20130816-困頓中求轉進 – BlackBerry 與 Mozilla 持續合作 Peach Fuzzing

Mozilla, BlackBerry Team Up on Peach Fuzzing - Developers - LinuxInsider_1376645568055

黃郁文/編譯

雖然在本月 12 日 (2013/8/12) 已宣布暫停交易公司股票,BlackBerry 宣佈其正在尋求轉進方案,包含以出售、合資的模式來解決股票收益不斷下滑的狀況。然而其近期仍著手與 Mozilla 合作建置網路安全偵察類工具 Fuzzing,以提升相關產品在網路應用上的使用安全。Fuzzing 類型專案,概念上簡要來說是一種偵錯軟體,其方式是將多樣隨機或不正確資料置入應用程式、或個別專案的程式碼中 (fault injection),以找出該程式無法妥當處理的資料,並進一步測試程式是否能在各種干擾狀況下正常運作。Fuzzing 可用於各式各樣程式,也可延伸到資料庫軟體或共享記憶體上進行偵錯測試,它能指示程式的開發者,哪一部份的程式缺點需要進一步被稽核,亦可搭配其他除錯工具,以發揮更大功效。不過,這類的程式原則上僅能確保受測元件在一些例外情況下仍能正常運作,並不表示通過此類程式的測試,被測元件就會是完美無瑕的程式。

BlackBerry 與開放源碼專案為主要產品的 Mozilla 之間已非第一次合作,亦非其第一次參與開放源碼專案的增補與運用,大致上,BlackBerry 在 2010 年經由註冊 GitHub 開始進入開放源碼的世界,其並曾將 QNX 作業系統進行開放,亦強調公司一直有在 Webkit 的開源架構方面耕耘。此次再次與 Mozilla 就 Fuzzing 性質的開源專案展開合作,選擇的合作專案為 Peach。Peach 是一個建構於開源基礎的 fuzzing 框架,其能同時進行輸入資訊變體 (mutation-based) 與輸入資訊進化 (generation-based) 這兩大項目的偵錯測試,該專案創立於 2004 年,目前已進行到第三版第一測試版本。而 BlackBerry 與 Mozilla 雙方寄望能透過本次合作,結合雙方力量提升 Peach 專案在瀏覽器上的測試能力與偵錯功能,以進一步改善網路安全,提供客戶更為完善的保護。Mozilla 現已成功於 HTML5 環境下利用 Peach 進行 Fuzzing 測試,範圍包括:影像格式、影音多媒體格式、字型,及 WebGL、WebAudio,WebRTC 等核心應用程式上,以有效提高 Firefox 及 Firefox OS 的使用安全性。此外,Mozilla 除了與 BlackBerry 合作提升 Fuzzing 專案的應用範圍外,近期亦已公開另一個開放源碼安全測試平台 – Minion。Minion 著重正確性與簡易性,強調不論是開發者或是安全專家,都可利用該平台所提供的安全性測試工具,目前這些工具源碼亦已放置於 GitHub 上,值得感興趣的朋友造訪此網站略探一二。

—-

相關網址

1、Mozilla 與 BlackBerry 合作進行 Peach Fuzzing
http://www.linuxinsider.com/story/Mozilla-BlackBerry-Team-Up-on-Peach-Fuzzing-78615.html

2、BlackBerry 與 Mozilla 合作提升網路安全
http://crackberry.com/blackberry-teams-mozilla-further-web-security-through-fuzzing

3、Minion 安全測試專案於 MozillaWiki 上的說明頁面
https://wiki.mozilla.org/Security/Projects/Minion

20130812-開源有道 – 香港開放協力聯合座談會會後報導

WikiSym + OpenSym 2013 Conference Concept - WikiSym + OpenSym 2013_1376645496270

林誠夏、黃郁文/報導

從自由開放源碼運動 (Free and Open Source Movement) 開始,透過網路連結、群體共工的協力模式,來建立對公眾皆有利的軟體專案、共同著作,以及相關資料庫,已蔚為當前的時代趨勢。本年度 (2013) 8 月 5 日至 8 月 7 日假香港數碼港會議中心 (Cyberport) 舉行的香港開放協力聯合座談會 (The Joint International Symposium on Open Collaboration, WikiSym + OpenSym 2013),就是在這樣的理念基礎上,集結來自全球各地對開放協力 (Open Collaboration) 學有專精或已具心得的學者與專家,齊聚一堂就推廣、技術,以及法律架構等不同領域的主題,分享其於開放協力專案上的運作經驗與相關作法。

所謂「開放協力」,大會將其定義為:「讓參與者能在開放平等、中道評估、自主編制的前提與基礎下進行合作的協力專案。」例如維基百科全書 (Wikipedia) 與維基多媒體基金會 (Wikimedia Foundation) 創立的許多專案就符合這樣的標準,或是其他在自由開源軟體、開放資料 (Open Data)、開放政府資料、開源群創 (Open Innovation) 等領域裡的大型專案,亦為著例。那麼,此次 WikiSym + OpenSym 2013 讓會議參與者感到驚豔的是,對於許多的觀察者來說,開放協力確實是一個可被觀察到的全球性趨勢,然而具體的作法確仍欠缺國際共通或是因地制宜的標準,然而透過 WikiSym + OpenSym 2013 這樣的跨國會議,專題演講以及討論議程的報告人,已從他們實作專案的基礎上,慢慢形塑出開放協力領域在營運推廣上、技術應用上,以及法律規劃上可以據以依循或是事先統籌的相關流程。例如:

  • 來自數位自由基金會的 Pockey Lam,說明其如何運用開放協力的模式產生教本,用於推動中國大陸中小學階段的基礎教育學習,以降低數位落差並實踐資訊平權的理想。
  • 台灣旅英於牛津大學進行網路資訊社會學研究的 HanTeng Liao(廖漢騰),就中文維基百科與百度百科就網路資訊看守 (network gatekeeping) 政策影響的面向,做了數據上的量化分析;其後並以百科全書的共工撰寫為例,說明在地語言化會對相關內容的貢獻帶來哪些特別的影響。
  • 當代的自由開源軟體倉儲平台或是正在發展之中的開放資料儲放平台 (repository),具有不斷傳散、自我增殖的特性,然而軟體程式與資料在不同平台被重製與儲放之際,會不會被植入惡意程式或在數據上遭到惡意調整與修改?Volker Gruhn、Christoph Hannebauer,以及 Christian John,針對此一問題展示了一套技術框架來描述未來可被採行的解決之道。
  • 隨著全球氣候急劇變遷,建立一套資訊系統來彈性監控與反應災難資訊已是當前迫不能緩的重要工作,這樣的資訊系統除了依賴國家機關的基礎建設之外,亦可透過群眾共工貢獻資訊的方式來統整資料與進行除錯,從自由開源軟體專案與社群經營的經驗出發,Sulayman K. Sowe 以及 Koji Zettsu,分享了他們預見的增補之道。
  • 軟體專利因其難以被有效查找的特性,潛在威脅不僅會發生在純粹商業運作的產品專案裡,對於多人合作共工的開放協力專案,亦不能完全免除這樣的擔憂,來自日本島根大學 (Shimane University) 的 Tetsuo Noda、Terutaka Tansho,以及和其協力研究的 Shane Coughlan,就群體共工專案如何能降低專利侵權的威脅,提供了綱要式的調查報告與相關見解。
  • 對於開放協力的專案來說,為何有些相關性質的專案成功得到發展,有些專案卻在前期階段即產生挫敗,以 GitHub 與 SourceForge 相較,前者在活躍開發者人數的量化來看是大為超越後者,這指出新興的 GitHub 軟體共工平台必然做對了某些處置,經過長時間的觀察,Junghong Choi、Bruce Ferwerda、Jungpil Hahn、Jinwoo Kim,以及 Jae Yun Moon 提出了他們的分析報告,並藉此披露不同開放協力性質的專案,其參與者究竟想透過參與的過程得到哪些實質或是心因性的獎勵。
  • 參與維基百科共工撰寫的參與者,或多或少都有貢獻條目為管理者刪除的經驗,然而、此一刪除機制為維持維基百科其上資訊中立、精準,以及降低著作權利剽竊風險的必要之惡,在 Bluma S. Gelley 與 Torsten Suel 報告中,說明了維基百科刪除機制的運作框架,並進一步討論其如何透過自動化、半自動化,與管理者手動的刪除分工模式,來讓刪除機制運作順暢,並不致引發不必要的編輯爭議。
  • 開源之道已是當代必須採用且無可迴避的科研模式,尤其是在生物醫學與藥學研究領域裡,更是因為學門分科繁多與資訊龐大而必須做這樣的處理,然而、在不同的研究機構之間,開放協力共工模式之間的互信基礎如何建立,以及專案管理上如何著眼全球但亦可適度因地制宜,Phil Bourne 就其多年的參與經驗,進行了名為「開源年代 (The Era of Open)」的專題分享。
  • 隨著網際網路上各類資訊、資料愈來愈多,且相關資訊、資料更可能被不同的開放協力專案所採用,如何建立資訊、資料之間的交叉索引與連結,是當前推動鏈結開放資料 (Linked Open Data) 機制的重要基礎,Brian Keegan、Arber Ceni,以及 Marc Smith 以 NodeXL 專案與 MediaWiki 專案為例,說明此二開放協力專案應如何從後設資料 (meta data) 框架的立場預先著手,以順暢未來資訊、資料共享的可能需求。
  • 當前許多各國政府已經開展開放政府資料 (Open Government Data) 的相關建置,然而因此領域新穎,故具體作法仍是不斷的被修正與挑戰,以澳大利亞昆士蘭科技大學為首的 Anne Fitzgerald,以及 Neale Hooper、John Cook,共同組織了一個討論議程,以在澳大利亞政府的實作調查為例,說明如何將開源授權的模式推廣至政府機構下進行運用,並助其解決相關爭議。

以上十個講場及限於篇幅沒有透過此篇報導說明的議程,相關的報告論文集都可透過大會提供的右列頁面進行下載:http://wikisym.org/wsos2013/program/proceedings,歡迎對開放協力共工模式有興趣的朋友,可以拜訪 WikiSym + OpenSym 2013 的會議網站,並藉此取得您所需要的參考資料。

—-

相關網址:

1、WikiSym + OpenSym 2013 對於 Open Collaboration 的定義與說明
http://www.wikisym.org/2012/09/28/definition-of-open-collaboration/

2、WikiSym + OpenSym 2013 會議報告論文集的下載頁面
http://wikisym.org/wsos2013/program/proceedings

20130715-深根歐盟 – 歐洲議會公民權力政策部舉辦自由開源軟體法律工作坊

Screenshot from 2013-07-14 13:58:51

在過去不算短的一段時期,自由開源軟體專案的採納與運用往往僅被視為傳統商業方案的一種替代選擇,然而,隨著全球各地參與者與相關推動組織的持續創作,自由開源軟體專案在近十年間得到突飛猛進的發展,進而在網格運算、雲端應用、嵌入式加值,甚至行動裝置上都逐步擴大了市佔率與影響力,一直到近期海量資料 (Big Data) 與開放資料 (Open Data) 的風潮吹起,也都必須奠基在自由開源軟體專案的既定基礎上,才能得到更有效的建置與推展。這個發展與趨勢,歐盟也看到了,然而自由開源軟體專案的應用並非僅為一單純的技術議題,進一步還需要考究各不同專案在授權方式上的規定,才能得到最佳的建置效益。故於本年度 (2013) 的 7 月 9 日,歐洲議會透過公民權力政策部門 (Policy Department C: Citizens’ Rights and Constitutional Affairs) 的協力,舉辦了以自由開源軟體法律面為主軸的「自由開源軟體法律面面觀工作坊 (Workshop on Legal Aspects of Free and Open Source Software Workshop)」,以讓歐洲議會 (European Parliament) 有心進一步了解自由開源軟體授權框架與應用方式的官員與職員,能夠透過這樣的場合來群聚討論與分享意見。

此次歐洲議會所舉辦的自由開源軟體法律工作坊,邀請到了許多在自由開源軟體授權領域具有高度影響力的要角來擔任講師:首先,由身兼美國哥倫比亞大學法學教授與軟體自由法律中心 (Software Freedom Law Center) 發起人的 Eben Moglen,講述著名的 GNU General Public License (GPL),從其顯著的 Copyleft 相同方式分享特性出發,闡釋透過 GPL 授權模式的利用,可以在軟體專案的建置與開發上,產生哪些跨國跨界交流的效應;接著,由參與「歐盟公眾授權條款 (European Union Public Licence, EUPL)」專案的 Patrice-Emmanuel Schmitz,說明 EUPL 在建置過程中,為了兼顧歐盟各會員國個自的國內法律,而碰到哪些條款訂立的瓶頸及其處理方式,並進一步說明 EUPL 在歐盟框架下同時產生 22 種不同官方語言版本的優勢與好處,圖解其內嵌的 Copyleft 特性如何與其他的自由開源軟體授權條款進行相容處理;然後,第三場次由參與歐洲自由軟體基金會 (Free Software Foundation Europe) 法律事務的義大利籍資深律師 Carlo Piana,帶領與會者探討不同的自由開源軟體授權條款有哪些獨特的發展模式,並說明在通說之下,各條款的軟體元件之間是如何進行互動與融合;最後,是由 Namur 大學著力自由開源軟體授權研究多年的教授 Philippe Laurent,協同歐盟裡各相關計畫的工作人員,依序就自由開源軟體在歐盟體系裡的推動立場,進行公共採購指導原則的說明、案例分析的探討,以及在德國慕尼黑市 (City of Munich) 進行公務系統代換的經驗分享。

由上述議程看來,自由開源軟體專案在歐盟公務系統裡,已不單單止於局部採用,而是未來再有規劃朝著體系性、結構性的格局來進發,以 EUPL-1.2 版為例,此一由歐盟自行撰寫的授權條款並非僅是軟體的使用規定,其整體內容兼具公共資訊系統的採購原則在內,除了在撰寫語文多元化上符合歐盟「多元一體 (In varietate concordia)」的格言之外,至 2012 年 11 月的調查時期為止,歐盟境內已有近 500 個重點專案是採用 EUPL 為其授權方式,而歐洲議會本身,亦將其主力推動的大型專案 AT4AM 同步採用 EUPL 的授權方式向外釋出。可以說,歐盟內部有意識的採用在地化的條款來讓自由開源軟體的研究應用在其領域內深根發展,但同時兼顧這些專案的國際融通性與發展性,以在發展趨勢合宜之時,讓這些 EUPL-1.2 的授權專案,都有機會轉以其他更具國際相容性的自由開源軟體專案來進行授權利用 (GPL-2.0, GPL-3.0, AGPL-3.0, OSL-2.1, OSL-3.0, EPL-1.0, CeCILL-2.0, CeCILL-2.1, MPL-2.0, LGPL-2.1, LGPL-3.0),甚至,EUPL-1.2 專案內含資料並非程式碼的部份,也可以在必要時被抽離出來改以「創用CC-姓名標示-相同方式分享 (CC-BY-SA-3.0)」的方式來加以利用。從這些舉措來看,其彰顯出歐盟與其歐洲議會在尊重多元族群與資訊融通兩個面向上的共同努力,而其能先於商業模式發展前,便主動發掘出自由開源軟體對民主政體下公眾權益帶來的幫助,也非常具有決策高度,最後,建構 EUPL 多元文字一體適用但可在必要時轉與國際接軌的彈性方式,也非常值得學習與借鏡。

—-

相關網址:

1、歐洲議會自由開源軟體法律工作坊議程與授課文件電子檔案
http://www.europarl.europa.eu/document/activities/cont/201307/20130708ATT69346/20130708ATT69346EN.pdf

2、歐洲議會法律相關工作坊資訊頁面
http://www.europarl.europa.eu/committees/en/juri/events.html?id=workshops#menuzone