Linux 基金會發布白皮書，解釋如何應對美國對開源項目的出口管制

原文標題：《Linux 基金會發布白皮書，解釋如何應對美國對開源項目的出口管制》

原文來源：Unitimes

近日，Linux 基金會發布了一份白皮書，介紹了開源社區該如何瞭解並遵循與美國出口管制要求及開源加密相關的一般性原則。這個消息是以中英文兩種語言一同發佈的，白皮書還用了中英文並列的方式展現了內容。

以下是 Linux 基金會的發佈消息全文。

簡介

開源開發的最大優勢之一是它實現了整個世界的協作。然而，由於開源開發是一項全球性的活動，它必然涉及跨國界提供可用的軟件。一些國家的出口管制條例，例如美國，可能需要採取額外的步驟來確保一個開源項目符合當地條例規定的義務。

本文概述了開源社區應該瞭解並遵循的與美國出口管制要求和開源加密相關的一般性原則。

美國和其他國家的出口管制

(Export Administration Regulations)（以下簡稱「EAR」）是美國聯邦政府限制出口的主要條例，由美國商務部 (US Department of Commerce) 下的產業與安全局 (Bureau of Industry and Security)（以下簡稱「BIS」）發佈並定期修訂。《出口管制條例》適用於所有「受《出口管制條例》管制的物品，並可管制這些物品的出口、再出口或 (在國內) 轉讓。」

EAR 下「出口」的定義較爲寬泛。出口不僅包括從美國境內向境外輸送實物產品，還包括其他行爲，例如向在美國居住的非美國公民或非美國合法永久居民傳送技術，以及向美國境外人員提供用於電子傳輸的軟件。

這 EAR 似乎給開源社區敲響了警鐘，但是好消息是，公開發布給全世界享用的開源技術是不受制於 EAR 的。因此，開源至今仍然是一個最爲便利的全球協作的模式。

爲了符合 EAR 的要求，如果開源技術是公開的，不受進一步傳播的限制，那麼它是「已發佈的」，因此「不受制」於 EAR。

除美國外，歐盟在其出口管制條例中也有類似規定。

什麼樣的開源項目不受 EAR 和歐盟出口限制?

所有。Linux 基金會以及與我們合作的項目社區製作的開源軟件均已發佈，並且在沒有任何傳播限制的前提下供公衆通過公開渠道獲取。

以下情形（但不僅限於此）不受到 EAR 限制，因爲「開源」「已發佈」：

◈ 已公開發布的開源軟件不受制於 EAR
◈ 已公開發布的開源規範不受制於 EAR
◈ 已公開發布的，說明硬件設計的開源文檔不受制於 EAR
◈ 已公開發布的開源軟件二進制不受制於 EAR

然而，若項目涉及加密技術，則開源社區可能需要採取一些其他的措施以滿足 EAR「已發佈」的要求。

使用加密技術的項目

EAR 規範了特定加密軟件和技術的出口。「加密軟件」的定義非常廣泛，並可能包括僅激活或啓用其他軟硬件產品的加密功能的軟件。

但是，與已發佈的軟件不受制於 EAR 一樣，使用加密技術的軟件即如符合以下兩個條件，則不受制於 EAR：（1）該源代碼是「可公開獲取」的，以及（2）已向第 742.15（b）部分所提供的電子郵箱地址發送了郵件以示通知。

爲符合第一項豁免要求，「可公開獲取」指的是在 EAR 法下「已發佈」的定義，這包括通過公共站點進行發佈（即公開傳播）。只要完全公開的開源軟件項目達到該標準，則應當視爲通過了衡量標準的第一部分要求：如果項目的源代碼可在互聯網上公開獲取，則應被視爲「可公開獲取」。

爲滿足上述衡量標準的第二部分要求，還需要向兩個指定的郵箱地址發送郵件（一個是 BIS 的郵箱地址：crypt@bis.doc.gov，另外一個是國家安全局 (National Security Agency)（簡稱「NSA」）的郵箱地址：enc@nsa.gov）。郵件內容需要包括可公開獲取的源代碼的 URL 地址（或源代碼本身）。如 URL 或源代碼發生任何變更，則需要再次以郵件形式通知上述郵箱地址。

當該可公開獲取的加密源代碼通過了上述兩項衡量標準後，那麼相應的目標代碼也將不受 EAR 管轄。

Linux 基金會的所有項目源代碼，包括加密軟件，均可公開獲取，我們也已經提供瞭如上所述的電子郵件通知。我們也在 LF 官網上公開了上述電子郵件通知的副本。所以，Linux 基金會的項目源代碼及對應的物件代碼均不受制於 EAR 關於加密的限制。

請注意，上述情況只適用於開源項目本身。如源代碼並未公開，修改了項目代碼的下游分銷商或其衍生產品的下游分銷商仍然需要自行評估是否符合 EAR 的規定（和其出口的其他軟件一樣）。

除了使用加密技術的項目外，EAR 還在 2020 年 1 月爲採用神經網絡驅動的地理空間分析培訓的系統增加了一項新法規。與其他公開提供的開源技術一樣，公開發布的開源軟件，即使是在神經網絡驅動的地理空間分析培訓這一類別中，也不會受到 EAR 的約束。

開源軟件社區的最佳實踐

雖然開源項目不受 EAR 限制，但我們已經學習或者掌握了一些可能對所有開源社區有所助益的實踐，都與出口管理條例相關。

我們經常用「公開」這個詞來形容許多事情：開源許可、公開和透明的討論、公開的社區、公共智庫裏儲存的可公開獲取的源代碼。對於開源社區來說，「公開」似乎是顯而易見的做法，但以下是一些社區需要考慮的具體建議。

開放，公開

首先，社區應該儘量保持技術對話的開放和公開。如果私人技術對話在社區內發生，這是正常的，但建議將社區決策和結果公開。對於我們的項目來說，使信息公開透明是很重要的，因爲技術或技術信息的私人交流可能不符合 EAR 的「公開可得」標準。

出現的一個問題與在安全披露過程中交換與安全問題有關的信息有關。作爲一種最佳實踐，項目可能會考慮在修復程序可用時公開此類交換，而不是將此信息限制在一個機密的公開列表中。

向 BIS 和 NSA 發送加密通知

如果您的開源軟件項目實施或使用屬於 ECCN 5D002 規定的加密功能，那麼根據 EAR 的要求，您將需要向 BIS 和 NSA 發送加密通知。EAR 的具體要求如下：

◈ 發送電郵至 crypt@bis.doc.gov 及 enc@nsa.gov。如果您的項目是 LF 的項目，並且您的通知沒有出現在我們的出口管理頁面上，請發送通知至 legal@linuxfoundation.org。

◈ 郵件應該包括含有可公開獲取加密源代碼的網站地址，或源代碼本身。

◈ 如果您提供的是網站地址，那麼每次更換網站地址時，您都必須通過電子郵件發送通知，但是您不需要通知有關源代碼本身的更新或者變更。

◈ 如果您提供的是源代碼本身，那麼每當加密功能進行更新或者變更後，您都必須提供最新的源代碼。

Linux 基金會建議將其他的一些細節作爲最佳實踐：

◈ 爲了加強透明度和展現合規性，將提交給 BIS 和 NSA 的通知公開化。這也有助於解決下游用戶對社區是否發送了通知的疑惑。通過公開通知的方式，您可以避免這些困擾。

◈ 附加聯繫方式和負責項目的法人實體的名稱。

◈ 設計一個保留中期至長期證據的系統（證明發送給 BIS 和 NSA 的通知電郵實際上已經送達）。因爲如果將來發生問題，或者如果個人無法訪問該「已發送」郵箱，僅依靠「已發送」郵箱記錄不是個好辦法（例如發件人跳槽了）。

此外，如果您正在以目標代碼的形式分發公開可用的加密軟件，那麼您還需要確保它也以源代碼的形式公開可用。

如果必須以二進制或目標代碼形式分發加密軟件，那麼就必須確定相應的源代碼是可公開獲取的。最簡便的方式就是自主將該加密軟件版本的源代碼公開，作爲項目本身的源代碼。（事實上，根據適用的開源許可，這對遵守開源許可可能也是必要的，或者至少是有用的。）

除人工審覈外，還有一些性能各異的掃描工具 (例如 Fossology 和 exportctl)，可以掃描源代碼並探測加密功能的應用。沒有一種自動掃描工具能夠完美地檢測出所有的應用，但這些工具可能有助於識別大型代碼庫中的加密軟件。

原文鏈接：https://mp.weixin.qq.com

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia