Bitwarden heeft sdk-licentie weer aangepast naar publieke GPL 3.0-licentie

Bitwarden heeft de licentie van zijn ontwikkelaarskit aangepast naar een GPL 3.0-licentie. Eerder deze week bleek er in de sdk een beperking in het licentiemodel te zitten, waardoor dat niet volledig vrij te gebruiken was. Bitwarden zegt dat dit nu verholpen is.

Bitwarden-oprichter en -cto Kyle Spearrin zegt in een comment op GitHub dat voortaan alle sdk-packages hetzelfde licentiemodel gaan gebruiken 'dat Bitwarden historisch voor al zijn clients gebruikt'. Spearrin verwijst naar Bitwardens licentiepagina. Bitwarden-clients, waar de sdk ook onder valt, zijn beschikbaar onder een GPL 3.0-licentie.

In de GitHub-repo van specifiek de sdk-internal-package is die informatie ook opgenomen in het licentieakkoord. "De sdk-internal-referentie gebruikt op dit moment alleen GPL-licenties", schrijft Spearrin. "Als daar in de toekomst Bitwarden License-code aan wordt toegevoegd, zullen we een manier aanbieden om meerdere varianten van de client te bouwen, vergelijkbaar met hoe we dat nu met de webkluisclients doen."

Bitwarden kreeg eerder deze week veel kritiek nadat de dienst de licentie van zijn software development kit aanpaste naar een eigen licentiemodel omzette. Met die licentie mochten ontwikkelaars geen toepassingen meer bouwen buiten het Bitwarden-ecosysteem of voor eigen, alternatieve sdk's. Bitwarden bood zijn software altijd opensource aan onder een GPL-licentie, waarmee het zich onderscheidt van de meeste grote wachtwoordmanagers. Het kreeg daarom veel kritiek van gebruikers, die juist het open karakter van dat licentiemodel waardeerden.

Update 7-11: in het artikel werd Kyle Spearrin eerst Kevin genoemd.

Reacties (41)

[Swindowmasher]

Hebben ze dit dus nu aangepast na kritiek, of was het echt een fout die ze rechtgezet hebben?

[Kenhas]

Volgens het vorig nieuwsbericht houden ze het op een bug

De huidige problematiek bestempelt hij als een bug die zal worden opgelost. Het bedrijf heeft later via sociale media nogmaals gezegd dat het 'toegewijd blijft aan het opensourcelicentiemodel' en dat het hier gaat om een packing-bug

Ik heb niet het gevoel dat dit een bedrijf met een minder goede reputatie is dus echt twijfelen aan die woorden doe ik vooralsnog niet

[dwizzy]

Volgens mij na kritiek, want je valt niet zó op je toetsenbord dat je per ongeluk een tekst in de licentie toevoegt met beperkende voorwaarden.

Zeker omdat het al in juli is aangekaart. Volgens nalvis bij F-droid:

But it still comes after weeks (or rather months) of denial, trying to stop discussions by locking issues, marking them as resolved,...
Technically yes it now qualifies as open source, but it will take some time before many consider it free software again, if ever.

[graey]

Wel, het is nu GPLv3, dus een fork is snel gemaakt?

[NLxAROSA]

Ze luisteren naar hun gebruikers, dus dat is sowieso goed. Bedrijven doen soms domme dingen, niet altijd bewust, of bewust van de gevolgen.

[BlackCurry]

Ik ben van LastPass naar bitwarden gegaan vanwege de beveiliging lekken, tot nu toe heel tevreden met bitwarden, maar dit soort fratsen moeten ze niet te vaak doen is niet goed voor hun reputatie.

[Dubbeldrank]

Een fout maken kunnen we allemaal, het is belangrijker hoe men het oplost. En dat is goed geregeld zo te lezen.

[NLxAROSA]

Idd. Ik werk zelf bij Zoom, die lieten heel veel steken vallen qua security in 2020 en is nu 1 van de bedrijven die het goed op orde hebben. Idem met AI, was eerst ophef over de policy en gebruik van data. Dat is nu verandert naar: we gebruiken geen klant data voor trainen van AI. Bedrijven hebben soms wat hulp nodig.

[ronald136813]

Ik kwam ook van lastpass en al paar jaar Bitwarden en erg tevreden, gaat om de veiligheid van de software en niet om een randverschijnsel, de software is veilig , no worrie's ze zijn 100% bezig het de veiligheid van de software en dat is belangrijk , bij lastpass waren ze dat duidelijk niet.

[TechHead]

Ik ben ook jaren LP gebruiker geweest. Al voor de lekken ben ik op zoek gegaan naar een alternatief omdat support niet meer bestaat behalve voor de duurdere abonnementen.
De echte doodsteek was dat ze naar eigen zeggen authenticatie met een app stap voor stap gaan verplichten.
Dus inloggen op de LP op mijn telefoon met een app die op dezelfde telefoon staat. Misschien verkeerd begrepen zoals veel gebruikers getuigde de discussie op het forum? Misschien foutief persbericht? Maar omdat er geen support meer is was het einde verhaal voor mij.

Bitwarden heeft echte support en itt LP fixen ze bugs ook. Het LP icoontje stond vaak in de weg zodat invullen v/e password onmogelijk werd zonder prutsen. Na jaren veel klachten hebben ze het nog niet opgelost.

Bitwarden foutloos? Vast niet, maar een probleempje met een licentie brengt mijn vault niet in gevaar.

[CEdS]

Ik heb een hele negatieve ervaring met Bitwarden:
In mijn kluis bij Bitwarden stonden zeker 400 inlog/ww, diversen kaarten etc.
Inloggen op BW met gebruikersnaam/ww en 2FA, Firefox extension en android app
Betaald account en een noodtoegang via een ander Bitwarden account
Mijn ww voor Bitwarden had ik nergens opgeslagen
Ik dacht dus alles goed geregeld te hebben.......
Op 3 oktober kon ik niet meer inloggen op bitwarden via geen enkel ingang. direct/firefox/android.
Ik vraag om een hint voor mijn wachtwoord maar ontvang nooit een respons/mail of anderszins
Na 2 uur kwam er een notitie op hun website dat er een issue was, niet echt duidelijk wat.
Weer 2 uur later was dit opgelost maar ik kon nog steeds niet inloggen.
Ik checkte het rescue inlog account, tot mijn grote verbazing was mijn rescue login daaruit verdwenen....
Opeens kon ik weer inloggen maar al mijn gegevens waren verdwenen. Ik raakte toch wel lichtelijk in paniek......
Na ellenlange mailwisseling met Bitwarden was hun conclusie:
- Ik had zelf het account verwijderd en opnieuw aangemaakt op 3 oktober 2024
Vervolgens overlegde ik mijn betaalbewijzen van de afgelopen 3 jaren en vroeg om opheldering?
Antwoord: Het account bestaat pas sinds 3 oktober 2024......
Wij kunnen niets voor u doen........
Ik ben zo vrij om het inmiddels Shitwarden te noemen.

[JFP]

Vergelijkbare ervaringen hebben wij als bedrijf ook gehad. Nieuwe versies die zonder aankondiging worden uitgerold en die vol bugs blijken te zitten waardoor niemand meer ergens bij kan of hele vaults leeg zijn. Slechte communicatie. “Doe het er maar mee” reacties (hoe bedoel je; al onze vaults zijn ineens niet zichtbaar na een fantastische update zomaar van jullie heren). Nieuwe features of regels die gebruikelijke features waar dagelijks mee gewekt werd van dag 1 op 2 ineens eruit gooiden, waardoor het voor ons volslagen onbruikbaar werd in één klap. Vervolgens laconiek en ongelofelijk arrogant daarop reageren. Dit soort zaken ettelijke keren gehad. Super onprofessioneel en mega onbetrouwbaar op die manier voor je bedrijfsvoering. Morgen kan alles ineens anders zijn omdat iemand bij BW een geweldige ingeving heeft en dit zomaar wordt doorgevoerd zonder afstemming whatsoever. Nu er vanaf. Damage control. Nooit meer BW iig. Wat een zooitje daar…, voelde mega onveilig/onvoorspelbaar op ten duur en de reacties vanuit BW niet om over naar huis te schrijven zo onprofessioneel. Je kunt niet zomaar ineens versies uitrollen die hele delen van je product in één klap onbruikbaar of niet meer beschikbaar maken. Als je al vind dat dat nodig is communiceer je daar over én rol je dat langzaam en gefaseerd uit zodat klanten zich daarop kunnen aanpassen en voorbereiden of evt overstappen naar een ander product. Laat staan de mega buggy plotselinge releases waar vaults gewoon leeg waren of ontoegankelijk ineens of waarbij er inlog problemen waren die niet werden opgelost zoals hierboven. Tergend.

[!GN!T!ON]

Ik gebruik prive en zakelijk nu al een jaartje of vijf Bitwarden, maar kan mij hier niet in herkennen. Ervaring met de support afdeling heb ik dan eerlijk gezegd weer niet, want die heb ik de afgelopen jaren dus ook niet een keer nodig gehad.

Uit nieuwsgierigheid, welke features heeft BW dan gesloopt of verwijderd dat het product voor jullie niet meer bruikbaar was?

Ben nu zelf aan het kijken naar Protonpass, aangezien ik toch al voor vpn/mail/drive bij proton zit en pass hier al in het pakket zit. Hik er alleen tegenaan omdat BW al jaren zonder issue werkt en naar mijn idee bewezen is en ProtonPass is nog relatief nieuw.

[CEdS]

Bij mij was werkelijk alles weg. Het account lijkt door hun verwijderd te zijn (per ongeluk neem ik aan). Vervolgens doen ze er niets mee. Ook wanneer ik vroeg waarom uit het account van mijn partner de rescue ingang naar mijn account verwijderd is. Ik kreeg heel sterk de indruk dat ik alleen gecommuniceerd heb met een chatbot (het waren allemaal voor de hand liggende vragen en antwoorden en op moeilijke ingewikkelde vragen werd niet gereageerd).
Ook toen ik vroeg of ik mijn bijdrage's over de afgelopen jaren terug kon krijgen omdat mijn account pas sinds 1 dag bestond....

[sundrak]

Dit is een(van de) reden waarom ik niet en zee ga met deze soort tokos.
Ze proberen op een bepaalde moment dit soort BS uit te halen.

[jozuf]

Dus je alternatieve password manager heb je liever gewoon closed source zodat het licentie model vanaf het begin dicht is?
Of hoe zie je dat dan?

[Remzi1993]

Liever de duivel die je kent dan de duivel die je niet kent. Ik heb iemand of een organisatie die liever vanaf het begin eerlijk en duidelijk is over dingen dan een persoon of organisatie die dat niet is.

[84hannes]

Liever de duivel die je kent dan de duivel die je niet kent. Ik heb iemand of een organisatie die liever vanaf het begin eerlijk en duidelijk is over dingen dan een persoon of organisatie die dat niet is.

Dus bedrijven die vanaf het begin een beperkende licentie hebben, of closed source software aanbieden, kunnen volgens jou niet de voorwaarden verslechteren? Ik ben bang dat er heel veel onprettige verassingen in jouw vooruitzicht liggen.
nieuws: LastPass beperkt gratis abonnement tot één soort apparaat
nieuws: Evernote beperkt gratis versie tot twee apparaten en verhoogt prijzen
nieuws: Slack lijkt procedure voor inzien van privéchats minder transparant t...

Ik denk dat je de Duivel die je denkt te kennen, minder goed kent dan je hoopt.

[Remzi1993]

Daarom pas ik altijd mijn ervaring van bedrijven aan. Het moment dat een bedrijf zich slecht gedraagt is het moment dat ze mijn vertrouwen kwijt zijn geraakt. Vertrouwen komt te voet en gaat te paard.

[magician2000]

Waarmee dus ook direct je statement "Liever de duivel die je kent dan de duivel die je niet kent." mank gaat omdat je steeds overstapt (om moet stappen) naar een nieuwe duivel (die je dus niet kent).

Geen enkele organisatie zal vanaf het begin helemaal eerlijk en duidelijk zijn. Er spelen altijd andere belangen mee, bewust of onbewust. Dat zien we nu al 20 jaar meer dan overduidelijk bij ieder "niet evil" bedrijf. Ze lopen elkaar achterna zodra ze zien dat ze ermee weg kunnen komen of vette winsten mee behalen.

[RICCTWK]

Als iedereen zou zijn zoals @Remzi1993 dan zaten we nu niet met z’n allen opgescheept met apps als WhatsApp, waar je niet weg kunt omdat al je vrienden, kennissen en familie (en zelfs het team van je werk) niet zien bij wat voor bedrijf dit is gestald. Nee, er wordt echt amper gehandeld door mensen als bedrijven zich niet goed gedragen. Dat zit in kleine en grotere misdragingen. Ik wil graag meer voorbeelden geven vanwege al het onrecht dat er bestaat, maar dan word ik hier hartstikke off-topic. Ik heb vijf jaar gezeten bij Bitwarden (net paar maandjes geleden overgestapt naar een specifieke Mac/iOS client op basis van KeePass. Ik heb nooit een onveilig gevoel gehad bij Bitwarden en vind zowel de gratis als betaalde variant heel ruimhartig. Ik zou het nog steeds iedereen aanraden, maar laten we alsjeblieft eens stoppen met doen alsof bedrijven een religie zijn. Een bedrijf maakt een fout, prima. Als er dan geen mensen zijn die hun mond opentrekken en/of weggaan, dan geef je helemaal geen signaal af. Iets meer activisme mag best, ook bij bedrijven zoals Bitwarden die we misschien wat fijner/sympathieker vinden. Zo houden we de boel een beetje scherp.

[84hannes]

Iets meer activisme mag best, ook bij bedrijven zoals Bitwarden die we misschien wat fijner/sympathieker vinden. Zo houden we de boel een beetje scherp.

Daar heb je helemaal gelijk in. Maar uiteindelijk is weglopen, net als bij je werkgever, een van de laatste dingen die je moet doen. Als je een ander signaal kunt geven over wat er mis is dan kun je een verbetering in gang zetten; als je wegloopt neemt het aantal overgebleven opties hard af.

Zelf ben ik zo'n tien jaar geleden weggelopen bij WhatsApp omdat hun beleid (alternatieve clients én hun gebruikers blokkeren) me niet beviel, en heb ik mensen meegekregen op Telegram. Ondertussen weten we waar dat toe geleid heeft: spam en geen fatsoenlijke encryptie. Moet ik nu weer weglopen en hopen dat Signal altijd blijft leven van donaties en hun gecentraliseerde systeem altijd het beste met de mensheid voor houdt? Misschien was ik nu liever gewoon op WhatsApp gebleven, het perfecte alternatief bestaat toch niet.

[TechHead]

Als iedereen zou zijn zoals @Remzi1993 dan zaten we nu niet met z’n allen opgescheept met apps als WhatsApp,

Zijn handelen lijkt strijdig met zijn mooie spreekwoorden.
De best bekende duivels zijn juist de big tech duivels.
Je kunt een bedrijf pas kennen als het vele jaren bestaat. En zelfs dan blijft de vraag of het gebrek aan schandalen is omdat het bedrijf vlekkeloos is, of omdat het goed kan verbergen.

Een open source bedrijf kun je sneller leren kennen omdat veel mensen de 'geheimen van die duivel' kunnen inzien. En ook omdat dat soort bedrijven geen grote afdeling hebben om de gebruiker wol over de ogen te trekken.

Iets meer activisme mag best,

Dat is zeer zeker zo! Maar blindelings wegrennen omdat het leuke borrelpraat is, voegt niets toe. Vaak gaat het tegen het doel van activisme in omdat het nog slechtere duivels in de kaart speelt.

[Remzi1993]

Inderdaad, ik heb gewoon alle drie naast elkaar: Telegram, Signal en WhatsApp, maar niemand wilt Signal gebruiken terwijl dat volledig open source is.

[84hannes]

Het moment dat een bedrijf zich slecht gedraagt is het moment dat ze mijn vertrouwen kwijt zijn geraakt.

Maar dan moet je je afvragen wat hier nu echt gebeurd is. Als je in 2021 bent weggelopen bij LastPass, naar 1Password, maar in 2023 daarvandaan bent gevlucht naar Bitwarden, is het dan niet een beetje naïef te denken dat je nu eindelijk een partij gaat vinden die geen fouten maakt?

[TechHead]

Dat, plus dat de password vault (of een backup daarvan) bij meer duivels op de server staat.

[TechHead]

Liever de duivel die je kent dan de duivel die je niet kent.

Vertrouwen komt te voet en gaat te paard.

Dus je hebt de duivel nooit gekend.
Je kiest voor een closed source duivel met geheimen, want wat niet weet wat niet deert.

[poktor]

Precies. Lekker veilig ook.
*kuch* Lastpass *kuch*

[sundrak]

Keepass
Heb je alles zelf in de hand.

[jozuf]

KeePass kan toch ook besluiten delen van hun compilatie tools of sdk uit te brengen onder een gesloten licentie?
Zie het verschil niet.

Omdat het lokaal draait ipv op een webserver betekend niet dat exact hetzelfde kan gebeuren bij KeePass.
Ja je hebt de mogelijkheid om voor altijd een oude versie te blijven draaien. Maar of dat verstandig is met een password manager...

[Reactie gewijzigd door jozuf op 7 november 2024 12:05]

[sundrak]

Keepass heeft geen commerciele versie, en is ook niet geld gedreven.
Alles is opensource.
Mocht voor welke reden dan ook, er mee stoppen, of je denkt het kan anders,etc etc.
Kan iedereen het Fork-en, een aanpassen naar je eigen smaak.

En dit is ook gebeurt:
KeePassXC ->https://keepassxc.org
KeePassDX ->https://www.keepassdx.com
Er zullen vast meer zijn.

Dit soort projecten worden ook niet zomaar weg gehaald als men er mee stopt.
Dit heeft niet veel zit, omdat iemand een kopie heeft van de source, en daarmee vrolijk mee verder kan.
Er wordt vaak gekozen om iemand te vinden die het wilt overneem, kwa ontwikkeling, of ze archiveren het.
Op deze manier kan man als nog erbij komen, mocht er alsnog (in de toekomst) interesse in zijn.

KeePassX is hier een voorbeeld van.
Die zijn er mee gestopt, en men heeft dit onder gebracht onder KeePassXC

[jozuf]

Bitwarden is ook opensource, en kan ook iedereen forken, zie hier;
https://github.com/bitwarden

Er is ook een project wat niet zozeer een fork is; Vaultwarden, maar compatible is met de BW api (en dit is mogelijk doordat ze de implementatie van de API konden zien, dmv de source. Je kan ook wel api's reverse engineeren maar dat is ingewikkelder en kost meer tijd)
Er was dus alleen een SDK ff met een andere licentie.

ik zie nog steeds het verschil niet.
KeePass kan ook kiezen om een SDK met een gesloten licentie te gaan aanbieden/gebruiken. En ja, dan kan je overstappen op een fork, net zoals je met bitwarden kan. Het is niet anders.

[Reactie gewijzigd door jozuf op 7 november 2024 13:47]

[sundrak]

Bitwarden is geld gedrevenen, keepass niet, en dat vind ik problematisch.

Met geld/omzet in het achterhoofd, kan een bedrijf zoals Bitwarden rare sprongen maken.

Keepass is geen bedrijf, maar mensen die in het project geloven.
geld/omzet is het niet aan de orde, en je zult ook geen rare sprongen zien.

Welke rare sprongen?
meest extreme, is het gehele opensource still leggen en verdergaan als closed.
Zie Winamp als voorbeeld, die zat te klooien en vervolgens toch maar closed maakte.


Maar ook dingen specifiek weg laten, wat je bvb well in hun Premium model wel zien.
https://sabre.io doet dit met een uitgeklede opensource versie, baikal.

Het zou me niks verbazen dat Bitwarden dit ook doen met hun premium account.

[jozuf]

meest extreme, is het gehele opensource still leggen en verdergaan als closed.

Dat kan niet zover ik weet. De bestaande code die je gereleased hebt onder een bepaalde licentie moet onder die licentie blijven (zie bv hier; https://www.reddit.com/r/...nge_my_license/?rdt=64004). Nieuwe code toegevoegd aan het project mag wel verspreid worden onder een andere licentie.
Je mag je licentie ook veranderen voor bestaande code als alle betrokken partijen het hier mee eens zijn. Dat zijn dan alle contributers aan de codebase die onder de licentie vallen.

het ligt er maar net aan wat je bedoeld met "geld gedreven". De developers van de linux kernel verdienen er ook geld aan om daaraan te werken. Ze zijn geen commerciële partij, maar iets als RHEL bv wel. Dat heeft ook zijn voordelen, want je krijgt bv support, die je niet per definitie krijgt van opensource hobbyisten.

Ik snap je punt wel, maar zie niet dezelfde bezwaren. Zoals met alles is er geen "golden bullet" en heeft alles zijn voor/na delen.

[Reactie gewijzigd door jozuf op 7 november 2024 14:47]

[Grrrrrene]

Je schrijft woorden, maar zegt niet echt wat. Wat voor "BS" bedoel je nu eigenlijk? Er is om een technisch probleem heen gewerkt en binnen een week is het opgelost naar volgens mij ieders tevredenheid. Het is net zo open als het daarvoor was. Is die ene week nu zo'n onoverkomelijk probleem?

[CAPSLOCK2000]

Je schrijft woorden, maar zegt niet echt wat. Wat voor "BS" bedoel je nu eigenlijk? Er is om een technisch probleem heen gewerkt en binnen een week is het opgelost naar volgens mij ieders tevredenheid. Het is net zo open als het daarvoor was. Is die ene week nu zo'n onoverkomelijk probleem?

Allereerst, foutjes worden overal gemaakt en dat kan vergeven, zeker technische foutjes.
Maar was dit echt een technisch probleem?

Iemand heeft toch echt die nieuwe licentietekst geschreven, dat is geen tikfoutje. Het lijkt me dat iemand daar veel tijd en moeite in heeft gestoken en dat er dus een plan achter zit. Dat kan ik nog steeds vergeven als foutje maar het is toch wel een stuk groter dan de typische slordigheidsbug.

Ik snap heel goed wat @sundrak bedoelt met BS, namelijk dat bedrijven een "open source" product aanbieden zonder echt te snappen wat de Free Software community daar mee bedoelt en een deel van hun product onder een andere licentie uitbrengen. Dat is zoiets als zeggen dat je vegetarier bent behalve bij het eten. Dan geloof of snap je je eigen principes niet.

Zodra ik ergens zie dat er een "community"- en "enterprise"-versie is ben ik op mijn hoede, dan verwacht ik dat het "community"-product een handicap heeft en er vroeg of laat druk komt om de betaalde versie aan te schaffen om alle leuke features te krijgen.

Ik wil best geloven dat zo'n licentie per ongeluk via een dependencie naar binnen sluipt of dat bestanden per ongeluk naar de verkeerde licentie verwijzen. Maar ik geloof niet dat die licentie per ongeluk is geschreven of dat Bitwarden per ongeluk heeft gekozen voor het community/enterprise model.

Bitwarden is een prima product maar een van de meest onderscheidende features is dat ze open source zijn. Dat zijn er meer maar Bitwarden is een van de grootste en belangrijkste in die hoek. Als ze dat echter opgeven dan zijn er nog 100 andere gesloten password-managers die ook goed zijn.

Een wachtwoordmanager vereist absoluut vertrouwen en dat heeft nu een deuk opgelopen.

[iqcgubon]

Open source is niet hetzelfde als Free Software.

[Blokker_1999]

Wat voor soort tokos? En wat doe je dan met je wachtwoorden bijvoorbeeld? Overal hetzelfde gebruiken? Voorspelbare variaties gebruiken? Een tekstbestandje ergens bijhouden?

Bitwarden is 1 van de weinige opensource wachtwoordbeheerders die een cloud component heeft die je gratis kunt gebruiken. Dat kan ik alleen maar toejuichen.

[sundrak]

Redhat is een mooi voorbeeld.

Die hebben ook een onderliggende verdienmodel, boven op de opensource.
Die zaten ook te klootviolen met de gratis versie.
https://www.redhat.com/en...nd-life-what-does-mean-me
Nu moeten ze migreren naar een andere smaak, wat veel tijd en geld kost.

[StormRider]

Bij 'Brave browser' veranderde er aan de achterkant ook geregeld wat zonder aankondiging. De community kwam er dan achter en dan moest het eerste het nieuws halen.
Dit schaadt wel echt een product dat zich wil onderscheiden in privacy en security.

[Ziggo]

@TijsZonderH Er staat een fout in het nieuwsartikel. Het is niet Kevin, maar Kyle Spearrin.