Как определить, содержит ли закрытая программа свободный код?

Question

[Sh0ttky]

Если библиотека просто слинкована статически - это одно дело. Но что если в код несвободной программы копировать только ряд функций?
Предполагаю, что защитой свободного ПО занимается FSF. Где можно почитать о его деятельности в этом направлении (иски, результаты) ?

Answer 1

[Z-r]

> Как определить, содержит ли закрытая программа свободный код?

Я не знаю, что вы имеете в виду под «закрытой программой» (прекратившую свое существование?), но какая разница, что́ плагиатили — свободную программу или несвободную? Методы судебной экспертизы от этого не поменяются.

Если вы надеетесь, что здесь кто-нибудь вам о них расскажет длиннее, чем в двух словах (как это сделал т. Rou1997:), то боюсь, зря надеетесь. Это целое направление в криминалистике, по которому даже тематические журналы выходят. Я в нем совершенно не специалист, но ряд товарищей рекомендует для первоначального ознакомления книгу:

— Zeidman, Bob. The Software IP Detective’s Handbook: Measurement, Comparison, and Infringement Detection — Prentice Hall, 2011

Да, обязан предупредить, что говоря о свободных лицензиях автор допускает пару весьма грубых ошибок. А также имеет выраженное предубеждение против свободных программ, в чем не стесняется признаваться. И, разумеется, не чурается использовать пропагандистскую терминологию. И вообще не прочь порассуждать на темы, не имеющие отношения собственно к криминалистической экспертизе (вы там даже про «ЮКОС» и Ходорковского пассаж найдете :-). Но, я полагаю, у вас достаточно критического восприятия, чтоб все это не мешало извлечь из книги рациональное зерно.

Comments

[Sh0ttky]

хорошо, спасибо, а где взять информацию о проводимых судебных процессах?

Answer 2

[Rou1997]

Но что если в код несвободной программы копировать только ряд функций?

Определят по тем, которые скопируете: дизассемблер => хеш тела функции => сравнение.
Но это смотря что вы скопируете, сколько и насколько важно в вашей программе, да и ваша программа насколько важна.
Пока все эти показатели у вас "по нулям", беспокоиться абсолютно никакого смысла нет.
Обфусцировать код не проблема, вон никто не может разобрать JVM и доказать "ткнув носом" в листинг ее кода, является ли она просто интерпретатором байт-кода или действительно компилирует что-то в машинный код, никому это не нужно.

Comments

[Sh0ttky]

Насколько я понимаю, хэш тела функции сильно зависит от процесса компиляции. Откуда информация о таком методе?

[Rou1997]

Sh0ttky: Ну да, конечно, компилятор каждый раз рандомный ассемблерный код выдает, то порядок инструкций изменит, то смещения по адресам, то вообще опкоды поменяет, но вот ведь чудо - работает оно при этом каждый раз одинаково!
Вот какого черта вы со мной спорите? Вы уже не первый такой здесь. Вам кажется, то вас все хотят обмануть? Я разочарую вашу паранойю - на вас всем по.

[Sh0ttky]

Rou1997: кому на кого по к вопросу не относится. Мне интересен ответ на вопрос, а не есть ли кому-то до меня дело. Более, того, я вообще не собираюсь встраивать свободный код, мне просто интересно(!!!). "Спорю" я потому, что сложилось впечатление, что вы не очень-то "шарите" в теме.

[Rou1997]

Sh0ttky: Я, конечно, не член Free Software Foundation, но у меня довольно большой проект, основанный на дизассемблировании и декомпиляции Java и C++, поэтому я "в теме", и разумеется поиск задействованных библиотек тоже туда входит, ведь если я буду декомпилировать те библиотеки, которые можно скачать в интернете, то это будет глупо и я потрачу кучу времени, вот и приходится их сразу выявлять.
Поэтому мои идеи взяты из практики, а не фантазии, во всяком случае лучше меня здесь вряд ли кто-то "шарит", заметьте остальные вообще не ответили на вопрос. А вас что-то ввело в заблуждение и сложилось впечатление, что я НЕ "шарю". Может, подскажете, из чего оно у вас сложилось? Попрошу быть откровенным и перечислить все факты, это не об обиде, мне интересно.

[Sh0ttky]

Rou1997:
Ок, спасибо за более развёрнутый ответ.
Отвечаю на ваш вопрос:
1) ответ с отходом от темы. Знаете, как когда кто-то спрашивает "как на bash ... ?", а ему кто-то обязательно "используй питон". Это я про "беспокоиться не о чем".
2) ответ "хэш тела функции" меня не устроил потому, что в дизассемблере уже нет такого чёткого понятия "функция". Чтобы определить, одна ли функция скомпилирована из одного кода с разными флагами компилятора (скажем -O1 и -O2 gcc), нужна, пожалуй целая виртуальная машина. А если разные компиляторы? Один из них может использовать дополнительные инструкции типа mmx. Это моё личное мнение, и пожалуй в этом направлении у меня практики значительно меньше чем у вас. Но я не вижу ему противопоставления.

[Rou1997]

Sh0ttky:
1) У вас академический интерес, а у меня прикладной, я ничего не делаю просто так, оттуда и про беспокойство, видимо нам с вами просто "не по пути",
2) Вообще-то в дизассемблере есть понятие "функция", как минимум это экспортированные функции, а в библиотеках обычно именно такие.
Но более того, компилятор GNU/MinGW/... вообще все функции "сохраняет", кроме статических, а хороший дизассемлер даже статические сам пытается восстановить, например с IDA Pro у меня это получалось.
Конечно, хэш-код на практике может не совпадать, это я упростил, но глянув на код из хорошего дизассемблера, можно найти сходство, которое уже довольно сложно замаскировать.
Видимо, стоило написать просто "сравнение с помощью дизассемблера".
А вопрос не праздный, обычно все довольны мною на форумах, но бывает резко кто-нибудь "встречает в штыки", так вот то же самое и на фрилансе и с заказчиками, очевидно связано, а то что на фрилансе это уже не мелочь и слез потом не мало, когда всерьез пытаюсь людей убедить сделать мне предоплату, для их же блага, но не получается. Потом понимаю, что действовать надо было иначе и тогда бы получилось, но повторяется снова и снова, чтобы такого не было надо как-то совершенствоваться, лучше "чувствовать людей".

Answer 3

[xmoonlight]

Просто для справки и осмысления (взято из wiki):

Защита авторских прав
Фонд владеет авторскими правами на бо́льшую часть программного обеспечения GNU, а также на некоторые не-GNU программы. От любого человека, делающего вклад в пакеты GNU, Фонд требует письменное заявление о передаче авторских прав, чтобы иметь возможность защищать программы в суде в случае возникновения спора. Кроме того, это позволяет при необходимости менять лицензию на ту или иную работу, не связываясь с каждым из разработчиков, когда-либо сделавших вклад в программу.

Comments

[Z-r]

И при чем здесь сие?

Answer 4

[Sh0ttky]

Предполагаю что, основным механизмом здесь являются сотрудники укравшей компании. Если программист узнает, что компания, где он работает использует код под GPL, он имеет полное право потребовать от неё открытия кода, и будет юридически защищён. У него будут непосредственные док-ва как у свидетеля.

Comments

[Z-r]

В высшей мере странное предположение.

[Sh0ttky]

Z-r:
"что он будет юридически защищён", или что фактор текучки кадров делает компанию с обсуждаемым нарушением уязвимой?