Tag: free

Nmap 變成非 Open Source Software

在 RSS reader 上看到「A license change for Nmap」這篇，雖然看不到內容，但標題已經先把重點講出來了 (雖然在 Hacker News 上找一下就有連結了)，看起來 Nmap 的軟體授權有改過，查了一下是在去年十月出版的 7.90 發生的，不過最近突然被炒熱了起來：「Nmap 7.90 Released! First release since August 2019.」。

We also did some long-needed license cleanup and gave the license a name (Nmap Public Source License) to avoid the previous confusion of Nmap being under "GPLv2 with various clarifications and exceptions". The NPSL is still based on the GPLv2, but brings in terms from some other popular open source licenses. See https://nmap.org/npsl

看到這種自我宣稱的就超可疑，而翻了一下 NPSL 裡面的限制，看起來就不怎麼符合 open source license 的定義，在「Is nmap's custom NPSL license free?」這邊的說明算是很客氣了，都是掛上「probably」，不過大家自己讀過以後應該就會知道問題了...

目前開槍的應該就是 Fedora 了，Fedora 在 Nmap Public Source License (NPSL) Version 0.92 - devel-announce - Fedora Mailing-Lists 這邊決定把 NPSL 列為 bad license，並且在 Fedora 裡面禁用。

Debian 目前則是在「#972216 - nmap: New NPSL 0.92 license likely non-free - Debian Bug report logs」這邊也有類似的討論，不過目前看起來就還在討論，沒有動手。

Gentoo 跟情況跟 Debian 也類似，在「Add NPSL (nmap license) to MISC_FREE」這邊討論中。

看起來這幾天應該會有進展，沒意外的話應該是會被封殺，裡面的條款把 installer 之類的程式也都限制進去了，直接影響到 Linux 平台的各種工具 (像是 apt/dnf/yum)。

該拉個折凳，買個爆米花來等著看了...

Travis CI 停止提供服務給 Open Source 專案

Hacker News Daily 上看到這個，在講 Travis CI 終止對 open source 專案的服務：「Travis CI is no longer providing CI minutes for open source projects」。

有不少專案已經改用其他 CI 服務的 free tier 做，像是 GitHub Actions 與 CircleCI 都有提供。

看了一下 Hacker News 上的討論，不少人是可以理解不會有永遠免費的午餐，只是這次 Travis CI 的處理讓大家覺得比較討厭的是，一方面官方一直跟 open source community 說我們很願意支援 open source community (前幾個禮拜官方 blog 還有發文重申這件事情)，另外一方面是一直在朝著關閉服務走：從限制 10K credits 開始，到現在不會再提供 credit 給 open source 專案。

有人整理了對應的時間軸：

? 2018: Travis CI announces they are starting the process of merging travis-ci.org, which provided free builds for OSS projects, into travis-ci.com, which until then was only for paying customers. They promise OSS builds will continue to be free.

? 2020: Travis CI announces they are shutting down travis-ci.org at the end of the year and all projects have to move to travis-ci.com. They promise OSS builds will continue to be free.

Early November 2020: travis-ci.com switches from providing unlimited builds for OSS to only providing 10k one-time credits by default. Projects that meet certain guidelines (e.g. no one paid to work on them) can apply for recurring credits.

Later in November 2020: CI for many OSS projects that had migrated to travis-ci.com starts to fail, as they've exhausted their 10K credits.

Dec 2020: If what is reported here is accurate, Travis CI stop providing any recurring OSS credits. CI breaks for the remaining OSS projects on travis-ci.com.

Jan 2021: travis-ci.org shuts down. CI will be broken for all projects using it. They'll have the option of migrating to travis-ci.com, but will soon break again as they exhaust their 10k credits.

這種服務非常吃 CPU resource，大型專案如果每個 push 或是每個 pull request 都跑一輪完整的測試，成本應該不低，大概可以理解為什麼 Travis CI 會這樣決定，不過態度就...

其他家有提供 free tier 的 CI 最近應該會湧入不少人，這幾個月可以看看其他家會不會也跟進，另外一方面應該也會有人開始自架？

ZeroSSL 也提供免費的 SSL Certificate (DV) 了

在 Facebook 上被朋友敲可以測 ZeroSSL，另外一個透過 ACME 協定提供免費的 SSL Certificate，不過目前只有支援單一網域名稱 (DV)：「Another free CA as an alternative to Let's Encrypt (scotthelme.co.uk)」。

我先前就有在測 ZeroSSL，不過驗證一直過不去，當時有在 Twitter 上找 ZeroSSL 帳號問，但 ZeroSSL 的人說 ACME 的部份不在客服範圍，就先丟著...

剛剛發現是自己耍笨了，原因是 nginx 沒設好造成驗證卡住，一改好後就正常了。

用 SSL Labs 的 SSL Server Test 翻了一下，他的 Root CA 看起來歷史更久，應該是有機會解決 Let's Encrypt 明年會產生的 Root CA 憑證信任問題，也就是先前在「Let's Encrypt 在 Android 平台上遇到的問題」提到的問題，在 Hacker News 上的討論也可以看到有人提到這點：

Good to know, and I'm glad there's an alternative to Let's Encrypt, just in case. Is ZeroSSL trusted by old Android devices? If so, that might be a work-around for Let's Encrypt's cross-signing from IdenTrust expiring.

不過也有些人有疑慮，畢竟提供這個服務後面的公司幹過不少壞事：

If zerossl is reselling/a subsidiary of sectigo, that’s enough reason to never use this.
Sectigo is the new name for Comodo. The same bunch of pricks who tried to trademark “Let’s Encrypt”.

Other players in the acme cert “business” is great. Renaming a slime ball name and carrying on like nothing happened is not ok.

但看起來至少是多了一個選擇...

Backblaze 與 Fastly 合作

Twitter 上看到的消息，Backblaze 與 Fastly，免除 Origin 到 CDN 這段的流量費用：

新聞稿是「Set Your Content Free With Fastly and Backblaze B2」這篇：

Our new collaboration with Fastly, a global edge cloud platform and CDN, offers an integrated solution that will let you store and serve rich media files seamlessly, free from the lock-in fees and functionality of closed “goliath” cloud storage platforms, and all with free egress from Backblaze B2 Cloud Storage to Fastly.

不過這不是第一家提供這樣的方案，在 2018 年的時候就有跟 Cloudflare 合作，免除了 Origin 端到 CDN 端這段費用：「Backblaze 與 Cloudflare 合作，免除傳輸費用」。

Debian 資助 PeerTube 發展

看到「Debian donation for Peertube development」這則消息，Debian 決定資助 10K 歐元提供給 PeerTube 發展。

不過更大的幫助應該是 PR 上的部份，這帶出來的曝光度以及「認可」的部份比 10K 歐元重要的多。

回到 Debian 決定資助的原因，是因為 DebConf20 需要一個非封閉式平台的直播架構，而 PeerTube 看起來很適合這個情境：

This year's iteration of the Debian annual conference, DebConf20, had to be held online, and while being a resounding success, it made clear to the project our need to have a permanent live streaming infrastructure for small events held by local Debian groups. As such, Peertube, a FLOSS video hosting platform, seems to be the perfect solution for us.

前幾天在「有風聲說司法部會把 Chrome 拆出 Google」這邊有提到 YouTube 很難取代的問題，這個算是其中的一個方向，試著在解決平台壟斷的問題...

用 GitHub Actions 記錄 API 資料的變化

在 Hacker News Daily 上看到的方式，Simon Willison 利用了 GitHub Actions 定時去抓資料更新 git repository：「Git scraping: track changes over time by scraping to a Git repository」。

文章裡面測試了 JSON 檔案的變化：

這個方式利用了 GitHub 自家的架構做完所有的事情，因為他的範例是拉加州政府的資料，感覺 g0v 裡應該有些專案也用這個方式搞，翻了一下 Telegram 上的記錄，果然翻到記錄了：「零營運費用開源開發」。

另外我猜用 free-for.dev 這邊的資源應該也有機會堆出類似的東西...

GitLab.com 將不支援免費使用者的 2FA reset

好像是在 Hacker News 的首頁上看到的，GitLab 宣佈他們的服務將不提供免費使用者 2FA reset：「GitLab Support is no longer processing MFA resets for free users」，對應的討論串在「Gitlab Support is no longer processing MFA resets for free users (gitlab.com)」這邊可以看到。

官方的公告，從今年的 8/15 開始就不再提供 reset：

As of Aug. 15th, 2020, GitLab Support will no longer process MFA resets for free accounts.

這反而是鼓勵使用者不要開啟 2FA，在討論裡面有人就講到這件事情，這個方法讓設定 2FA 的人受到處罰：

Think about the psychology of what you are telling people: "You have two choices - one is normal security, which you use on 80%+ of the rest of the internet, and one is 2fa which you only use on the annoying services that badger you into it. On the first one, if you lose your password you can do a password reset. On the second one, if your laptop and phone get fried in a rainstorm / car crash / act of children, you lose access to everything forever, no recourse and no recovery. And by the way, we totally encourage you to choose the second one... "

主因是，不是每個用 2FA 的人都知道要怎麼保護自己的帳號：像是同時有多把硬體的 U2F 放在不同地方，並且還有手機的 TOTP，另外還會把 backup code 放到安全的地方。

這次可以看出來 GitLab 的安全概念其實又出包了...

Zoom 最後決定所有使用者都有 End-to-end encryption 了

先前在「Zoom 不提供 End-to-end Encryption 給免費版用戶」這邊提到的事情，剛剛看到 Zoom 宣佈改變策略，變成無論是付費還是免費的使用者都會提供 End-to-end encryption：「End-to-End Encryption Update」。

Free/Basic 的使用者要認證才能用這個功能：

To make this possible, Free/Basic users seeking access to E2EE will participate in a one-time process that will prompt the user for additional pieces of information, such as verifying a phone number via a text message.

還是很怪，繼續觀望...

GitHub 擴大免費版功能，以及付費版降價

GitHub 宣佈了提昇免費版的功能，以及付費版的降價消息：「GitHub is now free for teams」。

昨天是這樣：(從這邊撈的，然後發現好像有人寫了個機器人，每天都叫 web.archive.org 去撈一份...)

現在變成：

本來付費的個人方案 (Pro) 的功能都直接下放到免費版本了，而一般公司用的 Team 版本從 $9/m/user 降到 $4/m/user。有個富爸爸之後就可以任性...