開源界會(huì)否面臨「華為之劫」？

本文作者：黃善清

2019-05-22 11:16

導(dǎo)語：「覆巢之下復(fù)有完卵乎」

雷鋒網(wǎng) AI 科技評(píng)論按：近日，谷歌旗下安卓將對(duì)華為進(jìn)行系統(tǒng)「封鎖」的報(bào)道，給國(guó)內(nèi)科技界投下了一枚震撼彈?！父渤仓聫?fù)有完卵乎」，一時(shí)間人人感到自危，尤其當(dāng)大家發(fā)現(xiàn)，向來以「開源」著稱的開源基金會(huì)及開源代碼托管平臺(tái)，實(shí)際上也受美國(guó)出口管理?xiàng)l例 ( Export Administration Regulation , EAR ) 管制，過去深信「開源無國(guó)界」的國(guó)內(nèi)開發(fā)者們開始擔(dān)心，類似的「封鎖」事件也會(huì)在這個(gè)領(lǐng)域上演。

開源界會(huì)否面臨「華為之劫」？

在 5 月 20 日的一篇《開源界也要注意，Apache 基金會(huì)與 GitHub 都受美國(guó)法律約束》文中，「開源中國(guó)」通過展示 Apache 軟件基金會(huì)以及 GitHub 官網(wǎng)中涉及出口限制部分的內(nèi)容，表示對(duì)開源項(xiàng)目在未來的「自由度」會(huì)否受到限制感到擔(dān)憂。

開源界會(huì)否面臨「華為之劫」？

Apache 軟件基金會(huì)官網(wǎng)上的「產(chǎn)品出口須知」

開源界會(huì)否面臨「華為之劫」？

Github 官網(wǎng)上的「出口管制規(guī)定」

文中指出，條款明確表明 GitHub Enterprise Server 不被允許出口至 EAR 限制清單中的國(guó)家，當(dāng)中包括古巴、伊朗、朝鮮、蘇丹和敘利亞：

「GitHub Enterprise Server may not be sold to, exported, or re-exported to any country listed in Country Group E:1 in Supplement No. 1 to part 740 of the EAR or to the Crimea region of Ukraine. This list currently contains Cuba, Iran, North Korea, Sudan & Syria, but is subject to change.」

「那幾時(shí)突然再加進(jìn)來一個(gè)中國(guó)呢？」「開源中國(guó)」在文中反問道。

開源項(xiàng)目受不受美國(guó)出口管制？

該文出來后，話題迅速發(fā)酵。其中，來自中科院計(jì)算所的包云崗研究員反應(yīng)最為迅速，他立馬組織人員開展調(diào)研，對(duì) 12 個(gè)知名開源基金會(huì)、6 個(gè)常用的開源協(xié)議、3 個(gè)代碼托管平臺(tái)進(jìn)行了調(diào)研與分析，并向海外朋友進(jìn)行咨詢，最終得出以下結(jié)論：

開源基金會(huì)管理開源項(xiàng)目，但基金會(huì)的管理辦法差異較大，而基金會(huì)旗下的開源項(xiàng)目也可以選擇不同管理辦法。例如：一、Linux 基金會(huì)自身的管理辦法不受美國(guó)出口管制，所以旗下的項(xiàng)目包括 Linux Kernel 等默認(rèn)遵循該管理辦法，但虛擬化項(xiàng)目 Xen 明確說明遵循美國(guó)出口管制，就屬于 Linux 基金會(huì)中的特例；二、Apache 基金會(huì)的管理辦法明確說明遵循美國(guó)出口管制，所以它旗下所有項(xiàng)目如 Hadoop、Spark 都將受到出口管制。三、Mozilla 基金會(huì)明確聲明遵守加州法律，出現(xiàn)各類糾紛將必須到 Santa Clara 的法庭裁決。
目前調(diào)研的開源許可協(xié)議族（GPL、LGPL、BSD、MIT、Mozilla、Apache 2.0）均未涉及與政府出口管制無關(guān)的聲明。
目前調(diào)研的 3 個(gè)代碼托管平臺(tái) GitHub、SourceForge、Google Code 均明確聲明遵守美國(guó)出口管制條例，并按加州法律解決糾紛。

小結(jié)：

合理的開源基金會(huì)管理辦法可以規(guī)避美國(guó)出口管制

開源協(xié)議與出口管制無關(guān)

代碼托管平臺(tái)是開源的最大風(fēng)險(xiǎn)

雷鋒網(wǎng) AI 科技評(píng)論認(rèn)為，如果單就平臺(tái)/協(xié)議聲明進(jìn)行解讀的話，一切依然存在模糊性。

開源界會(huì)否面臨「華為之劫」？

截至下午 6 點(diǎn)為止，該條微博已獲得 482 個(gè)轉(zhuǎn)發(fā)與 150 個(gè)點(diǎn)贊

如果從美國(guó)出口管理?xiàng)l例入手解讀，會(huì)不會(huì)對(duì)我們有更多啟發(fā)？

在個(gè)人微博上，包云崗?fù)扑]了一篇由臺(tái)灣開放文化基金會(huì)法制顧問、開源社法律咨詢委員會(huì)成員林誠(chéng)夏先生撰寫的解讀文章《專家解讀：開源軟件項(xiàng)目是否會(huì)被限制出口？》，雷鋒網(wǎng) AI 科技評(píng)論對(duì)原文進(jìn)行了不改變?cè)x的總結(jié)：

根據(jù)美國(guó)出口管理?xiàng)l例 EAR 734.7 (a) 條款，只要符合「公開可及 (Publicly available)」定義的軟件，就不在 EAR 的管制范圍內(nèi)，也就不需要申請(qǐng)相關(guān)許可。

注：Part 734 章節(jié)里的 734.7 對(duì)于何謂「公開可及 (§ 734.7 PUBLISHED ) 做了定義說明及例示，簡(jiǎn)要來說：「技術(shù)或軟件已經(jīng)是被一般公眾可以接觸，并不限及其后續(xù)散布者 ( when it has been made available to the public without restrictions upon its further dissemination）。

目前看來，這個(gè)解讀基本上可以打消大部分人的顧慮，不過文中也強(qiáng)調(diào)一點(diǎn)：

EAR 734.7 (b) 說明「公開可及」的軟件雖然不要取得許可，可一旦軟件涉及加解密技術(shù)，申請(qǐng)?jiān)S可就成為必要的流程。除非是這個(gè)加解密技術(shù)也是「公開可及」的，那么只需要向美國(guó) BIS 匯報(bào)備查即可。

只要不涉及加解密技術(shù)，我們就安全了嗎？

「開源中國(guó)」隨后發(fā)布的一篇文章《所以 Apache 基金會(huì)不受美國(guó)法律約束？》指出，經(jīng)過與同行專家討論后，他們認(rèn)為 Apache 軟件基金會(huì)官網(wǎng)關(guān)于產(chǎn)品出口說明的內(nèi)容「表達(dá)的含義其實(shí)模棱兩可，充滿了不確定性。」：

Therefore, U.S. export laws and regulations apply to our distributions and remain in force as products and technology are re-exported to different parties and places around the world.

美國(guó)的出口法律和法規(guī)適用于我們的分發(fā)，并且隨著產(chǎn)品和技術(shù)再出口到不同的地方依舊保持有效。

再者，基金會(huì)的聲明是否會(huì)直接影響項(xiàng)目的開源情況？?jī)烧咧g究竟是一個(gè)什么樣的關(guān)系？這些我們依然未有明確答案。

開源界會(huì)否面臨「華為之劫」？