Dashlane、モバイル版パスワードマネージャーのソースコードを公開

2023年2月7日 17:07

headless 曰く、

パスワードマネージャーサービスの Dashlane がモバイルアプリのソースコード (Android版 / iOS版) アプリをGitHubで公開した (Dashlane Blog の記事、 BetaNews の記事)。

ライセンスは Creative Commons Attribution-NonCommercial 4.0 で、誰もが Dashlane モバイルアプリのコードを監査して仕組みを理解できるようにするのが主な目的だという。現在のところ貢献を受け付けられる状況にはなく、セキュリティ上の問題は Hacker One のバグ報告報奨金プログラムで報告する必要があり、コードベースの改善点は Issue を開くか電子メールで連絡する必要がある。将来的には貢献者が改善点の提案を GitHub 上で直接行えるようにしたいとも考えているとのこと。なお、各プロジェクトのファイルは一部非公開のものがあり、公開されたソースコードだけでアプリをビルドすることはできないとのことだ。

すべて読む | オープンソースセクション | オープンソース |

自由なFedoraを作る「Freed-ora」が終了

スラド

著者: headless

2022年12月24日 13:32

自由な Fedora Linux を作る GNU Linux-libre プロジェクトの「Freed-ora」が終了した (Alexandre Oliva 氏のメーリングリスト投稿、 Phoronix の記事)。

現在の Freed-ora は Fedora 環境にインストールすると非フリーの RPM がインストールされていないか確認し、GNU Linux-libre カーネルをセットアップしてデフォルトのカーネルに設定。以降は非フリーのパッケージがインストールされないよう RPM のライセンスタグを確認するとのこと。

メインテナーを務めた Free Software Foundation Latin America の Alexandre Oliva 氏によれば、Freed-ora 開始当時の Linux は現在よりも多くのブロブを使用していたという。しかし、Freed-ora を Fedora プロジェクトの一部として維持するという提案は断られ、ソフトウェアの自由に対する Fedora の姿勢を知ることになった。Fedora から名前を変更するように求められたこともあるそうだ。

Oliva 氏は既に Fedora を使っておらず、代わりのメインテナーを探しても見つからなかったため Fedora 35 のライフサイクルが終わるまでという条件で引き続きメインテナーを務めていたという。このたび、Fedora 35 のライフサイクルが終了し、Freed-ora も終了する運びとなった。当面 Freed-ora のリポジトリは残されるが、Oliva 氏は RPM Freedom への移行を推奨している。

すべて読む | オープンソースセクション | Linux | オープンソース |

オープンソースプロジェクトの脆弱性修正にかかる時間が 3 年間で倍以上に増加したとの調査結果

スラド

著者: nagazou

2022年6月23日 17:05

headless 曰く、

Snyk が Linux Foundation の協力によりまとめた報告書「State of Open Source Security 2022」によると、オープンソースパッケージの依存関係によりソフトウェアサプライチェーンの複雑さが増し、脆弱性の修正にかかる時間が長くなる傾向がみられるそうだ(プレスリリース、 BetaNews の記事)。

オープンソースパッケージは現代的なアプリケーションで重要な要素となっており、開発者は数多くのオープンソースパッケージをプロジェクトで使用する。プロジェクトごとの直接的な依存関係は平均 80、最も多い JavaScript プロジェクトでは平均 174 まで増加する。依存関係は直接的なものだけでなく、推移的 (間接的) な依存関係もある。推移的依存関係は見えないリスクを生むだけでなく、修正も困難だ。脆弱性全体の 40 % が推移的依存関係で見つかっており、プロジェクトごとの平均的な脆弱性の数 49 に対し、18 ～ 20 が推移的依存関係から発生することになる。

その一方でオープンソースソフトウェア (OSS) の開発・利用に関するセキュリティポリシーを確立している組織は 49 %。組織内の OSS のセキュリティを信頼していないという回答は 41 % にのぼる。ただし、72% は 2022 年末までにある程度以上のセキュリティを確保できると回答しているという。オープンソースプロジェクトで脆弱性が修正されるまでの (平均) 時間は 2018 年の 49 日間から 2021 年には 110 日間まで増加しており、プロプライエタリプロジェクトよりも 18.75 ％長い時間を要するとのことだ。

MimeMagicにGPLのコードが含まれることが発覚、Ruby on Railsがビルド不可に

スラド

著者: nagazou

2021年3月26日 18:01

packetroxy 曰く、

ファイルの種類(MIME Type)を識別するライブラリであるMimeMagicで発覚したGPL問題が波紋を広げている。

MimeMagicは従来MIT Licenseでライセンスされるオープンソースソフトウェアであったが、コアとなるマジックナンバー識別データベースのfreedesktop.org.xmlが、GPL v2.0でライセンスされるfreedesktop.org/shared-mime-infoの成果物であることが判明(minad/mimemagic Issue #97)。

GPLでライセンスされるファイルと一体のものとして提供されるソフトウェアは、同じくGPLでライセンスすることが再配布の条件となる。MimeMagicのメンテナは、即座にライセンスをGPL v2.0に変更した新しいバージョンをリリースすると共に、誤ったライセンスを適用していた過去のバージョンをパッケージマネージャーのRubyGemsから取り下げた。

その結果、MimeMagicの過去のバージョンに依存していたソフトウェアがビルドできない事態に発展。著名なWebアプリケーションフレームワーク「Ruby on Rails」もそのひとつで、新しいGPLのMimeMagicを使うのか、別の代替ライブラリを使うのか、オンザフライで識別データベースを読み込むのか、自前でファイルを識別するのか、難しい判断を求められている(minad/mimemagic Issue #98, rails/rails Issue #41750)。

すべて読む | オープンソースセクション | オープンソース |

オープンソースプロジェクトの商標問題に対応する「オープンソース商標イニシアティブ」が誕生

スラド

著者: nagazou

2020年12月2日 18:02

オープンソース・グループ・ジャパンは11月30日、「オープンソース商標イニシアティブ」(Open source TradeMark Initiative:OTMI)をスタートさせた（– Open Source Group Japan – オープンソース・グループ・ジャパン）。理事長はスラドでもおなじみの佐渡秀治氏。OTMIは、最近顕在化しているオープンソースプロジェクトの商標登録や管理を支援するプロジェクトであるという。

設立の背景としてはPublickeyの記事が詳しいが、国内でもPythonの商標のように、オープンソース関連の商標権を無関係の企業に登録されてしまう事例が増えている。しかし、ボランティア主体のプロジェクト管理者では、弁護士または弁理士などの協力も必要となる商標管理問題に対処することは難しい。また登録するにしても費用も発生することになる。OTMIではそうしたオープンソースにおける商標登録や管理を支援する役割を担うとしている。

公式サイト上では取り組みの方針としては以下のような項目を挙げている

1. 商標登録の啓蒙と登録のための金銭を含む支援
2. コミュニティ向けの標準的な商標利用許諾ガイドラインの作成
3. 係争への積極的介入
4. コミュニティからの委託または寄贈を受けて、自ら商標を取得、管理、運用

すべて読む | オープンソースセクション | オープンソース |

MIT、研究成果をオープン的に使う提案がないとしてエルゼビアとの契約交渉を終了へ

スラド

著者: nagazou

2020年6月16日 17:30

あるAnonymous Coward 曰く、

マサチューセッツ工科大学(MIT)が、大手学術出版社エルゼビアとの契約交渉を終了したと発表した。「MIT Framework for Publisher Contracts」に沿った提案がなされなかったのが契約終了の理由だという。
このMIT Framework for Publisher Contractsは「研究により得られた成果や資料はオープンな状態で共有することによって知識の発展につながり、やがては世界的な課題への取り組みに活かされることになる」という考え方だという。MITはエルゼビアに対してこの方針に沿った提案を求めていたものの、エルゼビアはその要求を満たせなかったとしている。ただし、MITの希望に沿う新たな提案があれば交渉を再開もあるようだ（GIGAZINE）。

すべて読む | オープンソースセクション | オープンソース |

リーディングビュー