Bitwarden passe les versions de sa boutique à une licence commerciale

Ce que couvre cette vidéo

• Le prochain changement de distribution s'applique aux versions de la boutique. Bitwarden déclare également que les téléchargements directs utiliseront la licence commerciale ; ne supposez pas que le téléchargement du site Web est la version GPL.
• Bitwarden affirme que les fonctionnalités actuelles restent dans les deux versions, que les versions GPL continuent sur GitHub et que le plan gratuit demeure. Ce sont des déclarations de l'entreprise ; aucun audit indépendant d'équivalence binaire/source n'est revendiqué.
• Le référentiel des clients catégorise déjà le code GPLv3 et le code sous Bitwarden License v1.0. Cet événement modifie la licence des versions distribuées plutôt que d'introduire la première structure de licence mixte du référentiel.
• Une réponse du personnel indique que certains futurs composants n'existeront que dans la version commerciale. Aucune fonctionnalité ou date de livraison particulière n'est nommée, de sorte que la parité future reste une tâche d'inspection.
• La visibilité de la source et la permission de modification ou de redistribution sont des vérifications différentes. Examinez le paquet exact et les avis applicables avant de supposer que chaque composant a la même licence.
• Un tilde entre guillemets peut rester littéral dans une affectation PATH, créant une entrée relative résolue à partir du répertoire actuel. La correction citée $HOME du blog développe le répertoire personnel prévu ; la sémantique d'affectation Bash non citée diffère.
• Terence Eden décrit avoir payé 25 € pour une heure de test de première exécution d'ActivityBot, soit environ 150 € au total, avec partage d'écran, commentaires vocaux et révisions du README entre les sessions. Le compte informel ne fournit aucune amélioration contrôlée du taux de réussite.
• Un nouvel utilisateur peut exposer des liens erronés, des instructions confuses sur les fichiers cachés et des explications de produit manquantes que l'auteur fournit silencieusement de mémoire. Gardez les faits d'installation requis clairs et les blagues en dehors des prérequis.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Quelle version de Bitwarden obtenez-vous ?

0:00 Vous vous attendez à un gestionnaire de mots de passe open source de l'App Store. Bitwarden déclare que ses prochaines versions de la boutique auront une licence commerciale. Dans cette vidéo, quelle version change ? Quels droits survivent ? Et qu'est-ce qui pourrait se diviser plus tard ? Une réponse du personnel change la façon dont cette annonce semble rassurante. Gardez-le à l'esprit. Nous sommes le dimanche onze octobre, et c'est Le Daily Diff.

0:19 Bitwarden est un gestionnaire de mots de passe qui stocke les identifiants dans un coffre-fort chiffré et les remplit sur les sites Web. Son code client est public sur GitHub. Cette histoire concerne la licence attachée aux applications distribuées. Vendredi, un employé de Bitwarden a annoncé le changement pour la prochaine version. Dimanche, les développeurs se disputaient l'application téléchargée. Pendant ce temps, un raccourci shell pointe vers un endroit surprenant, et quelqu'un a réellement payé des humains pour lire les instructions.

0:41 Commençons par la scission de la distribution.

Où va la version GPL ?

0:43 Les versions de la boutique obtiennent la licence commerciale. La version sous licence publique générale continue de recevoir des mises à jour sur GitHub. Toutes les fonctionnalités actuelles sont disponibles dans les deux versions. La première réaction utile est venue d'un modérateur bénévole demandant ce qui différerait entre les versions parallèles. Des fonctionnalités identiques peuvent encore cacher une feuille de route changeante. La différence peut arriver avant le code. Le référentiel a déjà deux catégories de licences.

1:05 Son fichier de licence par défaut est la version trois de la licence publique générale, avec du code sous licence séparée ailleurs. L'accord commercial lui-même est daté de deux mille vingt. La naissance de la double licence précède cette annonce. Puis l'employé répond.

Qu'est-ce qui pourrait diverger dans les futures versions ?

1:17 Certains futurs composants n'existeront que dans la version commerciale. Les fonctionnalités nouvellement développées sont évaluées au cas par cas. C'est la limite mouvante. Des listes de fonctionnalités correspondantes aujourd'hui laissent de la place pour des listes de fonctionnalités différentes plus tard, sans fonctionnalité nommée ni date de livraison promise. L'annonce indique également que le plan gratuit reste, et une clarification modifiée dit que le code reste publiquement auditable. Bien. La confiance est importante pour un gestionnaire de mots de passe.

1:40 Trouver une deuxième licence derrière le même bouton de téléchargement ajoute du travail à cette relation. La visibilité et la permission sont des questions distinctes. La lecture de la source aide à un audit. Votre permission de modifier et de redistribuer un composant particulier provient de sa licence applicable. Vérifiez le package réel avant de faire confiance à un logo familier. Donc la première réponse est la version de la boutique. Le chemin survivant est la version GPL sur GitHub. La future scission est explicitement possible.

2:04 Vous pouvez continuer à utiliser l'application actuelle tout en suivant cette limite, un hobby marginalement moins cher que les claviers mécaniques.

Quand le tilde cesse-t-il de signifier "home" ?

2:10 Cela nous amène à une limite que votre shell peut mal comprendre. Le message du deux octobre de Disconnect3d a refait surface sur Hacker News aujourd'hui après qu'un bac à sable a signalé une entrée de chemin inscriptible. Le minuscule caractère au centre de tout cela est le tilde, notre abréviation confiante pour "home". Mettez ce tilde à l'intérieur d'une affectation de chemin entre guillemets et il reste littéral. L'exemple ajoute un répertoire "bin". Le manuel de Bash exige un tilde sans guillemets pour cette expansion. Les guillemets préservent ce caractère.

2:34 La recherche commence à partir de votre répertoire actuel, à l'intérieur d'un répertoire réellement nommé "tilde". La démo de l'auteur y trouve un programme et affiche "hello". Le répertoire "home" ne participe jamais. Votre répertoire de travail a un droit de vote décisif. Cela importe lorsque vous entrez dans un répertoire contrôlé par quelqu'un d'autre. Une entrée de recherche relative peut modifier l'endroit où une commande est trouvée. Ce message démontre le comportement de recherche ; il ne fournit aucune preuve de victimes

2:56 ou d'une nouvelle vulnérabilité du shell. Le "footgun" est arrivé avec les meubles. La correction dans le message utilise la variable d'environnement "home" à l'intérieur des guillemets.

Comment inspecter le PATH réel ?

3:03 Cette variable s'étend, donnant le répertoire de base "home" prévu. Il montre également une commande pour rechercher votre chemin d'accès pour les tildes littéraux. Examinez chaque entrée correspondante avant de modifier votre configuration de shell, sur les machines partagées. L'affectation sans guillemets peut également étendre le tilde dans Bash. Le piège est la forme entre guillemets montrée ici. Un symbole familier change de sens avec le contexte, copier une ligne de configuration vous permet d'hériter des hypothèses.

3:25 Et les hypothèses sont exactement ce que Terence Eden a acheté pour inspection.

Qu'a révélé 150 € de tests de README ?

3:29 Dans un article publié aujourd'hui, il décrit avoir payé des gens vingt-cinq euros pour une heure de test de la première exécution d'ActivityBot. L'exercice entier a coûté environ cent cinquante euros, moins que le coût de nombreuses réunions. Il a demandé aux testeurs de partager leur écran et de parler à voix haute. Il a pris des notes, a modifié le README après chaque session, et l'a testé à nouveau avec la personne suivante. Cela sépare ce que l'auteur se souvient de ce que le document explique.

3:51 Les résultats incluent un lien de démonstration erroné, des instructions confuses sur les fichiers cachés et des sections dans un ordre peu utile. Certaines personnes lisent le README dans un terminal. Eden a également réalisé qu'il n'avait pas expliqué ce que le logiciel ferait. Le guide d'installation avait réussi à installer un point d'interrogation. Ma découverte préférée est que ses blagues ont semé la confusion. Gardez un prérequis en dehors de la phrase intelligente, y compris la mienne. Une blague appartient après coup.

4:14 Une étape d'installation devrait survivre à la lecture par quelqu'un qui veut dîner. Ce furent des sessions d'utilisabilité informelles, avec des révisions entre utilisateurs. Le message ne donne pas de taux de réussite contrôlé ni de pourcentage avant et après. Regardez un nouvel utilisateur essayer vos instructions et écoutez quand il hésite.

Quel mot change le réconfort ?

4:29 Retour à cette annonce rassurante de Bitwarden. La phrase sur toutes les fonctionnalités actuelles a une limite de temps intégrée dans le mot actuel. La réponse du personnel réserve les futurs composants à la version commerciale. C'est le détail à surveiller. Les applications correspondantes d'aujourd'hui et la limite de licence de demain peuvent coexister. Gardez la limite visible. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception tous les matins, gratuitement sur the daily diff dot dev, lien ci-dessous.

4:52 Donc le verdict d'aujourd'hui est NÉCESSITE UN EXAMEN.

Que réviserais-je avant de changer ?

4:55 Je continuerais à l'utiliser tout en vérifiant de quelle version et licence mon flux de travail dépend, et en surveillant la parité future des fonctionnalités. Abonnez-vous, activez la cloche, et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News