Bitwarden cambia las compilaciones de su tienda a una licencia comercial

Qué cubre este vídeo

• El próximo cambio de distribución se aplica a las compilaciones de la tienda. Bitwarden también dice que las descargas directas usarán la licencia comercial; no asuma que la descarga del sitio web es la compilación GPL.
• Bitwarden dice que las características actuales permanecen en ambas versiones, las compilaciones GPL continúan en GitHub y el plan gratuito se mantiene. Estas son declaraciones de la compañía; no se afirma una auditoría independiente de equivalencia binaria/fuente.
• El repositorio de clientes ya clasifica el código GPLv3 y Bitwarden License v1.0. Este evento cambia la licencia de las compilaciones distribuidas en lugar de introducir la primera estructura de licencia mixta del repositorio.
• Una respuesta del personal dice que algunos componentes futuros solo existirán en la compilación comercial. No se nombra ninguna característica o fecha de entrega en particular, por lo que la paridad futura sigue siendo una tarea de inspección.
• La visibilidad de la fuente y el permiso de modificación o redistribución son comprobaciones diferentes. Revise el paquete exacto y los avisos aplicables antes de asumir que cada componente tiene la misma licencia.
• Una tilde entre comillas puede permanecer literal en una asignación de PATH, creando una entrada relativa resuelta desde el directorio actual. La corrección de $HOME entre comillas del blog expande el directorio de inicio previsto; la semántica de asignación de Bash sin comillas difiere.
• Terence Eden describe haber pagado 25 € por una hora de pruebas de primera ejecución de ActivityBot, alrededor de 150 € en total, con pantalla compartida, comentarios hablados y revisiones del README entre sesiones. El informe informal no proporciona una mejora controlada de la tasa de éxito.
• Un usuario nuevo puede exponer enlaces incorrectos, instrucciones confusas de archivos ocultos y explicaciones de productos faltantes que el autor suministra silenciosamente de memoria. Mantenga claros los hechos de instalación requeridos y las bromas fuera de los requisitos previos.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles están controlados por YouTube.

¿Qué compilación de Bitwarden estás obteniendo?

0:00 Esperas un gestor de contraseñas de código abierto de la tienda de aplicaciones. Bitwarden dice que sus próximas compilaciones de la tienda llevarán una licencia comercial. En este video, ¿qué compilación cambia? ¿Qué derechos sobreviven? ¿Y qué podría dividirse más tarde? Una respuesta del personal cambia lo tranquilizador que suena ese anuncio. Ténganlo en cuenta. Es domingo, once de octubre, y este es The Daily Diff.

0:19 Bitwarden es un gestor de contraseñas que almacena inicios de sesión en una bóveda cifrada y los rellena en los sitios web. Su código cliente es público en GitHub. Esta historia trata sobre la licencia adjunta a las aplicaciones distribuidas. El viernes, un empleado de Bitwarden anunció el cambio para la próxima versión. Para el domingo, los desarrolladores estaban discutiendo sobre la aplicación descargada. Mientras tanto, un atajo de shell apunta a un lugar sorprendente, y alguien pagó a personas para que leyeran las instrucciones.

0:41 Comencemos con la división de distribución.

¿A dónde va la compilación GPL?

0:43 Las compilaciones de la tienda obtienen la licencia comercial. La versión de licencia pública general sigue recibiendo actualizaciones en GitHub. Todas las características actuales están disponibles en ambas versiones. La primera reacción útil provino de un moderador voluntario preguntando qué diferiría entre las versiones paralelas. Las características idénticas aún pueden ocultar una hoja de ruta cambiante. La diferencia puede llegar antes que el código. El repositorio ya tiene dos categorías de licencias.

1:05 Su archivo de licencia por defecto es la versión tres de la licencia pública general, con código con licencia separada en otros lugares. El acuerdo comercial en sí está fechado en veinte veinte. El nacimiento de la doble licencia es anterior a este anuncio. Entonces el empleado responde.

¿Qué podría divergir en futuras versiones?

1:17 Algunos componentes futuros solo existirán en la compilación comercial. Las características de nuevo desarrollo se evalúan caso por caso. Ahí está el límite móvil. Las listas de características coincidentes hoy dejan espacio para diferentes listas de características más adelante, sin ninguna característica o fecha de entrega prometida. El anuncio también dice que el plan gratuito se mantiene, y una aclaración editada dice que el código sigue siendo públicamente auditable. Bien. La confianza importa para un gestor de contraseñas.

1:40 Encontrar una segunda licencia detrás del mismo botón de descarga añade trabajo a esa relación. La visibilidad y el permiso son preguntas separadas. Leer el código fuente ayuda a una auditoría. Su permiso para modificar y redistribuir un componente en particular proviene de su licencia aplicable. Revise el paquete real antes de confiar en un logotipo familiar. Así que la primera respuesta es la compilación de la tienda. La ruta superviviente es la versión GPL en GitHub. La división futura es explícitamente posible.

2:04 Puedes seguir usando la aplicación actual mientras rastreas ese límite, un pasatiempo marginalmente más barato que los teclados mecánicos.

¿Cuándo deja la tilde de significar inicio?

2:10 Eso nos lleva a un límite que su shell puede malinterpretar. La publicación del dos de octubre de Disconnect3d resurgió hoy en Hacker News después de que un sandbox marcara una entrada de ruta escribible. El pequeño carácter en el centro es la tilde, nuestra abreviatura segura para el hogar. Pon esa tilde dentro de una asignación de ruta entre comillas y se mantiene literal. El ejemplo añade un directorio bin. El manual de Bash requiere una tilde sin comillas para esa expansión. Las comillas conservan ese carácter.

2:34 La búsqueda comienza desde su directorio actual, dentro de un directorio llamado tilde. La demostración del autor encuentra un programa allí e imprime hola. El directorio de inicio nunca participa. Su directorio de trabajo tiene un voto decisivo. Eso importa cuando ingresa a un directorio que otra persona controla. Una entrada de búsqueda relativa puede cambiar dónde se encuentra un comando. Esta publicación demuestra el comportamiento de búsqueda; no proporciona evidencia de víctimas

2:56 o una nueva vulnerabilidad de shell. El "footgun" llegó con los muebles. La solución en la publicación utiliza la variable de entorno de inicio dentro de las comillas.

¿Cómo inspeccionas el PATH real?

3:03 Esa variable se expande, dando el directorio base de inicio deseado. También muestra un comando para buscar tildes literales en su ruta. Revise cada entrada coincidente antes de cambiar la configuración de su shell, en máquinas compartidas. La asignación sin comillas también puede expandir la tilde en Bash. La trampa es la forma entre comillas que se muestra aquí. Un símbolo familiar cambia de significado con el contexto, copiar una línea de configuración le permite heredar suposiciones.

3:25 Y las suposiciones son exactamente lo que Terence Eden compró para inspeccionar.

¿Qué encontraron 150 € de pruebas de README?

3:29 En una publicación de hoy, describe haber pagado a personas veinticinco euros por una hora de prueba de la primera ejecución de ActivityBot. Todo el ejercicio costó alrededor de ciento cincuenta euros, menos de lo que cuestan muchas reuniones. Pidió a los probadores que compartieran su pantalla y hablaran en voz alta. Tomó notas, cambió el readme después de cada sesión, y lo probó de nuevo con la siguiente persona. Separa lo que el autor recuerda de lo que explica el documento.

3:51 Los hallazgos incluyen un enlace de demostración incorrecto, instrucciones confusas de archivos ocultos y secciones en un orden inútil. Algunas personas leen el readme en un terminal. Eden también se dio cuenta de que no había explicado lo que haría el software. La guía de instalación había instalado con éxito un signo de interrogación. Mi hallazgo favorito es que sus bromas confundieron a la gente. Mantén un prerrequisito fuera de la frase ingeniosa, incluyendo la mía. Una broma va después del hecho.

4:14 Un paso de instalación debería sobrevivir siendo leído por alguien que quiera cenar. Estas fueron sesiones informales de usabilidad, con revisiones entre usuarios. La publicación no da una tasa de éxito controlada ni un porcentaje de antes y después. Observe a un nuevo usuario intentar sus instrucciones y escuche cuando duden.

¿Qué palabra cambia la tranquilidad?

4:29 Volviendo a ese tranquilizador anuncio de Bitwarden. La frase sobre todas las características actuales tiene un límite de tiempo incorporado en la palabra actual. La respuesta del personal reserva componentes futuros para la compilación comercial. Ese es el detalle a seguir observando. Las aplicaciones coincidentes de hoy y el límite de licencias de mañana pueden coexistir. Mantenga el límite visible. Si prefiere leer esto en lugar de oírme decirlo, la diferencia llega a su bandeja de entrada cada mañana, gratis en the daily diff dot dev, enlace abajo.

4:52 Así que el veredicto de hoy es NECESITA REVISIÓN.

¿Qué revisaría antes de cambiar?

4:55 Yo seguiría usándolo mientras verifico de qué compilación y licencia depende mi flujo de trabajo, y observando la paridad de características futuras. Suscríbete, pulsa la campana y dime en los comentarios si lo habrías sellado de otra manera. Y eso es todo por hoy. Soy Niko de Axrisi. Fusiona responsablemente.

Fuentes

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News