Quỹ Linux phát hành sách trắng giải thích cách giải quyết các biện pháp kiểm soát xuất khẩu của Hoa Kỳ đối với các dự án nguồn mở

Tiêu đề gốc: "Quỹ Linux phát hành sách trắng giải thích cách ứng phó với các biện pháp kiểm soát xuất khẩu của Hoa Kỳ đối với các dự án nguồn mở"

Nguồn gốc: Unitimes

Gần đây, Linux Foundation đã phát hành sách trắng mô tả cách cộng đồng nguồn mở có thể hiểu và tuân thủ các quy định chung liên quan đến các yêu cầu kiểm soát xuất khẩu của Hoa Kỳ và mã hóa nguồn mở. Tin tức này được phát hành bằng cả tiếng Trung và tiếng Anh, đồng thời sách trắng cũng trình bày nội dung bằng cả tiếng Trung và tiếng Anh.

Sau đây là toàn văn thông báo phát hành từ Linux Foundation.

Giới thiệu

Một trong những lợi thế lớn nhất của việc phát triển nguồn mở là nó cho phép cả thế giới cộng tác. Tuy nhiên, vì phát triển nguồn mở là một hoạt động toàn cầu nên nó nhất thiết liên quan đến việc làm cho phần mềm có sẵn xuyên biên giới quốc gia. Các quy định kiểm soát xuất khẩu ở một số quốc gia, chẳng hạn như Hoa Kỳ, có thể yêu cầu thực hiện các bước bổ sung để đảm bảo rằng một dự án nguồn mở tuân thủ các nghĩa vụ theo quy định của địa phương.

Bài viết này phác thảo các nguyên tắc chung liên quan đến các yêu cầu kiểm soát xuất khẩu của Hoa Kỳ và mã hóa nguồn mở mà cộng đồng nguồn mở nên hiểu và theo. .

Kiểm soát xuất khẩu từ Hoa Kỳ và các quốc gia khác

(Quy định quản lý xuất khẩu) (sau đây gọi là "EAR") là quy định chính của chính phủ liên bang Hoa Kỳ về hạn chế xuất khẩu. Nó được quản lý bởi Cục Công nghiệp và An ninh thuộc Bộ Công nghiệp Hoa Kỳ. Commerce.Security) (sau đây gọi tắt là "BIS") được xuất bản và sửa đổi thường xuyên. Pháp lệnh kiểm soát xuất khẩu áp dụng cho tất cả "các mặt hàng thuộc Pháp lệnh kiểm soát xuất khẩu và có thể kiểm soát việc xuất khẩu, tái xuất khẩu hoặc chuyển giao (nội địa) các mặt hàng này".

Định nghĩa "xuất khẩu" theo EAR rộng hơn. Xuất khẩu không chỉ bao gồm việc di chuyển các sản phẩm vật chất từ bên trong Hoa Kỳ ra khỏi đất nước mà còn bao gồm các hoạt động khác, chẳng hạn như chuyển giao công nghệ cho những người không phải là công dân Hoa Kỳ hoặc những thường trú nhân hợp pháp không thuộc Hoa Kỳ cư trú tại Hoa Kỳ và việc cung cấp phần mềm để truyền điện tử tới những người bên ngoài Hoa Kỳ.

EAR này dường như đã gióng lên hồi chuông cảnh báo cho cộng đồng nguồn mở, nhưng tin tốt là nó được công khai được phát hành cho cả thế giới thưởng thức. Công nghệ nguồn mở không phụ thuộc vào EAR. Vì vậy, nguồn mở vẫn là mô hình thuận tiện nhất cho sự hợp tác toàn cầu.

Để tuân thủ các yêu cầu của EAR, nếu công nghệ nguồn mở được cung cấp công khai và không bị hạn chế thêm về phổ biến thì nó sẽ được "Phát hành" và do đó "không chịu sự điều chỉnh" của EAR.

Ngoài Hoa Kỳ, Liên minh Châu Âu cũng có những quy định tương tự trong quy định kiểm soát xuất khẩu của mình.

Những dự án nguồn mở nào được miễn các hạn chế xuất khẩu của EAR và EU?

Tất cả. Phần mềm nguồn mở do Linux Foundation và các cộng đồng dự án mà chúng tôi hợp tác sản xuất sẽ được phát hành và cung cấp công khai cho công chúng mà không có bất kỳ hạn chế phân phối nào.

Các tình huống sau (nhưng không giới hạn ở chúng) không bị hạn chế bởi EAR vì chúng là "nguồn mở" và "đã phát hành":

◈ Phần mềm nguồn mở được phát hành công khai không tuân theo EAR
◈ Được phát hành công khai Thông số kỹ thuật nguồn mở không phải tuân theo EAR
◈ Các tài liệu nguồn mở được phát hành công khai mô tả thiết kế phần cứng không phải tuân theo EAR
◈ Các nhị phân phần mềm nguồn mở được phát hành công khai không phải tuân theo EAR

Tuy nhiên, nếu dự án liên quan đến công nghệ mã hóa, cộng đồng nguồn mở có thể cần thực hiện một số biện pháp bổ sung để đáp ứng các yêu cầu "được phát hành" của EAR.

Các dự án sử dụng công nghệ mã hóa

EAR quy định việc xuất khẩu một số phần mềm và công nghệ mã hóa nhất định. Định nghĩa về "phần mềm mã hóa" rất rộng và có thể bao gồm phần mềm chỉ kích hoạt hoặc kích hoạt chức năng mã hóa của các sản phẩm phần mềm hoặc phần cứng khác.

Tuy nhiên, giống như phần mềm đã xuất bản không phải tuân theo EAR, phần mềm sử dụng công nghệ mã hóa cũng không phải tuân theo EAR nếu: (1) mã nguồn "có sẵn công khai" và (2) thông báo được gửi đến địa chỉ email được cung cấp trong mục 742.15(b).

Để đủ điều kiện được miễn trừ lần đầu, "có sẵn công khai" có nghĩa là "được xuất bản" theo định nghĩa EAR ”, điều này bao gồm xuất bản thông qua một trang web công cộng (tức là truyền thông công cộng). Miễn là một dự án phần mềm nguồn mở công cộng hoàn toàn đáp ứng tiêu chuẩn này, thì nó phải được coi là đã vượt qua phần đầu tiên của tiêu chuẩn đo lường: nếu mã nguồn của dự án được công khai trên Internet, nó phải được coi là "có sẵn công khai". ".

Để đáp ứng phần thứ hai của chỉ số trên, bạn cũng cần gửi email đến hai địa chỉ email được chỉ định ( Một là địa chỉ email của BIS: crypt@bis.doc.gov, còn lại là địa chỉ email của Cơ quan An ninh Quốc gia ("NSA"): enc@nsa.gov). Nội dung email cần bao gồm địa chỉ URL của mã nguồn có sẵn công khai (hoặc chính mã nguồn đó). Nếu có bất kỳ thay đổi nào về URL hoặc mã nguồn, bạn cần thông báo lại địa chỉ email trên bằng email.

Khi mã nguồn mã hóa được công bố công khai vượt qua hai tiêu chí đo lường trên thì mã mục tiêu tương ứng cũng sẽ không được quản lý bởi EAR.

Tất cả mã nguồn của dự án Linux Foundation, bao gồm cả phần mềm mã hóa, đều được cung cấp công khai và chúng tôi đã cung cấp mã nguồn này Thông báo qua email dưới dạng miêu tả trên. Chúng tôi cũng đã xuất bản bản sao thông báo qua email trên trên trang web chính thức của LF. Do đó, mã nguồn dự án của Linux Foundation và mã đối tượng tương ứng không bị hạn chế mã hóa của EAR.

Xin lưu ý rằng tình huống trên chỉ áp dụng cho chính dự án nguồn mở. Nếu mã nguồn không được tiết lộ, các nhà phân phối hạ nguồn sửa đổi mã dự án hoặc các sản phẩm phái sinh của nó vẫn cần đánh giá việc tuân thủ của chính họ với các quy định của EAR (cũng như với các phần mềm khác mà họ xuất khẩu).

Ngoài các dự án sử dụng mật mã, vào tháng 1 năm 2020, EAR đã bổ sung một dự án dành cho các hệ thống được đào tạo về phân tích không gian địa lý dựa trên mạng thần kinh. Các quy định mới. Giống như các công nghệ nguồn mở có sẵn công khai khác, phần mềm nguồn mở được phát hành công khai, ngay cả trong danh mục đào tạo phân tích không gian địa lý dựa trên mạng thần kinh, sẽ không phải tuân theo EAR.

Các phương pháp hay nhất trong cộng đồng phần mềm nguồn mở

Mặc dù các dự án nguồn mở không phải tuân theo EAR, nhưng chúng tôi đã học hoặc nắm vững một số thực tiễn liên quan đến Quy định quản lý xuất khẩu có thể hữu ích cho tất cả các cộng đồng nguồn mở.

Chúng tôi thường dùng từ "công khai" để mô tả nhiều thứ: giấy phép nguồn mở, thảo luận mở và minh bạch, công khai Mã nguồn có sẵn công khai được lưu trữ trong cộng đồng và các tổ chức tư vấn công cộng. Đối với cộng đồng nguồn mở, "công khai" có vẻ như là điều hiển nhiên phải làm, nhưng sau đây là một số gợi ý cụ thể để cộng đồng xem xét.

Mở, công khai

Đầu tiên, cộng đồng nên cố gắng duy trì các cuộc trò chuyện kỹ thuật cởi mở và công khai. Điều này là bình thường nếu các cuộc trò chuyện kỹ thuật riêng tư diễn ra trong cộng đồng, nhưng các quyết định và kết quả của cộng đồng nên được công khai. Điều quan trọng đối với dự án của chúng tôi là công khai và minh bạch thông tin vì các thông tin liên lạc riêng tư về công nghệ hoặc thông tin kỹ thuật có thể không đáp ứng các tiêu chuẩn "có sẵn công khai" của EAR.

Một vấn đề phát sinh liên quan đến việc trao đổi thông tin liên quan đến vấn đề bảo mật trong quá trình tiết lộ bảo mật. Theo cách tốt nhất, các dự án có thể xem xét việc tiết lộ những trao đổi như vậy khi có bản sửa lỗi, thay vì giới hạn thông tin này trong danh sách công khai bí mật.

Gửi thông báo được mã hóa tới BIS và NSA

Nếu dự án phần mềm nguồn mở của bạn triển khai hoặc sử dụng các khả năng mã hóa được ECCN 5D002 quy định, bạn sẽ cần gửi thông báo mã hóa tới BIS và NSA theo yêu cầu của EAR. Các yêu cầu cụ thể đối với EAR như sau:

◈ Gửi email đến crypt@bis.doc.gov và enc@nsa.gov. Nếu dự án của bạn là dự án LF và thông báo của bạn không xuất hiện trên trang quản lý xuất khẩu của chúng tôi, vui lòng gửi thông báo tới legal@linuxfoundation.org.

◈ Email phải bao gồm địa chỉ của trang web chứa mã nguồn được mã hóa công khai hoặc chính mã nguồn đó .

◈ Nếu bạn cung cấp địa chỉ trang web, bạn phải gửi email mỗi khi thay đổi địa chỉ trang web Gửi thông báo, nhưng bạn không cần thông báo về các cập nhật hoặc thay đổi đối với mã nguồn.

◈ Nếu bạn cung cấp chính mã nguồn thì bất cứ khi nào chức năng mã hóa được cập nhật hoặc thay đổi, bạn sẽ phải cung cấp mã nguồn.

Quỹ Linux đề xuất một số chi tiết bổ sung như là phương pháp hay nhất:

◈ Để nâng cao tính minh bạch và thể hiện sự tuân thủ, hãy công khai các thông báo được gửi tới BIS và NSA. Điều này cũng giúp giải quyết sự nhầm lẫn giữa những người dùng xuôi dòng về việc liệu thông báo có được cộng đồng gửi hay không. Bằng cách cung cấp thông báo công khai, bạn có thể tránh được những vấn đề đau đầu này.

◈ Đính kèm thông tin liên hệ và tên của pháp nhân chịu trách nhiệm về dự án.

◈ Thiết kế một hệ thống để lưu giữ bằng chứng trung và dài hạn cho thấy các email thông báo gửi tới BIS và NSA đã thực sự được gửi đi. Bởi vì chỉ dựa vào bản ghi hộp thư "Đã gửi" không phải là một ý kiến hay nếu có vấn đề phát sinh trong tương lai hoặc nếu cá nhân mất quyền truy cập vào hộp thư "Đã gửi" (ví dụ: người gửi thay đổi công việc).

Ngoài ra, nếu bạn đang phân phối phần mềm mã hóa có sẵn công khai ở dạng mã đối tượng, bạn cũng cần đảm bảo rằng phần mềm đó Cũng có sẵn công khai ở dạng mã nguồn.

Nếu phần mềm mã hóa phải được phân phối ở dạng mã nhị phân hoặc mã đối tượng, bạn phải đảm bảo rằng mã nguồn tương ứng được cung cấp công khai. Cách dễ nhất là xuất bản mã nguồn của phiên bản phần mềm mã hóa một cách độc lập như mã nguồn của chính dự án. (Trên thực tế, tùy thuộc vào giấy phép nguồn mở hiện hành, điều này cũng có thể cần thiết hoặc ít nhất là hữu ích để tuân thủ giấy phép nguồn mở.)

Ngoài việc xem xét thủ công, còn có một số công cụ quét với các khả năng khác nhau (chẳng hạn như Fossology vàexportctl) có thể quét mã nguồn và phát hiện ứng dụng của các chức năng mã hóa. Không có công cụ quét tự động nào có thể phát hiện hoàn hảo tất cả các ứng dụng nhưng những công cụ này có thể hữu ích trong việc xác định phần mềm mật mã trong các cơ sở mã lớn.

Liên kết gốc: https://mp.weixin.qq.com

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia