OpenSSLとのライセンス互換性

[ma8ma]

title: OpenSSLとのライセンス互換性

OpenSSLのライセンスに対応することで利便性の改善を考えています。
現在の状況や対応案などアイデアを載せておきます。
アイデアや意見などありましたらコメントしていだだけると幸いです。

背景事情

JDimは通信を暗号化するライブラリの一つとしてOpenSSLに対応しています。
しかしJDimのライセンス(GPL2)と互換性がないためOpenSSLを利用する実行ファイルを配布することができません。
サポートとしては不完全な状態になっています。

https://www.openssl.org/source/license.html

OpenSSLのバージョン	ライセンス	GPL2との互換性	GPL3との互換性
3.0 未満	OpenSSL と SSLeay のデュアルライセンス	❌ なし	❌ なし
3.0 以上	Apache v2.0 ライセンス	❌ なし	✔️ Apache2 → GPL3

その一方でOpenSSLの新しいバージョン(3.0)はApache-2.0にライセンスが変更されたため
GPL3のソフトに含めることができるようになりました。
このためJDimのライセンスをGPL2 or laterまたはGPL3に変更するとOpenSSL 3.0とのライセンス問題が解消できます。

制限がかかりサポートしづらさを感じる状況なので解決できれば良いと思います。

他のライブラリ GnuTLS

ライセンス互換のあるライブラリとしてGnuTLSをサポートしていますがOpenSSLのほうが広く利用されています。
そのため将来の保守環境を考えたときOpenSSLのサポートが不完全のまま、または廃止してGnuTLS一つに集中することには躊躇いがあります。

対応の候補

方法	SPDX Identifier	ライセンス互換性
現状維持でライセンスの対応はしない	GPL-2.0-only	❌
将来のGPLライセンス更新を考慮して複数バージョンに拡大する	GPL-2.0-or-later	✔️
GPL3に変更して対応する	GPL-3.0-only	✔️
GPL2は維持するが例外としてOpenSSLに対応する	GPL-2.0 WITH OpenSSL-exception	✔️
OpenSSLのサポートを止める	GPL-2.0-only	n/a

寛容(permissive)なライセンスへの変更はfork元のJDと方向性が異なるため挙げていません。

ライセンス変更の手続き

コードの作成者、パッチの提供者にライセンス変更を伺います。
そして確認が取れない・了承を得られなかった部分は書き換えを行い著作者を更新します。

[orenomask]

まず前提として、掲示板での書き込みで判断するならば暗号化ライブラリの種類に拘りがある方はとても少ない(あるいはいない)様に思えます
個人的には当該項目に関し、メンテナンスしやすさと将来性を優先する方向で良いのではと思っております

[ma8ma]

利用してる範囲で機能に大きな違いはないですが将来性が気になってます
GPL3と互換になったことでGnuTLSを切ってOpenSSLに行くソフトが増えるとGnuTLSの開発がどうなるか…

[orenomask]

もし「将来性への不安が予想されるGnuTLSは廃止の方向で
OpenSSL一本化を目指したい」と言う事であれば
私はその方針に反対する理由が無く、尊重させて頂きたいと思います
何しろ利用者視点では知る限りデメリットらしきものがほぼゼロですしね

[ma8ma]

2つの維持は時間が取られるのでできればそうしたいですね
ただライセンス変更ができるか確実ではないので目処が立つまでは保留になりそうです

[orenomask]

こちらを見る限りではやはりDebianメンテナのあの方なら何か知っているでしょうな
メンバーリスト - JD for Linux - OSDN
https://ja.osdn.net/projects/jd4linux/memberlist

[ma8ma]

ライセンスの種類と変更の手続きについて考えると
GPL-2.0-or-later と GPL-3.0-only どちらを選択するか判断しかねています。

• OpenSSL例外はGPL2を改変してしまうためOpenSSL 3.0以上ならGPL3に更新するほうが紛れがないと思います。

• ライセンス変更の承諾を得られるときはGPL-3.0-onlyに一括で更新できます。

• それが難しい場合、取り組みが続くようにGPL-3.0-onlyへの一括変更ではなく
  パッチやpull requestをGPL-2.0-or-laterで受け入れるようにして徐々に浸透させるほうが良いと考えています。
  (GPLではありませんがneovimが同様な方法です)

@henrich @mtasaka @naniwaKun
ライセンス変更の取り組みを行うときパッケージングで問題になりそうなことがあればコメントいただけると助かります。

[mtasaka]

現状考えられているライセンス変更では、パッケジング上、特に問題はないです。

因みに、『Fedoraでは』（つまりRed Hatでは）OpenSSLv2 を GPL licensed softwareにリンクさせることは問題ない、という立場を取っています。
https://fedoraproject.org/wiki/Licensing:FAQ#What.27s_the_deal_with_the_OpenSSL_license.3F

[ma8ma]

ありがとうございます
Fedora独自の立場で驚きましたがOpenSSLv3になるとApache2に合わせないとたぶんだめですよね

[mtasaka]

誰かがFedoraのlegalに持ち込めば、またFedora（Red Hat）の法務担当が審査するかも知れませんが、そうで無い限りは、Apache v2にcompatibleなライセンスにしないといけません（GPLだと例外規定を設けない限りは、v3以降でないとcompatibleにならないですね）。
一応書いておきますと、現状Fedoraのjdimはgnutlsを使っています。

[ma8ma]

そうですね、GnuTLSを使えば大丈夫なんですがOpenSSLのライセンスに問題なければと悩みの種になってるので
ライセンスの取り組みはやっておいたほうが気持ちの面でもいいかなと思います

[ma8ma]

JD projectにライセンス変更の件をチケット登録しました。
https://osdn.net/projects/jd4linux/ticket/45205

[ma8ma]

JD projectのticketで開発メンバーの方と話をしました。
JDのコードのライセンス変更は難しい状況のようです。

• JDのライセンスはプロジェクトリーダーに一任されている
• プロジェクトリーダーと連絡が取れていない

そのため、先のコメントで挙げた
パッチやpull requestをGPL-2.0-or-laterで受け入れる方法を検討したいと思います。

[ma8ma]

JDのライセンスについてまとめます。
また、ライセンス変更についてGPL2、リポジトリ内のライセンス表記、JD作者の発言と矛盾がないか確認します。

アイデアや意見、または見落としや間違いなどありましたらコメントしていだだけると幸いです。

JDimが利用するJDのソースコード

JD v2.8.9-150226
https://github.com/JDimproved/JDim/tree/5c05922bb5bb401dac3400971282ecdcfb6d3a7d

v2.8.9-150226 のライセンス表記

READMEにはGNU General Public License, version 2と書いてあります。

JDに同梱されているCOPYINGはor laterのことも含めたライセンス全文が載っています。
ライセンスの原文以外に追記は特にありません。

JDのソースファイルには "ライセンス: GPL2" と表記されていて
GPL2のライセンス本文が提示する方法(How to Apply These Terms to Your New Programs)は使われていません。
SPDX IDも使われていません。(GPL-2.0-onlyやGPL-2.0-or-later)

Aboutダイアログにあるライセンスのタブに表示されるテキストには
GNU 一般公衆利用許諾契約書(バージョン2)と載っています。

その他の文書などでライセンスへの言及は特にありません。

"GPL2"のソースファイル

JD作者の書き込みから"GPL2"はGPL-2.0-onlyを示すと考えられます。

a9c536f (コメント欄を参照)

ライセンスの条件により"GPL2"のソースファイルを改変した部分は"GPL2"として扱われます。

ライセンスの状態

• ソースコード全体としてはonlyやor laterの指定がないGNU General Public License, version 2
• ソースファイル単位ではGPL-2.0-onlyの扱い

新たにGPL-2.0-or-laterのファイルを作成することは可能だが全体としてはGPL-2.0-onlyとなる

ライセンスの更新・変更

すべての"GPL2"のソースファイルを削除かライセンス変更します。

• "GPL2"のソースファイルを削除する

• ファイルの編集者から承諾をとり個別にライセンスをGPL-2.0-or-laterに変更する
  →JD時代に作成されたファイルは厳しい

• 新しく追加するソースファイルのライセンスをGPL-2.0-or-laterにする

"GPL2"のソースファイルのうち自分で編集した部分を取り出して別のライセンスにすることはできるか？
オリジナルのJDにない部分なら可能か？

逆に"GPL2"のソースファイルにGPL-2.0-or-laterのコードをマージできるか？

[ma8ma]

コメントが遅れましたが、ライセンス GPL-2.0-or-later を導入する取り組みを行っています。

• Issue: ライセンス GPL-2.0-or-later を導入する計画 (変更の賛否確認を行っています) #1297
• RFC: https://github.com/JDimproved/rfcs/blob/master/docs/0013-introduce-license-gpl-2.0-or-later.md