Bitwarden change la licence de ses versions distribuées sur les magasins d'applications en licence commerciale

Ce que cette vidéo couvre

• Le changement de distribution à venir s'applique aux versions des magasins. Bitwarden déclare également que les téléchargements directs utiliseront la licence commerciale; ne présumez pas que le téléchargement du site Web est la version GPL.
• Bitwarden affirme que les fonctionnalités actuelles restent dans les deux versions, les versions GPL continuent sur GitHub et le plan gratuit demeure. Ce sont des déclarations de l'entreprise; aucun audit indépendant d'équivalence binaire/source n'est revendiqué.
• Le référentiel des clients catégorise déjà le code GPLv3 et Bitwarden License v1.0. Cet événement modifie la licence des versions distribuées plutôt que d'introduire la première structure de licence mixte du référentiel.
• Une réponse du personnel indique que certains futurs composants n'existeront que dans la version commerciale. Aucune fonctionnalité ou date de livraison particulière n'est nommée, de sorte que la parité future reste une tâche d'inspection.
• La visibilité de la source et la permission de modification ou de redistribution sont des vérifications différentes. Examinez le paquet exact et les avis applicables avant de supposer que chaque composant a la même licence.
• Un tilde entre guillemets peut rester littéral dans une affectation PATH, créant une entrée relative résolue à partir du répertoire actuel. La correction citée $HOME du blog étend le répertoire personnel prévu; la sémantique d'affectation Bash non citée diffère.
• Terence Eden décrit avoir payé 25 € pour une heure de test de première exécution d'ActivityBot, environ 150 € au total, avec partage d'écran, commentaires vocaux et révisions du README entre les sessions. Le compte informel ne fournit aucune amélioration contrôlée du taux de réussite.
• Un nouvel utilisateur peut exposer des liens erronés, des instructions confuses sur les fichiers cachés et des explications de produit manquantes que l'auteur fournit silencieusement de mémoire. Gardez les faits d'installation requis clairs et les blagues en dehors des prérequis.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube.

Quelle version de Bitwarden obtenez-vous?

0:00 Vous vous attendez à un gestionnaire de mots de passe open source sur le magasin d'applications. Bitwarden déclare que ses prochaines versions de magasin seront sous licence commerciale. Dans cette vidéo, quelle version change? Quels droits survivent? Et qu'est-ce qui pourrait se diviser plus tard? Une réponse du personnel change le caractère rassurant de cette annonce. Gardez cela à l'esprit. C'est le dimanche 11 octobre, et c'est The Daily Diff.

0:19 Bitwarden est un gestionnaire de mots de passe qui stocke les identifiants dans un coffre-fort chiffré et les remplit sur les sites Web. Son code client est public sur GitHub. Cette histoire concerne la licence attachée aux applications distribuées. Vendredi, un employé de Bitwarden a annoncé le changement pour la prochaine version. Dimanche, les développeurs se disputaient sur l'application téléchargée. Pendant ce temps, un raccourci shell pointe vers un endroit surprenant, et quelqu'un a réellement payé des humains pour lire les instructions.

0:41 Commençons par la scission de la distribution.

Où va la version GPL?

0:43 Les versions des magasins reçoivent la licence commerciale. La version sous licence publique générale continue de recevoir des mises à jour sur GitHub. Toutes les fonctionnalités actuelles sont disponibles dans les deux versions. La première réaction utile est venue d'un modérateur bénévole demandant ce qui différerait entre les versions parallèles. Des fonctionnalités identiques peuvent encore cacher une feuille de route changeante. Le diff peut arriver avant le code. Le référentiel a déjà deux catégories de licences.

1:05 Son fichier de licence par défaut est la version trois de la licence publique générale, avec du code sous licence séparée ailleurs. L'accord commercial lui-même est daté de 2020. La naissance de la double licence précède cette annonce. Puis l'employé répond.

Qu'est-ce qui pourrait diverger dans les futures versions?

1:17 Certains futurs composants n'existeront que dans la version commerciale. Les fonctionnalités nouvellement développées sont évaluées au cas par cas. C'est la frontière mouvante. Des listes de fonctionnalités correspondantes aujourd'hui laissent de la place à des listes de fonctionnalités différentes plus tard, sans fonctionnalité nommée ni date de livraison promise. L'annonce dit aussi que le plan gratuit reste, et une clarification modifiée dit que le code reste publiquement auditable. Bien. La confiance est importante pour un gestionnaire de mots de passe.

1:40 Trouver une deuxième licence derrière le même bouton de téléchargement ajoute du travail à cette relation. La visibilité et la permission sont des questions distinctes. La lecture de la source aide un audit. Votre permission de modifier et de redistribuer un composant particulier provient de sa licence applicable. Vérifiez le paquet réel avant de faire confiance à un logo familier. Donc la première réponse est la version du magasin. Le chemin qui survit est la version GPL sur GitHub. La future scission est explicitement possible.

2:04 Vous pouvez continuer à utiliser l'application actuelle tout en suivant cette limite, un passe-temps légèrement moins cher que les claviers mécaniques.

Quand le tilde cesse-t-il de signifier "home"?

2:10 Cela nous amène à une limite que votre shell peut mal comprendre. Le message de Disconnect3d du 2 octobre est réapparu sur Hacker News aujourd'hui après qu'un bac à sable a signalé une entrée de chemin inscriptible. Le petit caractère au centre est le tilde, notre abréviation confiante pour "home". Mettez ce tilde dans une affectation de chemin entre guillemets et il reste littéral. L'exemple ajoute un répertoire "bin". Le manuel de Bash exige un tilde non cité pour cette expansion. Les guillemets préservent ce caractère.

2:34 La recherche commence à partir de votre répertoire actuel, à l'intérieur d'un répertoire réellement nommé tilde. La démo de l'auteur y trouve un programme et affiche "hello". Le répertoire personnel n'y participe jamais. Votre répertoire de travail a un vote prépondérant. Cela est important lorsque vous entrez dans un répertoire que quelqu'un d'autre contrôle. Une entrée de recherche relative peut changer l'emplacement où une commande est trouvée. Ce billet démontre le comportement de recherche; il ne fournit aucune preuve de victimes

2:56 ou d'une nouvelle vulnérabilité du shell. Le "footgun" est arrivé avec le mobilier. La correction dans le billet utilise la variable d'environnement HOME à l'intérieur des guillemets.

Comment inspecter le PATH réel?

3:03 Cette variable s'étend, donnant le répertoire de base "home" prévu. Il montre également une commande pour rechercher les tildes littéraux dans votre chemin. Examinez chaque entrée correspondante avant de modifier votre configuration de shell, sur les machines partagées. L'affectation sans guillemets peut également étendre le tilde dans Bash. Le piège est la forme citée montrée ici. Un symbole familier change de sens avec le contexte, copier une ligne de configuration vous permet d'hériter d'hypothèses.

3:25 Et les hypothèses sont exactement ce que Terence Eden a acheté pour inspection.

Qu'est-ce que 150 € de tests de README ont trouvé?

3:29 Dans un article publié aujourd'hui, il décrit avoir payé des gens vingt-cinq euros pour une heure de test de la première exécution d'ActivityBot. L'exercice entier a coûté environ cent cinquante euros, moins que le coût de nombreuses réunions. Il a demandé aux testeurs de partager leur écran et de parler à voix haute. Il a pris des notes, a modifié le README après chaque session, et l'a testé à nouveau avec la personne suivante. Cela sépare ce dont l'auteur se souvient de ce que le document explique.

3:51 Les résultats comprennent un mauvais lien de démonstration, des instructions confuses sur les fichiers cachés et des sections dans un ordre peu utile. Certaines personnes lisent le README dans un terminal. Eden a également réalisé qu'il n'avait pas expliqué ce que le logiciel ferait. Le guide d'installation avait réussi à installer un point d'interrogation. Ma découverte préférée est que ses blagues ont semé la confusion. Gardez un prérequis en dehors de la phrase intelligente, y compris la mienne. Une blague appartient après le fait.

4:14 Une étape d'installation devrait survivre à la lecture par quelqu'un qui veut dîner. Il s'agissait de sessions d'utilisabilité informelles, avec des révisions entre les utilisateurs. Le message ne donne aucun taux de réussite contrôlé ni pourcentage avant et après. Observez un nouvel utilisateur essayer vos instructions et écoutez quand il hésite.

Quel mot change la réassurance?

4:29 Revenons à cette annonce rassurante de Bitwarden. La phrase sur toutes les fonctionnalités actuelles a une limite de temps intégrée dans le mot actuelles. La réponse du personnel réserve les futurs composants à la version commerciale. C'est le détail à surveiller. Les applications correspondantes d'aujourd'hui et la limite de licence de demain peuvent coexister. Gardez la limite visible. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception chaque matin, gratuitement sur the dailydiff.dev, lien ci-dessous.

4:52 Le verdict d'aujourd'hui est NÉCESSITE UN EXAMEN.

Que vérifierais-je avant de passer?

4:55 Je continuerais à l'utiliser tout en vérifiant de quelle version et licence mon flux de travail dépend, et en surveillant la parité des fonctionnalités futures. Abonnez-vous, cliquez sur la cloche, et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Et c'est le "diff" pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News