Свободные лицензии

В универе у нас был отличный курс про лицензиям на программное обеспечение. Вёл его бывший программист, который переквалифицировался в юриста. Одним из домашних заданий было спарсить с гитхаба лицензии на определённый софт и проверить их совместимость. Спарсить эти лицензии удалось не только лишь всем, мы же всё таки юристы, а не программисты. Тем не менее, предмет отложился в памяти и пригодился в работе. Сегодня я хочу рассказать о свободных лицензиях, копилефте (copyleft) и как всё это используется в программном обеспечении.

Общепринято считать код объектом авторского права. И у него есть свой правообладатель. Чаще всего это разработчик или его работодатель. Использовать чужой код без лицензионного соглашения с правообладателем по умолчанию запрещено практически во всех юрисдикциях. Однако, многие авторы хотят чтобы их программы распространялись и использовались свободно и без ограничений во имя прогресса и всеобщего процветания.

Для этих целей и были разработаны "свободные" или "открытые" лицензии (free or open licenses). Они представляют собой лицензионные соглашения, текст которых обычно хранится вместе с исходным кодом в репозиториях на сервисах для хостинга (таких как гитхаб).

Чтобы лицензия считалась “свободной” она должна позволять:
1️⃣ запускать программу в любых целях;
2️⃣ изучать работу программы и адаптировать её к своим нуждам (условие - доступ к исходному коду);
3️⃣ создавать и распространять копии программы;
4️⃣ улучшать программу и публиковать улучшения.

Вышеуказанные права обычно предоставляются любому человеку. Такие лицензии как правило бессрочные, всемирные, неисключительные и безотзывные. При этом большинство свободных лицензий и законодательств стран требует в том или ином виде указывать авторство создателей софта.

Среди свободных лицензий выделяют:
🟢пермиссивные (BSD, MIT, Apache);
🟢копилефтные строгие (GNU GPL);
🟢копилефтные слабые (LGPL, MPL);
🟢лицензии на передачу кода в общественное достояние (the Unlicense).

Об этих лицензиях я расскажу подробнее в других постах.

IT-юрист в эмиграции

Сент-Винсент и Гренадины как юрисдикция для криптокомпаний

Сент-Винсент и Гренадины (англ. Saint Vincent and the Grenadines, или коротко SVG) - маленькое островное государство на Карибах, где правит генерал-губернатор, главой считается британский Король, а официальный язык - английский. SVG пользуется ограниченной популярностью у криптанов и сейчас объясню почему.

⛔️ Если вы введёте в Гугле что-то типа "crypto licence SVG", вам выпадет куча результатов с предложением оформить там лицензию под ключ. Но прикол в том, что криптолицензирования на данный момент там нет. Как и крипторегулирования в целом. В 2018 году местные регуляторы даже выпустили предупреждение, что они не выдают никаких криптовалютных лицензий. И вообще крипта это риск, спекуляция, гроб, гроб, кладбище.

🔘Однако, время течёт и SVG в прошлом году принимают свой закон о виртуальных активах (The Virtual Assets Business Act, May 10, 2022). Он предусматривает регистрацию криптокомпаний у регулятора и обязывает их соблюдать антиотмывочное законодательство. Но в силу закон вступит только после того как его провозгласит Генерал-губернатор. Чего тот до сих пор так и не сделал. Хотя местный регулятор уже просит криптокомпании, которые работают или хотят работать на SVG, написать им на мыло.

😁В общем долгое время (да и сейчас по факту) там не было никакого крипторегулирования. Зарегистрировал компанию и работай. Удобная серая зона, с тенденцией к обелению.

#крипта

Пермиссивные лицензии

Продолжаю рассказывать про свободные лицензии на программное обеспечение. Сегодня разберу так называемые "пермиссивные лицензии" (Permissive free software license).

📄Эти лицензии представляют из себя лицензионные соглашения, которые накладывают на пользователей минимум ограничений при использовании, модификации и распространении кода. Они позволяют свободно интегрировать код даже в проприетарные проекты. При этом производные работы, при соблюдении определённых формальных условий, могут распространяться под любой лицензией. В этом главное отличие пермиссивных лицензий от копилефтных.

Среди пермиссивных лицензий можно выделить три наиболее известные: BSD, MIT и Apache.

🟢BSD (Berkeley Software Distribution) License является одной из самых старых и популярных пермиссивных лицензий. Она предоставляет разработчикам право свободно использовать, модифицировать и распространять код. Основное требование BSD-лицензии - сохранение уведомления об авторских правах во всех копиях кода.

🟢MIT License является очень простой свободной лицензией. Она позволяет использовать, модифицировать и распространять код в любых условиях, включая коммерческое использование. Как и в случае BSD, основное условие - сохранение уведомления об авторских правах.

🟢Apache License даёт право использовать программное обеспечение для любых целей, свободно изменять и распространять изменённые копии. При этом она также обязывает сохранять уведомления об авторских правах. Но в отличие от предыдущих лицензий, требуется обозначать изменения, сделанные в исходном коде, и размещать ссылку на оригинальную лицензию (или её текст). Ещё одной особенностью Apache License является то, что она включает положения о патентных правах, что делает её более подходящей для проектов с большим количеством участников.

🌍В целом, пермиссивные лицензии способствуют широкому распространению и использованию программного обеспечения, поскольку они не накладывают жестких ограничений на разработчиков. Это делает их привлекательными для открытых и коммерческих проектов, которые ценят свободу и гибкость в использовании стороннего кода.

Криптовалюты и анонимность

Часть 1

Многие уверены, что пользуясь криптой можно сохранять анонимность. Ведь якобы никто не может определить владельца криптокошелька кошелька или отследить его транзакции. Но настолько ли анонимны криптовалюты, как принято считать?

🕶Действительно, для создания некастодиального кошелька для большинства криптовалют не требуется ни KYC, ни ФИО, ни даже адреса электронной почты. Вам просто нужно придумать или сгенерировать личный ключ (сид-фразу). Поэтому, по умолчанию, зная только номер такого кошелька, установить его владельца действительно невозможно.

Но сам по себе кошелек не имеет ценности. Для того, чтобы пользоваться таким кошельком его необходимо как пополнять фиатом, так и выводить средства в фиат, ведь оплата криптой пока мало где возможна. И здесь, на мой взгляд, возникают самые большие уязвимости криптовалюты.

🤔Одним из самых очевидных способов пополнения кошелька для мамкиного анонимуса является peer-to-peer обменник криптовалют. Для этого нужно перевести фиатные деньги на счет лица, которое, в свою очередь, переводит эквивалентную сумму криптовалюты на ранее введенный пользователем адрес криптовалютного кошелька.

🟠Но даже если сами обменники не идентифицируют клиентов (а во многих странах это обязательное условие использования), они все равно получают, по крайней мере, информацию о IP-адресе клиента, а иногда и о счёте, с которого осуществляется пополнение, номере криптовалютного кошелька для пополнения и адресе электронной почты. Все эти данные, в случае утечки информации, продажи ее киберпреступникам или передачи властям, помогут установить личность пользователя конкретного кошелька. С выводом средств история аналогична.

🔸Второй способ пополнения криптовалютного кошелька - через криптовалютные биржи (Binance, Coinbase и т. д). На них можно купить определенное количество криптовалюты, в том числе у других частных пользователей, и затем вывести ее на свой некастодиальный криптовалютный кошелек.

🟠Но биржи последнее время подвергаются очень жесткому регуляторному давлению, особенно в США. Для регистрации и проведения операций на таких биржах необходимо пройти KYC, предоставить информацию о себе, включая адрес. Кроме того, зачастую биржи, чтобы функционировать в ряде юрисдикций, должны авторизоваться у регулятора и предоставлять ему отчёты о подозрительных транзакциях, а также собирать данные о своих клиентах. В частности, биржи, работающие в Европе, обязаны предоставлять эти данные по запросу правоохранительных органов, согласно положениям пятой AML директивы Евросоюза (Directive (EU) 2018/843).

Например, одна из крупнейших криптовалютных бирж Coinbase сообщила, что только за шесть месяцев 2020 года она получила 1914 запросов от властей, требующих информацию о клиентских счетах и другие данные. Я думаю, что сейчас их количество выросло кратно. Кроме того, утечки данных с бирж не редкость. Например, в начале 2021 года на бирже криптовалют BuyUcoin произошла утечка данных 300 000 пользователей. Таким образом, при покупке криптовалюты через биржу можно забыть о анонимности.

В следующей части расскажу о том, как отслеживаются транзакции.

#крипта

Криптовалюты и анонимность

Часть 2

Продолжаю опровергать устоявшийся стереотип о том, что криптовалюта = анонимность. В первой части рассмотрены уязвимости для конфиденциальности при пополнении кошельков. А сегодня расскажу о транзакциях.

💰Блокчейн спроектирован таким образом, что все транзакции являются общедоступными, хранятся в открытом, незашифрованном виде со свободным доступом к каждому блоку. Поэтому любой человек может узнать баланс криптовалютного кошелька и отследить, сколько средств было передано, точное время совершения транзакции и адреса кошельков-контрагентов. Это относится к большинству блокчейнов, но не ко всем.

🪙Существуют криптовалюты, разработанные специально для обеспечения высокой степени анонимности пользователей. Там используются протоколы кольцевой подписи и прочие технические и криптографические уловки, которые мой мозг гуманитария не в состоянии осмыслить. Тем не менее, мой мозг гуманитария в курсе, что их оборот часто запрещён или ограничен на биржах, да и обменники предпочитают не иметь с ними дел. Не говоря уже о регуляторных запретах. Ну и несмотря на всю анонимность таких криптовалют, от проблемы пополнения и вывода средств никак не уйти.

🪙Что касается обычного блокчейна, то существуют специальные сервисы для отслеживания и криптовалютных транзакций и анализа криптокошельков. Одни из самых известных: Chainalysis и Elliptic. Они проверяют все ранее проведенные транзакции с конкретного криптовалютного кошелька и показывают с каких бирж и кошельков поступали средства, куда уходили средства и с какой сферой связаны транзакции.

Многие биржи, обменники и кастодиальные сервисы используют эти данные чтобы анализировать транзакции и проверять клиентов в рамках AML процедур. И если выяснится, что кошелёк или транзакция связаны с незаконной или даже просто рискованной деятельностью (например гэмблинг) - они могут отказать в оказании услуг или даже заморозить средства.

В следующей части расскажу про криптовалютные миксеры и чем чревата их разработка.

#крипта

В прямом эфире мы наблюдаем как регулирование побеждает крипту. Ну или как минимум крупнейшую криптобиржу 🔶

Глава Binance Чанпэн Чжао уходит в отставку, а компания должна выплатить штрафы на 4,3 миллиарда долларов. Это условия сделки с Минюстом США.

Ранее биржу обвинили в нарушении уголовного законодательства США в области борьбы с отмыванием денег и противодействия финансированию терроризма и торговли наркотиками, а также в нарушении санкций США.

Итого биржа заплатила огромную цену за игнорирование регуляторных требований. Думаю этот кейс будет очень ярким сигналом всему крипторынку и вряд ли кто-то теперь решится экономить на AML процедурах.

Учёба и юридические предметы

Подписчики просят меня написать подробнее об учёбе, поэтому сегодняшний пост посвящён ей. Итак, напомню, что я учился в Университете Тарту на программе IT-law. Предметы, которые мы изучали, делились на две части: технические и юридические. Сегодня я расскажу о последних.

🛡 Privacy and data protection. Здесь мы изучали тот самый GDPR и сопутствующие нормы. На самом деле, это был один из самых сложных предметов, так как каждую неделю надо было сдавать тесты по предыдущему модулю и подготовка к ним занимала много времени. С другой стороны это стало стимулом для самостоятельной работы. В конце был дистанционный письменный экзамен из пяти вопросов и практического задания.

🖼 Intellectual Property in IT. Один из самых интересных, на мой взгляд, предметов. Его вели два очень грамотных преподавателя, оба практикующие юристы (один из них вообще бывший программист). Мы изучали различные судебные кейсы по интеллектуальной собственности на софт и не только. Также, здесь был модуль по лицензиям на ПО, про которые я сейчас рассказываю. И даже самостоятельная работа по гитхабу. Вместо экзамена - муткорт по оспариванию прав на дизайн.

👤 Human rights and IT. Это был факультативный предмет, но я не пожалел, что на него записался. Его вёл преподаватель по IP in IT (который не программист). У неё огромный опыт ведения дел в Европейском суде по правам человека, связанных с приватностью и поведением в интернете. Вместо экзамена - тоже муткорт, причём по делу, связанному с Россией.

🖋 E-Commerce and IT Contracts. Здесь было множество модулей, связанных с правами потребителя и антимонопольным регулированием в ЕС, электронной коммерцией, цифровыми подписями и даже с блокчейном. Все модули вели разные преподаватели. Вместо экзамена - задание составить договор на разработку ПО.

Много получается, поэтому про остальные предметы я расскажу в следующем посте.

Учёба и юридические предметы

В первой части я писал про юридические предметы, которые мы изучали на программе IT-law в Университете Тарту. Они, на мой взгляд, были самыми важными и интересными. Сегодня я расскажу про остальные юридические предметы. Большинство из них мне показались менее значимыми.

🔃 Legal Steps in IPR Intensive Enterprise Life Cycle. Многомодульный предмет. Очень поверхностно изучали принципы международного налогообложения, трудовое законодательство, корпоративное право, концепцию коммерческой тайны в контексте IT компаний. Практическое задание - консультация стартапа. В конце был дистанционный письменный экзамен из нескольких вопросов.

🔎 Digital Evidence, Computer Forensics and Cybercrime. Его вели действующие сотрудник прокуратуры и эксперт-криминалист. По большей части обсуждали вопросы, связанные с расследованием киберпреступлений и фиксацией доказательств. В конце был письменный экзамен с множеством вопросов. Кстати, это единственный почти классический письменный экзамен, который проходил в аудитории и ответы надо было давать на бумаге.

🤖 Artificial Intelligence and Law. Несмотря на интригующее название, предмет оказался довольно скучным. Его вёл профессор из Германии и в основном он монотонно читал лекции. Практическое задание было только одно: сделать реферат статьи про AI и презентовать группе. Предмет был сосредоточен на ещё не принятой европейской AI регуляции (как-нибудь я про неё напишу во всех подробностях). Также, мы сдавали промежуточный тест в виде письменной работы и экзамен в виде аналогичной письменной работы (одни из самых сложных работ за время учёбы).

🛡 Cyber Defence and International Cyber Security. Здесь мы изучали международные договоры, конвенции, решения международных судебных органов и кейсы связанные с международной кибербезопасностью. Вместо экзамена был муткорт, связанный с гипотетическим противостоянием двух вымышленных государств в киберпространстве.

В целом, по большей части юридические предметы оказались полезными, особенно для работы в международном консалтинге. Ну или как минимум интересными. Конечно многое зависело от преподавателя. Кто-то смог интересно провести свой модуль, кто-то нет. Но в любом случае потраченного времени не жаль. С техническими же предметами всё не так однозначно. О них я расскажу в следующем посте.

Учёба и технические предметы

Как я уже говорил, в универе все предметы делились на две категории. Про юридические я писал здесь и здесь. Сегодня расскажу про технические.

⌨ Introduction to Programming. Из названия думаю всё понятно. Здесь мы учили питон (чтобы уехать в Германию). В целом, мне было интересно, хоть я и далёк от кодинга. В качестве экзамена надо было запилить и презентовать свою свою программу. У меня это была текстовая РПГ, может как-нибудь выложу сюда.

🌐 Information Infrastructure and Architecture. Тут мы изучали всякое про мировую сеть, подводные кабели, спутники, как передаётся информация, как всё взаимосвязано и прочие технические вещи. Полезно для общего развития, не более.

👥 Public E-Services. Очень странный предмет. Он заключался в разработке (на бумаге!) своего собственного сервиса (в группах). То есть надо было его придумать, описать как он работает, какие у него компоненты, окна, виджеты, как заключаются договоры для его использования и так далее. Параллельно нам рассказывали про основы проджект менеджмента, scrum, agile, waterfall и прочие вещи, которые мы должны были использовать на практических занятиях при разработке сервиса.

❗️ Information Security. Из технических этот предмет понравился мне больше всего. Его вели два грамотных специалиста по информационной безопасности. Здесь мы изучали cookies и как они используются для целей взлома устройств, как работают http и https протоколы, VPN, TOR и прокси, что такое шифрование, криптография и хэш, как устроен блокчейн, принципы электронных подписей и ещё много чего. Этот предмет пожалуй больше всего меня погрузил в собственно мир IT и многие повседневные вещи стали более понятны.

Техническая часть местами была интересной, но местами местами я задавал себе вопрос: "Нафига мы это учим?". Но безусловно она дала мне более целостную картину той сферы, где я сейчас работаю. И на дейликах с программистами мне сейчас понятно где-то 50% того, о чём они говорят. Без этих предметов было бы, наверное, не больше 20%.

Копилефт-лицензии и сильный копилефт

Продолжаю рассказывать о свободных лицензиях на ПО. Сегодня речь пойдёт о копилефте (copyleft).

Копилефт-лицензии базируются на следующих принципах:
🟢Пользователи имеют право свободно использовать ПО в любых целях без ограничений.
🟢Копилефт-лицензия требует, чтобы исходный код был доступен для всех, кто использует ПО. Это обеспечивает прозрачность и возможность изучения того, как работает программа.
🟢Пользователи имеют право изменять и модифицировать ПО, а также распространять свои изменения. Таким образом, копилефт создает систему где улучшения и изменения возвращаются обществу.
🟢Любые производные работы должны также быть распространены под той же самой копилефт-лицензией, что и оригинальное ПО. Это обеспечивает сохранение вышеперечисленных свобод даже в новых версиях и измененных формах программ.

Если коротко, то основная идея копилефта заключается в том, чтобы гарантировать свободное использование не только оригинального ПО, но и любого ПО, производного от него, а также производного от производного и так далее до бесконечности. То есть автор производного произведения обязан распространять его с сохранением тех же самых прав, которые были предусмотрены лицензией на оригинальное произведение.

🦠 Таким образом, производные работы нельзя присваивать только себе или как-то ограничивать их распространение. Поэтому собственно и copyleft, как противоположность copyright. В этом также и главная опасность использования работ под копилефт-лицензией в коммерческих проектах. Они как бы “заражают” этой лицензией весь проект и по-факту ограничивают бизнес возможности, связанные с его продажей или прочими вариантами извлечения прибыли.

Самый известный пример копилефт-лицензии - GNU General Public License (GPL). Она предоставляет следующие права: право запуска программы с любой целью, право изучения того, как программа работает (с обязательным обеспечением доступа к исходному коду), право распространения копий, право модификации программы и выпуска модификаций в публичный доступ. При этом лицензия GPL требует, чтобы любые производные работы, основанные на ПО с этой лицензией, также были распространены под лицензией GPL.

💪🏻 Лицензия GPL это пример так называемого "сильного" или "строгого" копилефта. В отличие от него "слабый" копилефт предоставляет некоторые исключения и послабления при распространении производного ПО. Об этих лицензиях я расскажу в следующей статье.

Соцсеть Threads теперь доступна в Европе

Об этом сообщил Марк Цукерберг. С момента запуска Threads не был доступен для миллионов человек, живущих в ЕС, а компания даже блокировала таким пользователям доступ через VPN.

🕓 В задержке с запуском сервиса в Европе по всей видимости виновато регулирование, а именно свежепринятый Закон о цифровых рынках. Он призван ограничить злоупотребления со стороны Бигтеха и создать равные конкурентные условия для поставщиков цифровых услуг.

🔃 Предполагается, что тесная интеграция Threads с Instagram может вызвать проблемы с регулирующими органами в ЕС. При запуске в июле 2023 года регистрация в соцсети была возможна только через существующие профили в Instagram, откуда в неё автоматически переносились все данные и контакты. Это помогло Threads быстро собрать миллионы новых пользователей. Благодаря такой тесной связи продукт, занимающий бОльшую часть одной ниши, продвигает другой продукт в другой нише, ставя конкурентов последнего в заведомо проигрышное положение, что собственно и запрещено новым регулированием.

📶 Сегодня Threads уже не так тесно связан с Instagram. Соцсеть предоставляет пользователям в ЕС возможность просматривать публикации без необходимости создания аккаунта. Кроме того, в середине ноября платформа добавила возможность пользователям удалять свой профиль в Threads не удаляя при этом привязанный профиль в Instagram. Однако, для публикации контента в Threads по-прежнему требуется учетная запись в Instagram.

*Threads и Instagram принадлежат Meta, признана в РФ экстремистской и запрещена

Слабый копилефт

Продолжаю рассказывать о свободных лицензиях. В прошлый раз я писал про принципы копилефта и про сильный копилефт. Сегодня речь пойдёт о слабом копилефте.

❗️ Итак, основная идея копилефта заключается в том, что любое производное программное обеспечение должно распространяться только под той же самой копилефт-лицензией, что и оригинальное. Слабый копилефт же предоставляет некоторые послабления и исключения из этого правила. Такие лицензии позволяют сохранить баланс между защитой от приватизации кода и предоставлением большей гибкости для комбинирования кода с другими проектами, в том числе с проприетарными.

1️⃣Первый пример слабого копилефта - GNU Lesser General Public License (LGPL). Она позволяет использовать и внедрять код, лицензированный на условиях LGPL, в собственное (даже проприетарное) программное обеспечение. При этом отсутствует обязательное условие о предоставлении исходного кода собственных компонентов под данной лицензией. Код под лицензией LGPL обычно используется в форме разделяемой библиотеки, так что существует четкое разделение между проприетарными компонентами и LGPL-компонентами.

2️⃣Второй пример слабого копилефта - Mozilla Public License (MPL). Она позволяет комбинировать код, распространяемый под MPL, с кодом, распространяемым под другими лицензиями, включая проприетарные. При этом условия MPL применяются только к изменениям в исходном коде, а не ко всему проекту. Таким образом, если проект использует или связан с кодом, распространяемым под MPL, это не обязательно означает, что весь проект должен также распространяться на условиях этой лицензии.

💊Таким образом слабый копилефт, в отличие от сильного, делает код менее "заразным" для производного ПО и позволяет более широко использовать такой код в коммерческих проектах

Это последний пост про собственно свободные лицензии. Однако, существует ещё один вариант свободного распространения ПО, связанный с отказом от авторских прав и передачей кода в общественное достояние. О нём я расскажу в следующий раз.