Cipher

Тва със секюритито се оказа голяма мотика, още се боря ама ме налегнаха едни чуденки на тема лицензи... Значи първоначално гледах 100-на библиотечки, ама заради лицензите реших че ще ползвам една конкретно, остналото мой код или преработено така че да не си личи откъде съм го крал. В последствие обаче се оказа че ще преработвам доста неща.
Демек гложди ме че влагам много време, а реално правата няма да са мои. А още повече ме гложди че правата не са ничии, въпреки че всеки претендира да са негови. Както казах материята е много дълбока и практически и теоретически няма вариант някой да има собствена библиотека. Няма как просто да се случи. Всички са крали, крали и даже няма как да се разбере кой от кого, изобщо да се говори за някакво авторство тук е меко казно смехотворно. Но така или иначе всеки си е сложил името и претендира за авторство... Та се чудя аз как да постъпя. Мога да замета следите и да се изтъпанча и аз като поредния "автор", но това е грозно. Мога да запазя "авторството" на тая библиотечка дето портвам, но както казах то не е тяхно, а не знам чие е...

китайците(и не само те) правят следното:
компилират краден сорс до LIB с преработени имена на функции и променливи,
работят само с техни "хора", SDK трудно излиза от китай, тъпчат в хардуера, продават продукт и тихо мълком богатеят
След време си платят лицензи, я платят я не и те така...

То чипери в мрежата под път и на път... проблема е комплексната комуникация, трябва си много време, четене и експерименти... демек пари
Последните месеци преработвах MQTT за две различни хардуерни платформи и се сблъсках със TLS-то - та минах по тоя път и още не съм решил как да постъпя

Реално всички правят сглобки и преработки, в това число и аз... скелета няма как да го сменя, щото са или стандартни обработки описани в десетки ако не и стотици RFC-та, много математики с големи числа, модулни пространства и т.н. Демек нещата на главно ниво или са фикснати по спецификация или са математически и други алгоритми дето не се правят от програмисти. Работата е на ниското ниво, примерно аз го прехвърлям от статична на динамична памет, то и сега се ползва динамична ама заделят предварително огромни блокове, сменям от Ц на Ц++, преработвам математиките да не са универсални, а оптимизирани като за АРМ архитектура, някои неща прехвърлям на асемблер. Отделно козметиката като нейминг конвенции, махане не на goto и тем подобни. Доста неща са, не просто да преименувам само.
Но в крайна сметка не го пиша от нула и като скелет ако го погледне някой дето разбира ще види кое от къде съм взел... Както и аз виждам че другите също са "взаимствали" и то доста. Та въпросът е малко философски, значи ако пишеш книга е допустимо такива едни леки "взаимствания", особено ако не преписваш буквално. Но при софтуера лицензите не позволяват изобщо подобни неща. Поне аз както ги разбирам. Щом си базирам моя труд върху някоя GPL библиотечка, независимо дали ще я преработя леко или ще я преработя яко, трябва да запазя лиценза и авторството...
Някак си не е честно

Ние сме пред същата делема в момента - опитваме се да направим едни китове за IoT за един клиент и той не иска да има опън сорс въобще и като им казвам, че даже си нямам идея колко време ще отнеме да се пренапишат всичките бози от нула и те ме гледатумно и скляпат на парцали . Та още мислят какво точно искат .

Какво му пречи open sourc-a ако е под BSD лиценз примерно? Също много проекти предлгат dual licensing. Ако не щеш опен сорс, плащаш си, получаваш комерсиален лиценз и правиш каквото си искаш.

Все още има достатъчно сериозни комерсиални играчи чийто продукти са поне на нивото на популярните отворени "библиотеки", стекове и подобни. Та при дилемата "да го мисля ли сега туй двойното какво е" или "да купя онова дето ми пратиха лъскави рекламни материали с крещящо убедителни графики (дето мога да ги сложа дирекшън в презентацията за пред началството)" доста избират пътя на по-малкото съпротивление.
Сигурно им пречи точно неяснотата в лицензирането - не точно "неясно", но е на една солидна такса за подходящ адвокат да се изясни, и пак ще ги е страх щото тоя адвокат няма да е уволненият ако нещо не е точно така. Т.е. за мениджърите комерсиалния лиценз е гаранция за спокойствие, за оправдания и тем подобни. Същото е и за самия код - той хубаво свободен, но никаква гаранция че след 2 месеца писачите няма да им писне и да спрат поддръжката. Тогава на мениджъра ще му се наложи да обяснява нов разход на ресурси за дописване или сменяне или купуване на нещо друго.
Мисля си че отворения код все си носи едно чувство на "краденост" - ако само го ползваш без да допринасяш, та някъде и на чест може да избива, или на защита на работното място...

В момента не съм в офиса да чекна, ама мисля че няма такава под BSD дето да става. Поне това дето ползвам като основа е GPL, поддържа се от фирма и срещу заплащане предлагат комерсиален лиценз. Проблемът в случая е че реално голяма част от кода го има и в други библиотечки. Изобщо секюрити нещата са сглобка от различни модули. Сглобките мога да се съглася че са си ги правили така както и аз правя моя вариант. Само че самите модули имат по 2-3 модификации и няма как да имат други, щото как да измислиш нов алгоритъм за стандартен хеш или аритметика с модулни пространства. Няма как да се случи. Поне аз тези алгоритми си ги знам щото съм ги ползвал не веднъж и знам вариациите и всеки път копвам кода естествено. А то и дори да седна да го пиша, аз пак ще го напиша по начина който вече съм видял. Най-много да не успея да го напиша де, но ако го напиша ще е нещо подобно на това, което съм виждал.
Не знам как да го обясня, но просто в тая област не става да измислиш нещо ново. Или знаеш как се прави и ще го направиш както другите. Или не знаеш и няма шанс да напишеш нещо сносно. Абе не става пак да измислиш топлата вода или колелото. И сега тия като ми твърдят че те са авторите, извинявай ама просто няма как да има 100 автора на едно и също нещо дето се знае от 80-те години. Съответно като взема една библиотечка без значение под какъв лиценз ще я взема, тоя лиценз е фалшиф.
Изобщо не става въпрос дали аз ще открадна или не. Просто стоката вече е крадена... и то неведнъж и поне аз не мога да се ориентирам кое от къде е крадено и кой е бил наистина автора. В хедърите и в лицензите се споменава само последния крадец...

Комерсиалните продукти (библиотеки, ...) използват като рекламен слоган "No GPL contamination". Това може би се връзва с твоя извод - идва нещо, което обаче не знаеш къде из родословното му дърво не е имало нещо GPL и оттам да ти "замърси" кода (в смисъла на лицензиране).
Е, едва ли някой прави "clean room" имплементация, реално сигурно повечето е рефакторинг на нечий код. Има и ентусиасти дето вкарват асемблер за оптимизация.
Доколкото помня чуденките ти бяха по-скоро относно архитектурата на "стека" - предполагам ако си я измислил ти остава и ти да направиш тоя "refactoring" и да вкараш наличния код в това "русло"?

Появила се е някаква нова - BearSSL. Мисля че я нямаме в тоя списък. Та да е пълно:
https://bearssl.org/

дайте идея за някакво тест сървърче?

По възможност за ниско ниво, щото още не успявам да вдигна сесия. Публичните сървъри ме псуват с разни алерти, нещо в някой пакет бъркам, ама с дебъг не става щото ме изритват по таймоут. Сега шляпам трейсове ама то мноо код...
Единия вариант за който се сещам е да си пусна мое сървърче с wireshark и да го настроя да не дропва... ама си мисля че акулката ще глътне плувката след като мине хендшейка и тръгне криптирането. А пък то след това има още много нещо за тестване.

Едно едно решение - https://serverfault.com/questions/80408 ... ke-failure

Баси дебъга, баси бозата...
С дебъга някак си се оправям. Протоколите ги тествам на локално сървърче плюс акулката, долу-горе става. Акулката малко не оцветява пакетите и така бях пропуснал някои проблемчета, ама те после избиха на друго място и се ориентирах.
Но със сертификатите нещо удрям на камък. Все нещо в някой сертификат не излиза. От всичките сървъри дето тествам едни не мога да валидирам като хората :–(
Не знам парсерът ли ми е куц, или аз все на кофти сертификати попадам... Пак сравнявах различните библиотечки, но навсякъде сертификатите се парсват на магия. Може би само ембеда е малко по-либерален, примерно ако не може да парсне някой екстеншън просто го подминава ако не е фатален. То и аз ще го направя така, ама нещо много несигурно ми се вижда цялата работа... Все пак сървърите периодично трябва да си опресняват сертификатите. Как да съм сигурен, че утре няма да ме изненадат (пак)?
Почвам да се замислям дали не трябва задължително лайнукс... или и това не е спасение?!

Ами аз докато ти четях тука тая тема, тутакси реших, че оня проект от другата тема (с IMX-a и Sitara-та) ще е под лайнукс или просто няма да го правя. Баси мъките.

И аз имам това убеждение - което ще излиза в публичния нет трябва да е масово, в смисъл нещо което често се "тества" и лесно се поддържа на ниво. Викат му обикновено "border router".
Повечето индустриални устройства имат разни специфични веб сървъри и такива са сред най-уязвимите и с най-много дупки. То и виндоуса щеше да е така ако не ги натискаше пазара да го кърпят.