近日，谷歌旗下安卓將對(duì)華為進(jìn)行系統(tǒng)「封鎖」的報(bào)道，給國內(nèi)科技界投下了一枚震撼彈?！父渤仓聫?fù)有完卵乎」，一時(shí)間人人感到自危，尤其當(dāng)大家發(fā)現(xiàn)，向來以「開源」著稱的開源基金會(huì)及開源代碼托管平臺(tái)，實(shí)際上也受美國出口管理?xiàng)l例 ( Export Administration Regulation , EAR ) 管制，過去深信「開源無國界」的國內(nèi)開發(fā)者們開始擔(dān)心，類似的「封鎖」事件也會(huì)在這個(gè)領(lǐng)域上演。
在 5 月 20 日的一篇《開源界也要注意，Apache 基金會(huì)與 GitHub 都受美國法律約束》文中，「開源中國」通過展示 Apache 軟件基金會(huì)以及 GitHub 官網(wǎng)中涉及出口限制部分的內(nèi)容，表示對(duì)開源項(xiàng)目在未來的「自由度」會(huì)否受到限制感到擔(dān)憂。
文中指出，條款明確表明 GitHub Enterprise Server 不被允許出口至 EAR 限制清單中的國家，當(dāng)中包括古巴、伊朗、朝鮮、蘇丹和敘利亞：
「GitHub Enterprise Server may not be sold to, exported, or re-exported to any country listed in Country Group E:1 in Supplement No. 1 to part 740 of the EAR or to the Crimea region of Ukraine. This list currently contains Cuba, Iran, North Korea, Sudan & Syria, but is subject to change.」
「那幾時(shí)突然再加進(jìn)來一個(gè)中國呢？」「開源中國」在文中反問道。
開源項(xiàng)目受不受美國出口管制？
該文出來后，話題迅速發(fā)酵。其中，來自中科院計(jì)算所的包云崗研究員反應(yīng)最為迅速，他立馬組織人員開展調(diào)研，對(duì) 12 個(gè)知名開源基金會(huì)、6 個(gè)常用的開源協(xié)議、3 個(gè)代碼托管平臺(tái)進(jìn)行了調(diào)研與分析，并向海外朋友進(jìn)行咨詢，最終得出以下結(jié)論：
- 開源基金會(huì)管理開源項(xiàng)目，但基金會(huì)的管理辦法差異較大，而基金會(huì)旗下的開源項(xiàng)目也可以選擇不同管理辦法。例如：一、Linux 基金會(huì)自身的管理辦法不受美國出口管制，所以旗下的項(xiàng)目包括 Linux Kernel 等默認(rèn)遵循該管理辦法，但虛擬化項(xiàng)目 Xen 明確說明遵循美國出口管制，就屬于 Linux 基金會(huì)中的特例；二、Apache 基金會(huì)的管理辦法明確說明遵循美國出口管制，所以它旗下所有項(xiàng)目如 Hadoop、Spark 都將受到出口管制。三、Mozilla 基金會(huì)明確聲明遵守加州法律，出現(xiàn)各類糾紛將必須到 Santa Clara 的法庭裁決。
- 目前調(diào)研的開源許可協(xié)議族（GPL、LGPL、BSD、MIT、Mozilla、Apache 2.0）均未涉及與政府出口管制無關(guān)的聲明。
- 目前調(diào)研的 3 個(gè)代碼托管平臺(tái) GitHub、SourceForge、Google Code 均明確聲明遵守美國出口管制條例，并按加州法律解決糾紛。
- 小結(jié)：
合理的開源基金會(huì)管理辦法可以規(guī)避美國出口管制
開源協(xié)議與出口管制無關(guān)
代碼托管平臺(tái)是開源的最大風(fēng)險(xiǎn)
雷鋒網(wǎng) AI 科技評(píng)論認(rèn)為，如果單就平臺(tái)/協(xié)議聲明進(jìn)行解讀的話，一切依然存在模糊性。
如果從美國出口管理?xiàng)l例入手解讀，會(huì)不會(huì)對(duì)我們有更多啟發(fā)？
在個(gè)人微博上，包云崗?fù)扑]了一篇由臺(tái)灣開放文化基金會(huì)法制顧問、開源社法律咨詢委員會(huì)成員林誠夏先生撰寫的解讀文章《專家解讀：開源軟件項(xiàng)目是否會(huì)被限制出口？》，雷鋒網(wǎng) AI 科技評(píng)論對(duì)原文進(jìn)行了不改變?cè)x的總結(jié)：
根據(jù)美國出口管理?xiàng)l例 EAR 734.7 (a) 條款，只要符合「公開可及 (Publicly available)」定義的軟件，就不在 EAR 的管制范圍內(nèi)，也就不需要申請(qǐng)相關(guān)許可。
注：Part 734 章節(jié)里的 734.7 對(duì)于何謂「公開可及 (§ 734.7 PUBLISHED ) 做了定義說明及例示，簡要來說：「技術(shù)或軟件已經(jīng)是被一般公眾可以接觸，并不限及其后續(xù)散布者 ( when it has been made available to the public without restrictions upon its further dissemination）。
目前看來，這個(gè)解讀基本上可以打消大部分人的顧慮，不過文中也強(qiáng)調(diào)一點(diǎn)：
EAR 734.7 (b) 說明「公開可及」的軟件雖然不要取得許可，可一旦軟件涉及加解密技術(shù)，申請(qǐng)?jiān)S可就成為必要的流程。除非是這個(gè)加解密技術(shù)也是「公開可及」的，那么只需要向美國 BIS 匯報(bào)備查即可。
只要不涉及加解密技術(shù)，我們就安全了嗎？
「開源中國」隨后發(fā)布的一篇文章《所以 Apache 基金會(huì)不受美國法律約束？》指出，經(jīng)過與同行專家討論后，他們認(rèn)為 Apache 軟件基金會(huì)官網(wǎng)關(guān)于產(chǎn)品出口說明的內(nèi)容「表達(dá)的含義其實(shí)模棱兩可，充滿了不確定性。」：
Therefore, U.S. export laws and regulations apply to our distributions and remain in force as products and technology are re-exported to different parties and places around the world.
美國的出口法律和法規(guī)適用于我們的分發(fā)，并且隨著產(chǎn)品和技術(shù)再出口到不同的地方依舊保持有效。
再者，基金會(huì)的聲明是否會(huì)直接影響項(xiàng)目的開源情況？兩者之間究竟是一個(gè)什么樣的關(guān)系？這些我們依然未有明確答案。
雷鋒網(wǎng) AI 科技評(píng)論相信，這應(yīng)該也是包云崗研究員在個(gè)人微博上呼吁「盡快建立已有托管平臺(tái)在美國以外的鏡像平臺(tái)」的原因：
雖然這個(gè)建議受到一些網(wǎng)友的質(zhì)疑：
無論如何，從長遠(yuǎn)來看，他認(rèn)為「中國必須建立起自己的開源項(xiàng)目托管平臺(tái)」，這個(gè)措施的必要性，相信是毋庸置疑的。
作者 | 黃善清
