la PATH real?

3:03 Esa variable se expande, dando el directorio basado en el inicio deseado. También muestra un comando para buscar tildes literales en tu ruta. Revisa cada entrada coincidente antes de cambiar tu configuración de shell, en máquinas compartidas. La asignación sin comillas puede expandir la tilde en Bash, también. La trampa es la forma entre comillas que se muestra aquí. Un símbolo familiar cambia de significado con el contexto, copiar una línea de configuración te permite heredar suposiciones.

3:25 Y las suposiciones son exactamente lo que Terence Eden compró para inspeccionar.

¿Qué encontró la prueba de README de €150?

3:29 En una publicación de hoy, describe haber pagado a personas veinticinco euros por una hora probando la primera ejecución de ActivityBot. Todo el ejercicio costó alrededor de ciento cincuenta euros, menos de lo que cuestan muchas reuniones. Pidió a los probadores que compartieran su pantalla y hablaran en voz alta. Tomó notas, cambió el README después de cada sesión, y lo probó de nuevo con la siguiente persona. Separa lo que el autor recuerda de lo que explica el documento.

3:51 Los hallazgos incluyen un enlace de demostración incorrecto, instrucciones confusas de archivos ocultos y secciones en un orden inútil. Algunas personas leen el README en una terminal. Eden también se dio cuenta de que no había explicado qué haría el software. La guía de instalación había instalado con éxito un signo de interrogación. Mi hallazgo favorito es que sus bromas confundieron a la gente. Mantén un requisito previo fuera de la frase ingeniosa, incluidas las mías. Un chiste va después del hecho.

4:14 Un paso de instalación debería sobrevivir a ser leído por alguien que quiere cenar. Estas fueron sesiones informales de usabilidad, con revisiones entre usuarios. La publicación no da una tasa de éxito controlada ni un porcentaje de antes y después. Observa a un usuario nuevo probar tus instrucciones y escucha cuando duden.

¿Qué palabra cambia la tranquilidad?

4:29 Volvamos a ese tranquilizador anuncio de Bitwarden. La frase sobre todas las características actuales tiene un límite de tiempo incorporado en la palabra actuales. La respuesta del personal reserva componentes futuros para la compilación comercial. Ese es el detalle que hay que seguir observando. Las aplicaciones coincidentes de hoy y el límite de licencias de mañana pueden coexistir. Mantén el límite visible. Si prefieres leer esto que oírme decirlo, el "diff" llega a tu bandeja de entrada cada mañana, gratis en the daily diff dot dev, enlace abajo.

4:52 Así que el veredicto de hoy es NECESITA REVISIÓN.

¿Qué revisaría antes de cambiar?

4:55 Yo seguiría usándolo mientras verifico de qué compilación y licencia depende mi flujo de trabajo, y observo la paridad de características futuras. Suscríbete, toca la campana y dime en los comentarios si lo habrías calificado de manera diferente. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusiona con responsabilidad.

Fuentes

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News