关于开源:达摩克利斯之剑开源软件的合规风险及防控策略

作者简介

冯才效，SEAL 平安工程师，领有 6 年云计算畛域教训，先后参加 Rancher, Harvester 等开源我的项目。现致力于编写开发者敌对型的软件供应链平安检修工具。

开源软件静止衰亡于上个世纪，近几年在国内愈发沉闷，各类开源我的项目如雨后春笋般涌现。与此同时，大部分企业开始拥抱开源。开源软件的应用防止反复造轮子，晋升了产品研发效率，但同时也可能会带来暗藏的危险。

开源软件和商业软件不同，开源软件是面向公众凋谢软件源代码，代码的获取者享受在其许可证受权范畴内操作开源软件的权力。不同许可证之间，具体条款可能存在抵触。因而，开源许可证合规是危险防控的重要思考因素之一。

开源软件合规危险

知识产权纠纷

开源软件并不意味着用户能够自在应用，而是通过许可证规定使用者应用、批改和公布软件的权力。大多数古代软件都集成了大量的开源组件，它们应用的许可证在具体的条款上存在差别，不恪守许可证规定应用，将可能造成侵权，重大时可能会面临法律诉讼，产品召回等危险。

许可证抵触

不同许可证的条款各不相同，开发软件的过程中也将多个不同的开源组件合并成新软件，若应用的开源软件许可证条款之间存在抵触，将可能使得合并成的新软件不非法。Ruby Rails 团队就曾遇到该问题。GPLv2 许可证的 mimemagic 应用了 MIT 许可证的 shared-mime-info 软件，这两种许可证是不兼容的。mimemagic 的作者在被告知后将最新版的 0.4.0 和 0.3.6 挪动到 GPLv2 下。然而 Ruby on Rails 和其余应用了该包的软件都受到了影响，成千上万的团队都可能要做出调整，最终 Rails 用 Marcel 替换了 mimemagic。

公有软件开源

在引入应用了传染型许可证的开源软件时，根据该许可证的要求，可能使得公有软件必须也继承该许可证，进而被要求公开公有源代码。

企业如何进行合规查看？

制订开源合规策略

开源合规策略是基于开源软件许可证的根底条款、现行政策并联合使用者本身状况，制订的一系列应用开源软件的条件。构建开源合规策略是合规查看的根底。

• 梳理开源许可证条款

梳理开源软件罕用许可证相干条款，构建易读快捷查问的手册。

• 构建许可证分组策略

对罕用许可证进行分组。自在应用许可证组，须要审查许可证组，禁止应用许可证组。高级的分类反对开发人员疾速做出抉择，防止合规问题同时兼顾开发效率。

• 构建许可证兼容策略

许可证兼容性是指许可证间是否兼容。理论开发中，会应用大量开源软件，能够参考许可证兼容性矩阵构建许可证兼容性策略，查看同一个我的项目中集成的组件之间是否存在许可证抵触。

许可证的兼容矩阵

制订合规的软件开发流程

一个软件的生命周期包含需要剖析、设计、实现、测试、部署、运维 7 个阶段，将开源合规流程纳入软件开发生命周期治理，能无效防止合规危险。

• 需要分析阶段 ，除了确立软件需要标准，同时须要和所有利益相干方明确软件所需的合规策略，合规流程，独特确立应用的软件成分清单规范，确保能获取清晰的软件成分，残缺的成分依赖关系，便于后续进行合规检测。SBOM 是软件成分清单规范的一种实现，现实状况下，在软件供应链中参加的各方，每一环节都将输入 SBOM 提供给下一环节，依据 SBOM 可检测是否违反合规策略，应用对立的 SBOM 格局将有助于后续构建自动化检测机制。
• 软件设计阶段 ，依据合规策略抉择适合的开源软件。
• 软件实现阶段 ，理论开发中可能应用大量的开源软件，可借助工具扫描我的项目，获取我的项目间接，间接应用的开源软件，以及其软件许可证等信息，生成软件成分清单文件与物料清单（SBOM），能够更加简略，高效的解决软件成分和许可证的辨认问题。确保 SBOM 中应用到的开源软件的许可证属于自在应用许可证组，或经审批容许应用；不存在平安危险，或引入的平安危险在可控范畴内。
• 软件测试阶段 ，查看生成的 SBOM 是否符合标准，信息是否齐备，依据 SBOM 查看应用的开源软件是否违反合规策略。
• 部署阶段 ，通过最终测试后，构建残缺的软件 SBOM，蕴含软件根本信息，依赖关系等，并确保最终输入的软件不存在合规危险，输入软件的同时为上游用户提供 SBOM。
• 运维阶段 ，继续跟进合规策略库和软件的更新，定期生成最新的 SBOM 进行检测，及时发现合规危险，对因变动引起违反合规策略的状况，及时修复。

总结

开源在软件畛域曾经势不可挡，随之而来的危险也不容忽视。企业在采纳开源软件的同时，也应时刻留神悬在头顶上方的达摩克利斯之剑，踊跃制订开源合规策略和流程，定期进行合规查看，在享受开源带来的便当的同时，躲避其危险。

参考链接：

Comparison of free and open-source software licenses:

https://en.wikipedia.org/wiki…

Fulfilling Open Source license obligations Can checklists help?:

https://events19.linuxfoundat…

Rails waves goodbye to mimemagic, welcomes Marcel to fix GPL MIME drama:

https://www.theregister.com/2…