VPN-viðmót, GPL-vél og uppsetningarforrit: hvað er dreift?

Spurningin kemur sem leyfismál, en svarið byrjar á vörutalningu. VPN-viðmót, OpenVPN-vélin sem það stýrir, TLS-safn og uppsetningarforrit geta haft fjögur mismunandi skilmálasöfn, og útlit vörunnar segir þér ekkert um hvaða skrá tilheyrir hvaða safni. Farðu í gegnum gripina í þeirri röð sem þeim er dreift, og lögfræðilega spurningin verður miklu þrengri þegar þú afhendir hana einhverjum sem er hæfur til að svara henni. Hvert skref þrengir hana frekar: hvað er dreift, hvað var breytt og hvernig hlutarnir eiga samskipti.

Byrjaðu á því sem uppsetningarforritið setur á diskinn

Taktu útgefna uppsetningarforritið eða pakkann, ekki þróunareintak, og skráðu hverja skrá sem það setur á hreina vél. Skráðu útgáfur fyrir viðmótið, vélina og TLS-safnið, og taktu fram hvort vélin er sér keyrsluskrá eða safn sem hlaðið er inn í sama ferli.

Sú síðasta staðreynd mótar allt sem á eftir kemur. Sér keyrsluskrá sem er ræst gegnum sökkul vekur aðra spurningu en kóði sem er þýddur í eina tvíundarskrá, og uppsetningarforrit sem bara setur bæði hlið við hlið ræður málinu ekki í neina átt. Sambuntun er ákvörðun um umbúðir, en samband forritanna er byggingarlegs eðlis.

Skrifaðu listann niður með útgáfum við, því skilmálar eru mismunandi milli aðalútgáfa.

dpkg -L openvpn | head -n 40
openssl version -a

Aðskildu viðmótið frá vélinni

Afritunarskrá OpenVPN tilgreinir GPL útgáfu 2 og skjalfestir tengingarundantekningu fyrir OpenSSL, sem er sérstakt leyfi með skilgreindu umfangi en ekki almenn leyfisveiting til að blanda skilmálum.

Fangaðu leyfistextann sem fylgir byggingunni þinni, ekki þann sem er á vef verkefnisins í dag. Útgáfa sem festi eldri grein ber skjal þeirrar greinar. Skjámyndir af síðu geymslu koma ekki í staðinn, því skráin sem þú þarft er sú sem er inni í gripnum. Geymdu hana við hlið uppsetningarforritsins svo pakkinn sé heill.

Lýstu svo samþættingunni heiðarlega: ræsir viðmótið vélina sem undirferli og talar textasamskiptareglur, eða tengir það safn og skiptist á innri byggingum? Seinna fyrirkomulagið er náið á þann hátt sem hið fyrra er ekki, og þessi greinarmunur er það sem gagnrýnandi spyr fyrst um.

Taktu fram hvaða skrám þú breyttir

Breyttur frumkóði breytir greiningunni meira en nokkur umbúðaatriði. Ef þú bættir við vélina er bótin sjálf afleitt verk, og skyldan hvílir á þeim sem dreifir niðurstöðunni.

Skráðu hverja bót, tilgang hennar og hvort henni var sent uppstreymis, því bót sem fór aldrei úr geymslunni þinni er samt hluti af því sem þú dreifir ef þú dreifir tvíundarskránni.

Stillingarskrár, þemu og þýðingar lifa venjulega með viðmótinu, en þýðing sem felur frumkóðastrengi vélarinnar er lítil áminning um að mörkin séu eftir skrám en ekki möppum. Haltu mismun á milli útgáfu uppstreymis og byggingar þinnar svo svarið sé tiltækt að beiðni í stað þess að vera endurbyggt síðar. Sá mismunur er líka nytsamlegasti gripurinn þegar endurskoðandi spyr hvað breyttist.

Athugaðu OpenSSL-útgáfuna sér

OpenSSL 3.0 og nýrri eru dreift undir Apache License 2.0, en eldri útgáfur bera OpenSSL/SSLeay skilmálana. Þetta eru mismunandi skjöl með mismunandi skyldum, og sambætt vél getur tengt hvort þeirra sem byggingarkerfið þitt fann.

Staðfestu útgáfuna sem er raunverulega dreift en ekki þá sem er nefnd í byggingarskriftu.

Ósjálfstæði frá OpenVPN breytir ekki hverri OpenSSL-breytingu í GPL-kóða, og tengingarundantekningin fjarlægir ekki aðrar skyldur sem fylgja endurdreifingu safnsins. Meðhöndlaðu undantekninguna sem eina klausu í stærri greiningu, og skráðu eigin tilkynningar TLS-safnsins ásamt öllu öðru.

Settu saman sönnunarpakkann

Pakkinn hefur fjóra hluta: skrárvörutalningu með útgáfum, lýsingu á samþættingu, lista yfir breytingar með mismun og leyfistexta eins og þeim er dreift. Bættu við tilkynningarskránni sem þú dreifir og staðnum þar sem frumkóði er boðinn, ef skyldur þínar krefjast tilboðs.

Haltu pakkanum hjá einum eiganda svo engin útgáfa geti farið út án hans.

Ekkert af þessu ræður lögfræðilegu máli, og það er kjarninn: það gefur hæfum gagnrýnanda staðreyndirnar í stað samantektar sem einhver setti saman eftir minni. Markaðslýsing söluaðila er ekki sönnun um byggingu hans, og eigin ágiskun þín um hana er ekki heldur sönnun.