Linux 基金会近期发布了一份有关开源社区注意事项的白皮书《了解开源科技和美国出口管制》,并发文概述了开源社区应该了解并遵循的与美国出口管制要求和开源加密相关的一般性原则。
EAR(Export Administration Regulations,出口管理条例)是美国联邦政府限制出口的主要条例,由美国商务部下的产业与安全局(Bureau of Industry and Security,BIS)发布并定期修订。EAR 适用于所有受《出口管制条例》管制的物品,并可管制这些物品的出口、再出口与转让。 EAR下“出口”的定义较为宽泛。出口不仅包括从美国境内向境外输送实物产品,还包括其它行为,例如向在美国居住的非美国公民或非美国合法永久居民传送技术,以及向美国境外人员提供用于电子传输的软件。 而如果开源技术是公开的,不受进一步传播的限制的,那么它是“已发布的”,因此不受制于 EAR。具体来说,EAR 明确豁免了大多数以开源形式呈现的软件和技术。有一些事项被明确列为不受制于 EAR,意味着它们被置于 EAR 法规管辖外并不受这些法规的约束。 EAR 第 734.3(b)条规定了一些事项不受制于 EAR,“如第 734.7 条所述的,(i)已经发布的信息及‘软件’”,该部分规定“已发布”的事项不受到 EAR 的管辖。具体来说,其规定“当可被公众获取且无进一步传播限制时,未被归类为密级事项的‘技术’或‘软件’属于‘已发布’,因此不属于受 EAR 管辖的‘技术’或‘软件’”。 所以“已发布”(published)是关键要素,如果开源技术不受进一步传播的限制且可被公开获取,那么它将被视为“已发布”了的开源事项,并将因此不受制于 EAR,亦即“open source technologies that are published and made publicly available to the world are not subject to the EAR(公开发布给全世界的开源技术不受 EAR 约束)”。 Linux 基金会表示:来自 Linux 基金会以及与我们合作的项目社区的开源软件均满足 EAR 第 734.7 条中“已发布”的要求。同时还列举了部分典型情况:
不过在项目涉及加密技术时,则需要考虑更多:
在通过了上述两项衡量标准后,相应的代码也将不受 EAR 管辖。 Linux 基金会表示其所有项目源代码,包括加密软件,均可公开获取,也已经提供了所要求的电子邮件通知,并在官网上公开了电子邮件通知的内容。“所以,Linux 基金会的项目源代码及对应的目标代码均不受 EAR 关于加密的限制”。 需要注意的是,上述情况只适用于开源项目本身,修改项目代码或其衍生产品的下游再分销商在源码并未公开时,仍然需要评估其是否符合 EAR 的规定。 Linux 基金会的文章中还对 BIS 于 2020 年 1 月 6 日宣布的一项新的关于“训练深度卷识神经网络自动分析地理空间图像和点云(point cloud)能力的特殊地理空间图像软件的管控权”的 EAR 规定进行了解读。 本文仅为帮助国内开发者理解对 Linux 基金会的原文作了简单介绍,不构成任何法律意见,详细情况请查看原博文:https://www.linuxfoundation.org/blog/2020/07/understanding-us-export-controls-with-open-source-projects |