Fundación Linux y FOSSBazaar publicaron especificaciones para aliviar los problemas de licenci

El Software Package Data Exchange (SPDX) es una especificación de intercambio de datos que rastrea la información de la licencia de forma estandarizada y la hace fluir a través de la cadena de abastecimiento del software. Más sobre FOSS o Software Libre de Código Abierto.

Dado que el software de código abierto es colaborativo por naturaleza, cualquier nuevo proyecto por lo general contiene partes tomadas de otros proyectos de software de código abierto, cada uno cubierto por una licencia diferente. Para el momento en que un proyecto aterriza en las manos de una empresa que quiere usarlo, y posiblemente modificarlo, los profesionales de TI no pueden siquiera conocer todas las diferentes provisiones de licenciamiento adjuntas al código.

Las empresas desean respetar las licencias, y quieren estar enterados de cualquier restricción en las licencias antes de adoptar un proyecto. Esto no es tarea fácil, con más de dos mil licencias existentes para el software de libre disposición en Internet, que van desde licencias descabelladas como la Free Beer (que le pide que envíe cerveza al programador en lugar de dinero) hasta la familia de licencias GPL y licencias para plataformas específicas como Apache y Eclipse.

Cada licencia lleva consigo las indicaciones del desarrollador sobre cómo puede utilizarse y distribuirse el software. Las licencias permisivas como la BSD y la MIT permiten que el software sea redistribuido y los desarrolladores pueden modificar el código sin necesidad de poner los cambios a disposición del público. Por otro lado, las licencias recíprocas imponen varias restricciones sobre la reutilización y redistribución.

Varias compañías ofrecen herramientas o servicios para auditar el código usado por la organización, descubrir su licencia y asegurarse de que la empresa o el desarrollador estén en conformidad. Esto incluye a Black Duck Software, OpenLogic, HP FOSSology y Pathology. Pero incluso, si una empresa se sometiera a dicha auditoría y cada contribuyente de un proyecto documentara cuidadosamente la licencia y la información de los derechos de autor para cada pieza del software modificado, no habría una manera estándar de documentar los datos para que sean transferidos a otros usuarios.

SPDX resuelve este problema, menciona Dave McLoughlin, auditor de código abierto para OpenLogic. Un archivo SPDX viajará con el proyecto de software como un archivo incluido en él. Utiliza un formato específico para recoger datos específicos acerca de cada proyecto incluyendo el número de la versión y de la licencia. Con el tiempo, se crearán herramientas que permitirán que los archivos SPDX sean transferidos desde otros formatos de archivo. Por ejemplo, si el equipo de desarrollo de la compañía ha estado usando una hoja de cálculo para realizar un seguimiento de la información de la licencia, estas herramientas van a permitir que la hoja de cálculo se convierta en un archivo SPDX.

El equipo de trabajo de SPDX espera que con el tiempo todos los proveedores de software comercial apoyen a SPDX. Ahora que la especificación 1.0 está disponible, las empresas deben preguntar a sus proveedores comerciales de software de código abierto sobre el soporte a SPDX y cómo lo han implementado.

El proyecto contó con la participación y el apoyo de una amplia gama de ‘pesos pesados’ de la industria como Alcatel-Lucent, Antelink, Black Duck Software, Canonical, HP, Micro Focus, Motorola Mobility, nexB Inc., OpenLogic, Palamida, Protecode, Source Auditor, Texas Instruments y Wind River.

La especificación está disponible en el sitio web del Software Package Data Exchange.

Julie Bort, Network World (US)

Fuente: cioperu.pe