製品開発者のための OSS ライセンスコンプライアンスコンプライアンス第 2 部 OSS コード検出ツール protexip/development のご紹介 2008 年 8 月 29 日 NECOSS プラットフォーム開発本部山本

Size: px

Start display at page:

Download "製品開発者のための OSS ライセンスコンプライアンスコンプライアンス第 2 部 OSS コード検出ツール protexip/development のご紹介 2008 年 8 月 29 日 NECOSS プラットフォーム開発本部山本"

せぴあながおか
4 years ago
Views:

1 製品開発者のための OSS ライセンスコンプライアンスコンプライアンス第 2 部 OSS コード検出ツール protexip/development のご紹介 2008 年 8 月 29 日 NECOSS プラットフォーム開発本部山本

2 Contents 1. 背景と概要 2. 特長機能ご紹介デモンストレーション 3. 製品サービス体系 2 NEC Corporation 2008

3 1. 背景と概要

4 コード検査の必要性 1( 1 第 1 部の振り返り ) OSS は単に自由に使えるものではありません正しく使うためにはライセンスを理解し遵守しなくてはなりませんライセンス違反は風評被害や訴訟につながりかねません正しく使うための 11 のチェックポイントをチェックしましょう ( チェックするためには実際の物件で何を使っているかそれがライセンス的に問題無いかを知る必要があります ) 実際の物件で何を使っているか分からない / 問題無いことを確認したいときは protexip/development で検査しましょう部門内啓発注意事項のチェック実際の製品についての具体的な相談の際は OSS ライセンスコンサルティングサービスをご利用ください 4 NEC Corporation 2008

5 コード検査の必要性 2( 2 リスク急増の背景 ) 近年 2 つの側面からライセンス違反リスクは急増 1 問題の種が仕込まれるリスク 2 問題が表面化するリスク 2 問題が表面化するリスクコンプライアンス内部統制への意識の高まり OSS に関する認知関心の急拡大 (Linux 普及 ) リスク小自社技術開示リスク大訴訟企業イメージ低下 OSS コード露出急増アウトソース化オフショア活用 1 問題の種が仕込まれるリスク 5 NEC Corporation 2008

6 コード検査検査の目的 1: 何を使っているかを明確化を明確化 1 過去資産の再利用 2 外注オフショア物件の受入プロジェクトのコードツリー 1 2 A 自社開発過去資産再利用外注オフショア CHECK! CHECK! DC B E CD F CHECK! 開発時の情報が残っていない物件開発コントロールが充分行き届かない物件は採用受入時にコード検査し何を使っているかを明確にしましょう 6 NEC Corporation 2008

7 コード検査検査の目的 2: ライセンス上の上の問題問題確認 1 商用ライセンスで頒布する物件に OSS が混じっていないか 2 OSS ライセンスで頒布する物件に a. 想定外の OSS が混じっていないか b. 当該ライセンスの義務事項を遵守しているか商用ライセンスで頒布 BSD ライセンスで頒布 GPL ライセンスで頒布 A A A License B C OSS B GPL C B C CHECK! OSS の混入を発見 (1) CHECK! GPLのOSS 混入を発見 (2-a) CHECK! GPLのライセンス文を添付していない (2-b) いずれの場合もライセンス上の問題確認が必要です 7 NEC Corporation 2008

8 なぜツールが必要か? コード検査の目的 1 2 を達成するには実物件の内容を精査するレベルの検査プロセスが必要しかし開発規模の急増やオフショア活用などにより従来の人手によるレビューで問題箇所を発見することは現実的に不可能機械的網羅的な検査を行うツールが必要 protexip/development 2007 年 1 月 ~ NEC 自社導入 2008 年 1 月 ~ 外販を開始 8 NEC Corporation 2008

GeneralCatalyst Partners 等 VC のほか Intel RedHat 出資

9 参考 ( 開発元 )Black) Duck Software 社本社マサチューセッツ州ウォルサム西海岸セールス拠点 : シリコンバレーオフィス 2002 年設立 FlagshipVentures, GeneralCatalyst Partners 等 VC のほか Intel RedHat 出資従業員数 80 名 (2008 年 3 月現在 ) Know Your Code 9 NEC Corporation 2008

10 1 コード検査 2 protexip/development 機能概要自社物件と OSS コードを比較し混入または流用の可能性がある箇所を検出ライセンス確認検出された OSS のライセンス条件を確認 1 コード検査 protexip インストールサーバソースコード BlackDuck 社サーバ F/W ナレッジベースインターネット接続ナレッジベース 2 ライセンス条件の確認 BlackDuck 社サーバよりナレッジベースのアップデートを行い最新の OSS コード情報に追従 OSI 承認のライセンスを含む 1200 以上の SW ライセンス 15 万種以上の OSS コード情報を格納 protexip/development 利用イメージ 10 NEC Corporation 2008

11 2. 特長機能ご紹介

12 特長 1: 高度な検出能力検証用 DB( ナレッジベース ) には豊富な OSS とライセンス情報を格納し随時最新情報に更新ソースコードだけでなくライブラリ実行ファイル等のバイナリファイルも検出コードの特徴情報 (Code Prints) を比較することにより部分的な流用や論理構造の一致も検出 12 NEC Corporation 2008

13 豊富なナレッジベース 150,000 超の OSS 情報 1,200 超のライセンス情報を格納随時更新各 OSS 情報はソースコードだけでなくライブラリ実行ファイル画像等のバイナリも含む随時更新 Spider チーム 3W~1 ヶ月程度の間隔で更新 KB( ( ナレッジベース ) KB 更新マスタ KB OSS 情報を日々調査反映ユーザサイト Black Duck 社 Sourceforge.net 等の著名なレポジトリサイトとは提携しミラーコピーを保持 13 NEC Corporation 2008

ソースファイルでは部分的な流用や論理構造の一致も検出流用時に多少 Modify( 関数名や変数名の変更など ) されていても検出可能バイナリソースファイル

14 高速柔軟な照合が可能な CodePrints OSS のソースファイルバイナリファイル ( ライブラリ実行ファイル画像など ) の特徴を抽出エンコードしたデータ効果 1 2 データサイズの大幅な縮小高速な照合が可能ファイル単位の流用だけでなくソースファイルでは部分的な流用や論理構造の一致も検出流用時に多少 Modify( 関数名や変数名の変更など ) されていても検出可能バイナリソースファイル Summary Print (md5 チェックサムに類似原本の同一性を保証した一方向ハッシュ ) ソースファイル Snippet Prints ( コード断片から特徴抽出 ) 14 NEC Corporation 2008

15 特長 2: ライセンス上の問題を明確に確認ナレッジベースにはそれぞれのライセンスにおける義務事項を属性として格納自社物件のライセンスと検出された OSS ライセンスの間の競合 ( 同時に満たせない義務事項の存在 ) を警告最終的に満たすべき義務事項をチェックリスト化しライセンス上の問題が無い状態を確認してから出荷 15 NEC Corporation 2008

ライセンス競合自社物件のライセンスと検出された OSS のライセンスとの間に義務事項の矛盾があれば競合となる両方のライセンスを同時に遵守することができない状態そのまま出荷するとライセンス違反物件改修または自社物件のライセンス変更以外に回避手段無し

16 ライセンス競合自社物件のライセンスと検出された OSS のライセンスとの間に義務事項の矛盾があれば競合となる両方のライセンスを同時に遵守することができない状態そのまま出荷するとライセンス違反物件改修または自社物件のライセンス変更以外に回避手段無し検査結果画面上の表示ライセンスの競合状態赤旗 : 宣言ライセンスに対してのライセンス競合あり黄旗 : 検出された OSS 間でのライセンス競合あり旗無し : ライセンス競合なしライセンス中のどの条文に違反競合するかの確認が可能 16 NEC Corporation 2008

17 義務事項チェックリスト競合が解決済みであることが前提対象物件を頒布する際に遵守すべき義務事項をチェック全てチェック済みでないと最終承認状態 ( 出荷 OK 状態 ) に移行不可例 :Notice の添付ソースコードの公開等全ての義務事項のチェックが済みになっていないと最終承認不可 17 NEC Corporation 2008

18 特長 3: 検査の形骸化を抑止するワークフロー設計各ユーザの権限をそれぞれの役割単位で指定 ( 開発者プロジェクトリーダ品質保証責任者弁護士 ) 検査プロセスの各フェーズに対し適切な役割を持ったユーザのみ作業可能 18 NEC Corporation 2008

検査プロセスのワークフローこの段階ではプロジェクト中に含まれる各コンポーネントのステータスは不明問題無しと確認必要のステータスが混在確認の結果問題無しとなった物と問題ありとなった物が混在最終的には全て問題無しのステータスへコンポーネント A コンポーネント A コンポーネント A コンポーネント A コンポーネント B コンポーネント B コンポーネント B

19 検査プロセスのワークフローこの段階ではプロジェクト中に含まれる各コンポーネントのステータスは不明問題無しと確認必要のステータスが混在確認の結果問題無しとなった物と問題ありとなった物が混在最終的には全て問題無しのステータスへコンポーネント A コンポーネント A コンポーネント A コンポーネント A コンポーネント B コンポーネント B コンポーネント B コンポーネント B コンポーネント C コンポーネント C コンポーネント C コンポーネント C プロジェクトプロジェクトプロジェクトプロジェクト対象物件を登録不明開発者スキャン実行問題無し確認必要開発者検出箇所に対する確認承認待ち問題ありフロシェクトリータ確認箇所に対する承認弁護士必要に応じ法的判断問題無し出荷責任者 19 NEC Corporation 2008

20 1 Workflow エリアスキャン実行実行後の基本画面 2 Code Overview 4 メイン画面選択タブ 3 コードツリー 5 メイン画面 20 NEC Corporation 2008

21 1 Workflow エリア対象物件を登録スキャン実行検出箇所に対する確認確認箇所に対する承認必要に応じ法的判断 2 Code Overview プロジェクトの状態を表示検査状況を容易に把握可能緑 (No Issues: 問題無し ) 黄 (Pending Identify: 確認待ち ) 青 (Pending Approval: 承認待ち ) 赤 (Violation: 問題 = ライセンス競合あり ) 21 NEC Corporation 2008

22 その他の機能 (1) Report 機能スキャン実行後はいつでもプロジェクトの検査状態の情報をファイル出力可能対応フォーマット HTML Printable HTML Excel Word Open Office Text Spreadsheet 開発管理記録出荷可否判定資料等 BDSTOOL スキャン機能を呼び出すコマンドラインインタフェースを提供 Windows のコマンドプロンプトまたは Linux のシェルから起動スクリプトによりスキャン機能の自動実行スケジューリングが可能 22 NEC Corporation 2008

カスタム DB その他の機能 (2) ユーザ独自のコンポーネントやライセンス定義を DB に追加独自コードやサードパーティコードの再利用を追跡可能例 ) 他社との共同開発物件が契約外の製品で使われていないか検査 Search Pattern Search スキャン時に

23 カスタム DB その他の機能 (2) ユーザ独自のコンポーネントやライセンス定義を DB に追加独自コードやサードパーティコードの再利用を追跡可能例 ) 他社との共同開発物件が契約外の製品で使われていないか検査 Search Pattern Search スキャン時に特定の文字列が含まれていないかを検査することが可能例 ) GPL copyright 自社名など Pattern スキャン結果の確認作業における補助情報手がかりを抽出する手段スキャン時に特定のファイル名やフォルダ名を抽出することが可能例 ) readme licence.txt など 23 NEC Corporation 2008

24 デモンストレーション

実行環境クライアントマシンデモンストレーション ProtexIP サーバ BlackDuck 社マスタサーバ (FireWall) F/W The Internet ( 検証対象のソースコード ) KB( ( ナレッジベース ) OSS OSS ソースコード OSS ソースコード OSS ソースコードソースコードマスタ KB

25 実行環境クライアントマシンデモンストレーション ProtexIP サーバ BlackDuck 社マスタサーバ (FireWall) F/W The Internet ( 検証対象のソースコード ) KB( ( ナレッジベース ) OSS OSS ソースコード OSS ソースコード OSS ソースコードソースコードマスタ KB 当会場 NEC 府中米国 HP 社が OSS(GPLv.2) として公開した Tru64 標準のファイルシステム Advanced File System (AdvFS) を protexip のナレッジベース反映前の状態で使用することにより自社開発コードの擬似サンプルとして使用 25 NEC Corporation 2008

クライアント側にソースコードを配置クライアントマシンからソースコードにアクセスする場合又は

26 運用形態 ( 例 ) (a) サーバ側にソースコードを配置 protexip サーバ上からソースコードにアクセスする場合又は protexip サーバ上に直接ソースコードを配置する場合パフォーマンス重視ソースを広く共有 (b) クライアント側にソースコードを配置クライアントマシンからソースコードにアクセスする場合又はクライアントマシンに直接ソースコードを配置する場合ソースを局所的に管理高いセキュリティ ( クライアントにソースを置けばネットワークには流れない ) 26 NEC Corporation 2008

27 デモンストレーションケース 1 自社開発コード ( 商用ライセンスで頒布 ) に OSS コードが混入していないかを検査 27 NEC Corporation 2008

28 デモンストレーションケース 2 OSS ライセンスで頒布する物件に他のライセンスの混入 / ライセンス違反が無いかを検査 28 NEC Corporation 2008

29 デモンストレーションケース 3 自社物件をカスタム DB に登録し他の開発で再利用されていないかを検査 29 NEC Corporation 2008

30 効果的に使うためのポイント protexip による検査を実行する前に以下を実施しておくことが望ましい ( 全てが難しい場合はの順でできるところまでやっておきましょう ) 1. 対象物件のライセンス ( 宣言ライセンス ) を明確にしましょうどのようなライセンスで頒布するつもりなのかがはっきりしていないとライセンス違反を判断できません複数のライセンスで頒布される物件はライセンスごとに検査単位を分けましょう 2. 流用している OSS がはっきりしている場合はコードツリーのどの部分が該当するかを予め整理しておきましょうメジャーな OSS を検査すると検出件数が膨大になることがあります予め流用 OSS を明確にしておくことで確認 (Identify) 作業が容易になります 3. OSS に手を加えず再頒布するだけの部分と手を加えた部分を分離しておきましょう再頒布するだけの部分は他の部分との関係に注意の上で当該ライセンスの遵守を確認すればよくわざわざ検査する必要はありません 30 NEC Corporation 2008

31 3. 製品サービス体系

FAX による製品使用方法のQ&A 障害調査 Web mail による情報提供 1 製品ライセンス ( 年間 Subscription)

32 製品サービス体系製品ライセンスサポートサービス付加サービスで構成 3 NEC 付加サービス導入支援サービスインストール構築作業基本トレーニング解析支援サービスコード検査結果の解説対処方法判断支援 2 NEC サポートサービス TEL FAX による製品使用方法のQ&A 障害調査 Web mail による情報提供 1 製品ライセンス ( 年間 Subscription) 製品使用 ( サーバ 1 台あたり 1 ライセンスが必要 ) Rev.up 権ナレッジベース更新権 32 NEC Corporation 2008

33 付加サービス検討評価構築導入運用保守短期間で使用方法を理解して評価したい社内の利用部門に効率的に展開したい検査結果にどう対処すればよいかわからない適切な構成設定がわからない検査結果に対する解説が欲しい protexip の製品知識に加え OSS とライセンスのノウハウを持った NEC の技術者が支援します導入支援サービス解析支援サービス 33 NEC Corporation 2008

34 導入支援サービス検討評価 ~ 構築導入フェーズにおける支援お客様の導入環境にあわせた protexip 設定インストール設定作業管理者 / 利用者向けのレクチャー費用 : 個別見積り内容 : 個別要件に応じてカスタマイズ例 )ProtexIP インストール作業環境設定作業管理者 / 利用者向けのレクチャードキュメント作成 ( インストール作業報告書レクチャテキスト等 ) 効果 : 短期間での効率的な評価検証導入コストの削減社内の利用部門への効率的な横展開本サービスの一部 ( 所定の範囲 ) は製品の初年度 Subscription に含む - インストール ~ 基本設定 ( 正常起動の確認まで ) - 汎用チュートリアルを用いた基本操作レクチャ 34 NEC Corporation 2008

35 解析支援サービス運用保守フェーズにおける protexip による検査結果解析を支援検査結果 ( レポート出力 ) に対する解説検査結果に対する詳細分析対応方法判断支援対応方法の判断そのものは本サービスの範囲外 ( リスク解説まで ) 費用 : 個別見積り内容 : 個別要件に応じてカスタマイズ例 )ProtexIP のレポート出力に対する解説ドキュメント作成検出箇所に対する対応方法判断のためのリスク解説詳細分析レポート作成オンサイト対応 ( 開発者ヒアリング等必要に応じ実施 ) 効果 : 検査結果に対する短期間でのリスク把握対処の意思決定リスク認識に基づく開発プロセスへのフィードバック (OSS 混入ライセンス違反を未然に防止する仕組み作り ) 解析ノウハウ蓄積横展開本サービスの一部 ( 所定の範囲 ) は製品の初年度 Subscription に含む - 以下のいずれかを選択 a) お客様の実コードでの検証レポート作成 ( コードサイズ 20MB 以下 ) b) サンプルコードによる検証実演と解析作業解説 35 NEC Corporation 2008

36 価格体系利用規模に応じた価格体系管理対象のコードサイズ利用ユーザ数年間 Subscription 方式期間限定キャンペーン実施中 (2008 年 9 月まで ) 詳しくはお問合せください [ 希望小売価格 : 万円 / 年 ] 所定範囲の NEC 付加サービスをバンドル () 内は NEC 付加サービス無しの価格 ( 原則として 2 年目以降の更新用 ) ユーザコードサイズ 50MB 100MB 200MB 500MB 1,000 MB 2,000 MB 5,000 MB 10,000 MB Unlimit ed (270) 770 (470) 1,000 (700) 1,650 (1,350) 2,650 (2,350) 3,400 (3,100) 4,250 (3,950) 4,950 (4,650) (490) 990 (690) 1,220 (920) 1,870 (1,570) 3,040 (2,740) 3,790 (3,490) 4,640 (4,340) 5,340 (5,040) 50 3,430 (3,130) 4,180 (3,880) 5,030 (4,730) 5,730 (5,430) 100 4,560 (4,260) 5,410 (5,110) 6,110 (5,810) Unlimit ed 5,800 (5,500) 6,500 (6,200) 6,800 (6,500) 36 NEC Corporation 2008

37 動作環境動作要件 [ 必須 ] CPU Pentium4 2GHz メモリ 4GB HDD 500GB( 非 RAID 構成 ) [ 推奨 ] CPU Xeon メモリ 8GB HDD OS 領域 ( ミラー構成 ) 80GB DB 領域 (RAID 構成 ) 1000GB サポート OS :RHEL4 RHEL5 (x86-64 推奨 ) NEC Express5800 Linux サービスセットのご利用を推奨しております Express5800シリーズ : Linuxサービスセット : 37 NEC Corporation 2008

25MB) をお預かりしスキャン結果をお返しします正規製品の出力との差分はありません機材のご準備は不要です

38 ご試用のご案内無料 1 評価版ライセンス 2 お試しレポートの 2 種類をご用意 1 評価版ライセンス最長 30 日間 25MB まで製品をご試用いただけます正規製品との機能差分はありません別途評価用サーバ OS が必要です 2 お試しレポートお客様のソースコード ( 最大 25MB) をお預かりしスキャン結果をお返しします正規製品の出力との差分はありません機材のご準備は不要です詳細な機能をじっくりとお試しになりたい方はこちらどのような結果が得られるかをお手軽に確認したい方はこちら詳細はお手元のご紹介資料をご覧ください 38 NEC Corporation 2008

39 製品情報お問い合わせ先製品情報お問い合わせ先 (NEC OSS プラットフォーム開発本部 protexip 担当 ) 39 NEC Corporation 2008

Protexご紹介

Protexご紹介 OSS コード検出ツール Black Duck Protex を用いた OSS ライセンス違反対策 2012 年 1 月 NEC Contents 1. OSS とライセンス 2. 違反事例 3. リスク対策のご提案 4. Black Duck Protex 活用のすゝめ Page 2 NEC Corporation 2012 Contents 1. OSS とライセンス 2. 違反事例 3. リスク対策のご提案

製品開発者のための OSS ライセンス コンプライアンス コンプライアンス 第 2 部 OSS コード検出ツール protexip/development の ご紹介 2008 年 8 月 29 日 NECOSS プラットフォーム開発本部山本

製品開発者のための OSS ライセンスコンプライアンスコンプライアンス第 2 部 OSS コード検出ツール protexip/development のご紹介 2008 年 8 月 29 日 NECOSS プラットフォーム開発本部山本