Bitwarden 將商店版建置切換為商業授權

本影片重點

• 即將到來的發行變更適用於商店版建置。Bitwarden 還表示直接下載也將使用商業授權；不要假設網站下載的是 GPL 版建置。
• Bitwarden 表示現有功能在這兩個版本中都將保留，GPL 版建置將繼續在 GitHub 上更新，免費方案也將保留。這些是公司聲明；並未聲稱有獨立的二進位/原始碼等效審計。
• 客戶端程式碼庫已經將 GPLv3 和 Bitwarden License v1.0 程式碼分類。此事件改變了發行版建置的授權，而不是引入程式碼庫中第一個混合授權結構。
• 一份員工回覆表示，某些未來組件將僅存在於商業建置中。沒有指定特定的功能或交付日期，因此未來的一致性仍然是一項需要檢查的任務。
• 原始碼可見性以及修改或重新發布權限是不同的檢查項目。在假設每個組件都具有相同的授權之前，請先檢閱確切的套件和適用的通知。
• 帶引號的波浪號在 PATH 賦值中可以保持字面意義，創建一個從目前目錄解析的相對條目。部落格中帶引號的 $HOME 更正擴展了預期的主目錄；不帶引號的 Bash 賦值語義有所不同。
• Terence Eden 描述支付 25 歐元進行一個小時的 ActivityBot 首次運行測試，總共約 150 歐元，包括螢幕共享、口頭回饋和會話間的 README 修訂。這份非正式的說明並未提供受控的成功率改進。
• 新用戶可能會發現錯誤的連結、令人困惑的隱藏檔案說明以及作者憑記憶默默提供的遺漏產品解釋。讓必要的安裝事實清晰明瞭，並將玩笑放在先決條件之外。

翻譯文字稿

譯自英文原版旁白。可用的音訊和字幕由 YouTube 控制。

您將取得哪個 Bitwarden 建置？

0:00 您期望從應用程式商店獲得一個開源密碼管理器。 Bitwarden 表示其下一個商店建置將帶有商業授權。 在這個影片中，哪個建置改變了？ 哪些權利得以保留？ 未來可能會有什麼分歧？ 一份員工回覆改變了這個公告的令人放心程度。 請記住這一點。 今天是 10 月 11 日星期日，這裡是 The Daily Diff。

0:19 Bitwarden 是一個密碼管理器，它將登入資訊儲存在加密的保管庫中並 將它們填寫到網站上。 其客戶端程式碼在 GitHub 上公開。 這個故事涉及發行應用程式所附帶的授權。 週五，一位 Bitwarden 員工宣布了下一個版本的切換。 到週日，開發人員們正在爭論下載的應用程式。 同時，一個 shell 捷徑指向了某個令人驚訝的地方， 有人竟然付錢讓人們閱讀說明。

0:41 從發行版分歧開始。

GPL 建置去哪了？

0:43 商店建置將獲得商業授權。 通用公共授權版本將繼續在 GitHub 上獲得更新。 所有現有功能在這兩個版本中都可用。 第一個有用的反應來自一位志願版主，他詢問平行版本之間會有什麼 不同。 相同的功能仍然可以隱藏不斷變化的路線圖。 差異可以在程式碼之前到來。 該程式碼庫已經有兩個授權類別。

1:05 其授權檔案預設為通用公共授權的第三版， 其他地方有單獨授權的程式碼。 商業協議本身簽署於 2020 年。 雙重授權的誕生早於此公告。 然後員工回答。

未來版本可能會有什麼差異？

1:17 某些未來組件將僅存在於商業建置中。 新開發的功能將逐案評估。 這就是移動的邊界。 今天匹配的功能列表為以後不同的功能列表留下了空間， 沒有承諾特定的功能或交付日期。 公告還表示免費方案將保留，一份經過編輯的澄清表示 程式碼仍然可以公開審計。 很好。對於密碼管理器來說，信任很重要。

1:40 在相同的下載按鈕後面發現第二個授權，會增加對這種關係的 額外工作。可見性和權限是不同的問題。 閱讀原始碼有助於審計。 您修改和重新發布特定組件的權限來自其 適用的授權。在信任熟悉的標誌之前，請檢查實際的套件。 所以第一個答案是商店建置。 存活的路徑是 GitHub 上的 GPL 版本。 未來的分歧是明確可能發生的。

2:04 您可以在追蹤該邊界的同時繼續使用目前的應用程式， 這項嗜好比機械鍵盤稍微便宜一些。

波浪號何時不再表示家目錄？

2:10 這將我們帶到您的 shell 可能會誤解的邊界。 Disconnect3d 10 月 2 日的貼文在 Hacker News 上今天再次浮現，原因是 沙盒標記了一個可寫的 PATH 條目。 其核心的微小字元是波浪號，我們自信的簡寫， 表示家目錄。將波浪號放在帶引號的 path 賦值中，它就會保持字面意義。 範例附加了一個 bin 目錄。 Bash 的手冊要求不帶引號的波浪號才能進行擴展。 引號保留了該字元。

2:34 查找從您目前的目錄開始，位於一個實際名為 tilde 的目錄中。作者的演示在那裡找到一個程式並印出 hello。 家目錄從未參與。 您的工作目錄擁有決定權。 當您進入別人控制的目錄時，這一點很重要。 相對搜尋條目可以改變命令的查找位置。 這篇貼文演示了查找行為； 它沒有提供受害者的證據

2:56 或新的 shell 漏洞。 這個誤用與傢俱一起到來。 貼文中的修復使用引號內的 home 環境變數。

您如何檢查實際的 PATH？

3:03 該變數擴展，給出了預期的基於家目錄的目錄。 它還顯示了一個命令，用於在您的 path 中搜尋字面波浪號。 在共用機器上，在更改您的 shell 配置之前， 請檢閱每個匹配的條目。 不帶引號的賦值也可以在 Bash 中擴展波浪號。 這裡顯示的陷阱是帶引號的形式。 熟悉的符號隨著上下文改變意義，複製一個配置行 讓您繼承假設。

3:25 而假設正是 Terence Eden 付錢檢查的東西。

150 歐元的 README 測試發現了什麼？

3:29 在今天發布的一篇貼文中，他描述了支付人們 25 歐元 一小時來測試 ActivityBot 的首次運行。 整個練習花費了大約 150 歐元， 比許多會議的花費還要少。 他要求測試人員共享他們的螢幕並大聲說出想法。 他做筆記，在每次會話後修改 readme， 然後與下一個人再次測試。 這將作者記憶中的內容與文件解釋的內容分開。

3:51 發現包括錯誤的演示連結、令人困惑的隱藏檔案說明以及 不按順序排列的部分。 有些人會在終端機中閱讀 readme。 Eden 也意識到他沒有解釋該軟體會做什麼。 安裝指南成功安裝了一個問號。 我最喜歡的發現是他的笑話讓人們感到困惑。 將先決條件從巧妙的句子中移除， 包括我的。笑話應該在事後出現。

4:14 安裝步驟應該經得起想吃晚餐的人閱讀。 這些是非正式的可用性測試，用戶之間有修訂。 該貼文沒有給出受控的成功率或前後百分比。 觀察新用戶嘗試您的說明，並在他們猶豫時傾聽。

哪個詞改變了這種保證？

4:29 回到 Bitwarden 令人放心的公告。 關於所有現有功能的句子在「現有」這個詞中內建了時間限制。 員工回覆保留了未來組件供商業建置使用。 這是需要繼續關注的細節。 今天的匹配應用程式和明天的授權邊界可以共存。 保持邊界可見。 如果您想閱讀而不是聽我說，每天早上都會有 diff 發送到您的收件箱， 在 daily diff dot dev 免費獲取，連結如下。

4:52 所以今天的判決是 NEEDS REVIEW。

在切換之前我會檢閱什麼？

4:55 我會繼續使用它，同時檢查我的工作流程依賴於哪個建置和授權， 並觀察未來的功能一致性。 訂閱、點擊鈴鐺，並在評論中告訴我，如果您的判斷 不同。這就是今天的 diff。 我是來自 Axrisi 的 Niko。 負責任地合併。

來源

1. Published version update in app storesBitwarden Community / RyanL
2. Future components and case-by-case licensing — reply 4Bitwarden Community / RyanL
3. Direct-download and source-visibility clarification — reply 8Bitwarden Community / RyanL
4. Client repository license mapBitwarden on GitHub
5. Bitwarden commercial source-module licenseBitwarden on GitHub
6. Bitwarden Password ManagerBitwarden
7. Security whitepaper — encrypted vault definitionBitwarden
8. Bitwarden licensing discussionHacker News
9. The tilde in your PATH may not be your HOMEDisconnect3d
10. Tilde ExpansionGNU Bash manual
11. Quoted tilde discussionHacker News
12. I paid people to try and follow my READMETerence Eden
13. Paid README testing discussionHacker News