Bitwarden 将商店版本切换为商业许可证

本视频涵盖的内容

• 即将到来的分发变更适用于商店版本。Bitwarden 还表示直接下载也将使用商业许可证；不要假定网站下载的是 GPL 版本。
• Bitwarden 表示当前功能在两个版本中都保留，GPL 版本继续在 GitHub 上更新，免费计划也保持不变。这些是公司声明；并未声称有独立的二进制/源代码等效审计。
• 客户端仓库已经将 GPLv3 和 Bitwarden License v1.0 代码分类。此次事件改变的是分发构建的许可，而不是首次引入仓库的混合许可结构。
• 一位工作人员的回复称，未来的一些组件将仅存在于商业版本中。没有指定特定的功能或交付日期，因此未来的对等性仍然是一项检查任务。
• 源代码可见性和修改或再分发权限是不同的检查。在假定每个组件都具有相同许可证之前，请仔细查看实际的软件包和适用的通知。
• 在 PATH 赋值中，被引用的波浪号可以保持字面含义，创建一个从当前目录解析的相对条目。博客中引用的 $HOME 修正扩展了预期的主目录；未引用的 Bash 赋值语义有所不同。
• Terence Eden 描述了支付 25 欧元进行一小时的 ActivityBot 首次运行测试，总计约 150 欧元，包括屏幕共享、口头反馈和会话之间的 README 修订。这份非正式报告没有提供受控的成功率改进。
• 一个新用户可能会发现错误的链接、令人困惑的隐藏文件说明以及作者凭记忆默默提供的缺失产品解释。保持所需的安装事实清晰，并将笑话置于先决条件之外。

翻译的文字记录

译自英文原版旁白。可用音频和字幕由 YouTube 控制。

你将获得哪个 Bitwarden 版本？

0:00 你期望从应用商店获得一个开源密码管理器。 Bitwarden 表示其下一个商店版本将带有商业许可证。 在这个视频中，哪个版本发生了变化？ 哪些权利仍然存在？ 未来可能会有什么分歧？ 一位工作人员的回复改变了这份公告听起来的安慰程度。 记住这一点。 今天是 10 月 11 日星期日，这是 The Daily Diff。

0:19 Bitwarden 是一个密码管理器，它将登录信息存储在加密的保险库中并 将其填充到网站中。 它的客户端代码在 GitHub 上公开。 这个故事与分发应用程序所附的许可证有关。 上周五，一位 Bitwarden 员工宣布了下一个版本的切换。 到周日，开发人员正在争论下载的应用程序。 与此同时，一个 shell 快捷方式指向一个令人惊讶的地方， 有人竟然花钱请人阅读说明。

0:41 从分发拆分开始。

GPL 版本去哪了？

0:43 商店版本获得商业许可证。 通用公共许可证版本继续在 GitHub 上获得更新。 所有当前功能在两个版本中都可用。 第一个有用的反应来自一位志愿版主，他询问并行版本之间会有什么不同。 并行版本之间会有什么不同。 相同的功能仍然可能隐藏不断变化的路线图。 差异可能在代码之前到来。 仓库已经有两个许可证类别。

1:05 其许可证文件默认为通用公共许可证的第三版， 其他地方有单独许可的代码。 商业协议本身日期为 2020 年。 双重许可的诞生早于此公告。 然后员工回答了。

未来版本中可能出现什么分歧？

1:17 未来的一些组件将仅存在于商业版本中。 新开发的功能将逐案评估。 这就是移动的边界。 今天匹配的功能列表为以后不同的功能列表留下了空间， 没有承诺具体的功能或交付日期。 公告还表示免费计划保持不变，一项编辑后的澄清称 代码仍然可以公开审计。 很好。信任对密码管理器很重要。

1:40 在同一个下载按钮后面发现第二个许可证给这种关系增加了额外的功课。 可见性和权限是分开的问题。 阅读源代码有助于审计。 您修改和重新分发特定组件的权限来自其适用的许可证。 在信任熟悉的标志之前，请检查实际的软件包。 所以第一个答案是商店版本。 存活的路径是 GitHub 上的 GPL 版本。 未来的拆分是明确可能的。

2:04 您可以继续使用当前应用程序，同时跟踪该边界， 这项爱好比机械键盘稍微便宜一些。

波浪号何时不再表示主目录？

2:10 这使我们来到了您的 shell 可能误解的边界。 Disconnect3d 10 月 2 日的帖子今天在 Hacker News 上重新浮出水面，此前一个 沙盒标记了一个可写路径条目。 它中心的小字符是波浪号，我们自信的缩写，表示主目录。 将波浪号放在带引号的路径赋值中，它会保持字面含义。 示例附加了一个 bin 目录。 Bash 的手册要求未引用的波浪号才能进行该扩展。 引号保留了该字符。

2:34 查找从您的当前目录开始，在一个实际名为波浪号的目录中。 作者的演示在那里找到一个程序并打印 hello。 主目录从未参与。 您的工作目录拥有决定权。 当您进入其他人控制的目录时，这很重要。 相对搜索条目可以改变命令的查找位置。 这篇帖子演示了查找行为； 它没有提供受害者的证据

2:56 或新的 shell 漏洞。 这个“脚枪”是随着家具一起到来的。 帖子中的修复方法是在引号内使用 home 环境变量。

如何检查实际的 PATH？

3:03 该变量会扩展，给出预期的基于主目录的路径。 它还显示了一个命令，用于在您的路径中搜索字面波浪号。 在更改您的 shell 配置之前，请检查每个匹配的条目， 在共享机器上。 未引用的赋值也可以在 Bash 中扩展波浪号。 这里的陷阱是带引号的形式。 一个熟悉的符号会随着上下文改变含义，复制配置行会让你继承假设。 会让你继承假设。

3:25 而假设正是 Terence Eden 付费检查的东西。

150 欧元的 README 测试发现了什么？

3:29 在今天发表的一篇文章中，他描述了支付人们 25 欧元， 进行一小时的 ActivityBot 首次运行测试。 整个过程花费了大约 150 欧元， 比许多会议的花费要少。 他要求测试人员共享屏幕并大声说出来。 他做了笔记，每次会话后都修改了 README， 然后与下一个人再次测试。 它将作者记得的内容与文档解释的内容分开。

3:51 发现包括错误的演示链接、令人困惑的隐藏文件说明以及 不按逻辑顺序排列的部分。 有些人会在终端中阅读 README。 Eden 也意识到他没有解释软件会做什么。 安装指南成功地安装了一个问号。 我最喜欢的发现是他的笑话让人感到困惑。 将先决条件排除在巧妙的句子之外， 包括我的。笑话应该放在事实之后。

4:14 安装步骤应该能让一个想吃饭的人也能读懂。 这些是非正式的可用性会话，在用户之间进行了修订。 帖子没有给出受控的成功率或前后百分比。 观察一个新用户尝试你的说明，并在他们犹豫时倾听。

哪个词改变了保证？

4:29 回到 Bitwarden 那个令人放心的公告。 关于所有当前功能的句子在“当前”这个词中内置了时间限制。 工作人员的回复保留了未来的组件用于商业版本。 这就是需要持续关注的细节。 今天的匹配应用程序和明天的许可边界可以共存。 保持边界可见。 如果您宁愿阅读而不是听我说，diff 每天早上都会免费发送到您的收件箱， 网址是 thedaily diff dot dev，链接如下。

4:52 所以今天的结论是 NEEDS REVIEW。

在切换之前我会审查什么？

4:55 我会继续使用它，同时检查我的工作流程依赖于哪个版本和许可证， 并关注未来的功能对等性。 订阅，点击铃铛，并在评论中告诉我你是否会 有不同的看法。这就是今天的 diff。 我是 Axrisi 的 Niko。 负责任地合并。

来源

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News