OpenBSD uit financiële problemen dankzij donaties

In een week tijd heeft het OpenBSD-project genoeg geld op weten te halen door donaties om zijn elektriciteitsrekening te kunnen betalen. Een week geleden leek het er nog op dat het project zijn deuren zou moeten sluiten.

Een elektriciteitsrekening van 20.000 Canadese dollar, omgerekend zo'n 13.500 euro, voor de servers van het OpenBSD-project, leek de opensource-BSD-variant een week geleden nog de das om te doen. Het project kampte met 'teruglopende financieringen', al is niet duidelijk wat daarvan de oorzaak is.

In een week tijd heeft OpenBSD echter 100.000 Canadese dollar, omgerekend bijna 67.500 euro aan donaties binnengehaald; vijf keer zo veel als dat er nodig was om de rekening te betalen. Dat heeft OpenBSD-ontwikkelaar Bob Beck bekendgemaakt. "We zijn in een week van een hachelijke situatie gegaan naar 100.000 Canadese dollar aan toezeggingen", aldus Beck. Het project hoopt nog eens de helft daarvan extra op te halen om zijn rekeningen dit jaar te kunnen betalen.

OpenBSD is een BSD-fork die is gericht op stabiliteit en veiligheid. Het project levert nooit de meest recente versies van softwarepakketten mee, om beveiligingsproblemen te voorkomen. Daardoor heeft OpenBSD relatief weinig ernstige beveiligingsproblemen, en is daardoor populair onder beheerders van servers.

Reacties (59)

20000$ is met een tarief van 20ct per kwh gerekend 100000kwh! Ik wil die rekening wel eens zien, dit is compleet ongeloofwaardig. Honderdduizend kwh! Als je dat omrekent kom je uit op 11500W aan servers die 24/7 het hele jaar door staan te stampen .

Iets zegt me dat het vertelde verhaal niet het hele verhaal is.

servers gebruiken ca 400 watt, zeker verouderde modellen.
We weten dat Openbsd veel oude hardware heef tivm testen en ontwikkelen.

Vrijwel elke watt die je erin stopt haal je vervolgens via de airco er weer uit.

Een server kost al snel ca 500 tot 800 euro per jaar aan verbruik!
Rekeneenheid stroom 0,22 incl per KWh x 24 uur x 365 dagen
1 Kwh kost dus bijna 2000 euro op jaarbasis !

Stroomverbruik is dus servers plus airco.

In nederland voor een colo is 800 euro goedkoop voor een oudere server p.j.

€13500,- per maand, stel 20 ct/kwh => 67500kwh per maand
67500 / 30 dagen per maand = 2250 kwh per dag
2250 / 24 uren per dag = 93.75 kwh per uur = 93.75 kw = 93750 watt
stel dat zo'n server per stuk 100W trekt, dan 93750W / 100W = 937.5 servers
Zo extreem onredelijk klinkt dat niet voor zo'n groot project. Toch?

Het kan goed zijn dat de energierekening per jaar is

Weet niet maar als je een iets oudere afgedankte server neemt, iets wat sommige mensen als een donatie zien. Dan kom je al snel op de 350w per server, en dus even snel je rekensommetje, .... .... .... 937.5 / 3.5 = 267 servers.

Mocht het een stroomrekening zijn voor bijv. 2 a 3 maanden

is het dus ongeveer 100 servers .

Het is net hoe je het bekijkt onmogelijk is het namelijk zeker niet.

Grapje? Waar hebben ze bijna duizend servers voor nodig? Als het alleen om ontwikkelen van openbsd gaat...

Genereren van binaries, compilen, testen... noem het maar op. (denk ik)

Echter kost een Kwh in een datacenter beduidend meer dan 20ct.
Je bent niet simpelweg aan het elektriciteitsnet verbonden maar hebt dure aggegraten en UPS'en in de infrastructuur staan + een boel koeling. Praktijk is dat een Kwh in een datacenter een stuk duurder is. (Alhoewel ik niet de elektriciteitsprijzen in Canada ken, NL is wel erg duur)

Echter kost een Kwh in een datacenter beduidend meerminder dan 20ct.

Fixed that for ya. Ik betaal op dit moment 19ct per kWh. Datacenters kopen groot in == fikse korting.

[Reactie gewijzigd door CyBeR op 22 januari 2014 01:03]

Voor puur electra lijkt me dat bedrag inderdaad aan de hoge kant.
Complete hosting-kosten zou kunnen.

Als daar in Canada de energie rekening vergelijkbaar is opgebouwd als hier dan is de stroom maar de helft van het verhaal. Wij betalen meer dan de helft aan energie belasting, vastrecht, netwerk kosten, meter kosten, CO2 opslag kosten en welke verzinsels al niet meer.

Opmerkelijk genoeg om te vermelden: Ars Technica meldt dat één van de donaties $20k aan bitcoins is.

Volgens mij ging het om een oprichter van een Bitcoin exchange (ergens in oostblok) die "gewoon" $ 20k gedoneerd had, verkregen uit handel in Bitcoin.

Mircea Popescu, Romanian creator of the MPEx Bitcoin stock exchange, made a $20,000 donation to the project, enabling the 2013 electricity bill to be paid.

[Reactie gewijzigd door afraca op 21 januari 2014 17:03]

Wat veel mensen waarschijnlijk over zien is dat OpenBSD ook projecten als OpenSSH heeft die quasi-overal gebruikt worden. Dat ze kunnen voortwerken is dus zeker goed nieuws.

Anderzijds is dat wel een hoge elektriciteitsrekening, misschien moeten ze eens werk maken om OpenBSD energiezuiniger te maken of draaien die machines altijd op volle toeren (compileren, ...)?

Anderzijds is dat wel een hoge elektriciteitsrekening

Uit hun verhaal krijg ik het idee dat ze misschien al wat langer de rekening niet betaald hadden. Dus dan is het de rekening voor een paar maanden. Maar dat is speculatie.

[Reactie gewijzigd door Keypunchie op 21 januari 2014 08:58]

Anderzijds is dat wel een hoge elektriciteitsrekening, misschien moeten ze eens werk maken om OpenBSD energiezuiniger te maken of draaien die machines altijd op volle toeren (compileren, ...)?

Ja, Theo De Raadt heeft een hele hoop oude (en dus energieverslindende) hardware in zijn kelder staan die de hele tijd staan te compileren. Dit omdat andere hardware subtiele bugs kan ontdekken die misschien niet opgemerkt zouden worden op veelgebruikte hardware. Ook meteen de rede waarom ze niet willen snijden in hun kosten, minder hardware betekent meer kans op bugs, en dus ook meer kans op security bugs.
Leuk filmpje van Theo zijn kelder in 2006, toen had hij nog een rekening van $600 per maand: https://www.youtube.com/watch?v=BlgdvSNpi60

Het voordeel van Opensource is dan weer wel dat een belangrijk project als OpenSSH waarschijnlijk doorontwikkeld gaat worden door anderen als de oorspronkelijke maintainers er mee kappen.

Als je dik 150K in een jaar nodig hebt om rekeningen te betalen en hiervan volledig afhankelijk bent van donaties, kan het dan zijn dat een stukje bedrijfsvoering maar ook logistieke inrichting anders zou moeten?

De rekeningen komen niet van gister op vandaag en zijn waarschijnlijk het jaar ervoor en het jaar daarvoor ook relatief hoog geweest. Je zou dus kunnen bedenken dat het verplaatsen van infra of het beperken van kosten een redelijke prioriteit zou kunnen hebben ten opzichte van de lopende processen.

Ook het aantal donaties, niet alleen aan OpenBSD, maar ook aan andere doelen, loopt al enige tijd terug onder andere ingegeven door particulieren en bedrijven die zelf ook minder te besteden hebben. Zo weet ik enkele andere developers (personen) die het aantal downloads van hun apps hebben zien toenemen maar de donaties al 3 jaar op rij hebben zien teruglopen met meer dan 20% per jaar.

Dit komt omdat de devs van OpenBSD geen crosscompilers willen gebruiken, en geen gebruik willen maken van virtualizatie. Hou er dan nog eens rekening mee dat OpenBSD heel veel verschillende hardware architecturen ondersteunt (waarin ze ook niet willen snoeien), en dan kan het niet anders dan dat je op een enorm serverpark uitkomt + bijhorende rekeningen zoals electriciteit.

Moesten ze sommige oude architecturen afschaffen en voor de andere platformen gebruik maken van een emulator zoals QEmu, zou er al heel wat bespaard kunnen worden. Maar Theo de Raadt is nu éénmaal iemand die geen toegevingen doet, ook al zou dit het einde van OpenBSD betekenen.

Dat ze geen crosscompilers willen gebruiken snap ik wel, maar geen virtualisatie?
Wat willen ze dan doen als die oude servers het op geven?

Ze willen op oude hardware bugs testen, als je dat met virtualisatie doet ga je al een emulator nodig hebben om je software te kunnen draaien en ben je waarschijnlijk de helft van de tijd je emulator aan debuggen ipv je eigen code.

Er zal inderdaad 1 emulator nodig zijn : de VM zelf (deze zal full virtualisatie doen).
Het heeft inderdaad nadelen tegenover bare metal, maar wat ik al zei : wat gaan ze doen als die oude servers de geest geven?

Een emulator gebruiken om bijvorobeeld alignment bugs te vinden in je code lukkt alleen als de emulator 100% correct emuleert. De emulator blijft natuurlijk software, dus kans op bugs...

Ze geven zelf aan dat het om ze om logistieke redenen niet kunnen uitwijken naar een groter en GRATIS serverpark. Klinkt vreemd!

Dus hebben ze geld nodig om de dev/build machines te kunnen blijven betalen...
Gezien de benodigde fondsen gaat dit toch wel om een KW vretend serverpark!

Ze geven zelf aan dat het om ze om logistieke redenen niet kunnen uitwijken naar een groter en GRATIS serverpark. Klinkt vreemd!

Dat klinkt zeker vreemd; in de recente oproep geven ze inderdaad aan niet te kunnen uitwijken. Dat snap ik; als je over een week geld moet hebben, heb je niet in een week alles verhuisd en alle rekeningen voldaan. Maar dit is niet nieuw; de servers staan er niet net een maand en de rekening van de afgelopen maanden/jaren is toch ook bekend?

En je hebt zeker gelijk dat het relatief duur is; als alleen de energierekening al tegen de 20K loopt, vraag ik me ten zeerste af of de overige kosten (zoals de hardware zelf) eenvoudigweg niet ondertussen dusdanig antiek zijn dat ze beter op korte termijn een oplossing kunnen gaan zoeken in de vorm van een sponsored partnership met een groot datacenter en/of een grote cloudprovider.

Als u bekend bent met OpenBSD, weet u dat "een grote cloudprovider" doorgaans geen optie is, omdat (delen van) OpenBSD niet kunnen worden gedistribueerd vanuit servers in de VS of de EU.

De VS / EU hebben namelijk export-restricties op bepaalde cryptografie-elementen die in OpenBSD zitten, daarom staat OpenBSD op sThe OpenBSD kernel uses the mouse interrupt timing, network data interrupt latency, inter-keypress timing and disk IO information to fill an entropy pool. ervers in Canada.

U zoekt een sponsored partnership / datacenter buiten de VS / EU, met goedkope stroom, goede infrastructuur / verbindingen waar data betrouwbaar naar toe ge-upload kan worden? Succes!!!

ed: Kent u nog het grapje waarbij de NSA probeert de Random Number Generaror voorspelbare waarden te laten geven? Oa door beinvloeden van hardware / onveilige algorithmen hiervoor verspreiden en laten standaardiseren en RSA omkopen?

Kijken we hoe OpenBSD dit doet:

The OpenBSD kernel uses the mouse interrupt timing, network data interrupt latency, inter-keypress timing and disk IO information to fill an entropy pool.

Maw: De Pseudo-Random Number Generator van OpenBSD gaat er al bij voorbaat vanuit dat "hardwarematige random" alleen niet veilig genoeg is, en gebruikt dus extra bronnen voor het vergroten van de entropie. Reken maar dat dit voor de NSA, GCHQ & vriendjes zeer veel geld kost (als het al mogelijk is) om deze PRNG te beinvloeden! Met verspreiding van dit soort technologie zullen ze zeker niet blij zijn.

[Reactie gewijzigd door kidde op 21 januari 2014 11:05]

ed: Kent u nog het grapje waarbij de NSA probeert de Random Number Generaror voorspelbare waarden te laten geven? Oa door beinvloeden van hardware / onveilige algorithmen hiervoor verspreiden en laten standaardiseren en RSA omkopen?

Kijken we hoe OpenBSD dit doet:
The OpenBSD kernel uses the mouse interrupt timing, network data interrupt latency, inter-keypress timing and disk IO information to fill an entropy pool.
Maw: De Pseudo-Random Number Generator van OpenBSD gaat er al bij voorbaat vanuit dat "hardwarematige random" alleen niet veilig genoeg is, en gebruikt dus extra bronnen voor het vergroten van de entropie. Reken maar dat dit voor de NSA, GCHQ & vriendjes zeer veel geld kost (als het al mogelijk is) om deze PRNG te beinvloeden! Met verspreiding van dit soort technologie zullen ze zeker niet blij zijn.

Je bent appels met peren aan het vergelijken.
De 'entropy pool' waar je het over hebt is hoort echt willekeurig te zijn, uit deze pool worden oa sleutels voor encryptie gehaald. Dit is iets wat elk ander OS ook heeft.

Een pseudo-random generator hoort echt willekeurig te lijken, maar mag het echt niet zijn. Deze generator wordt gebruikt tijdens de encryptie om bijvoorbeeld uit de sleutel een stroom aan pseudowillekeurige data te genereren om te xor'en met het bericht om de cijfertekst te bekomen. Bij decryptie wordt dezelfde sleutel in dezelfde pseudowillekeurige functie gestoken waardoor dezelfde stroom pseudowillekeurige data gegenereerd wordt, dit xor'en met de cijfertekst geeft weer het origineel bericht. Als deze functie nu wel écht willekeurige data genereerde zou dit niet werken.
Als je het algoritme met de backdoor van de NSA op OpenBSD gebruikt ben je dus net even kwetsbaar.

[...]
Een pseudo-random generator hoort echt willekeurig te lijken, maar mag het echt niet zijn. Deze generator wordt gebruikt tijdens de encryptie om bijvoorbeeld uit de sleutel een stroom aan pseudowillekeurige data te genereren om te xor'en met het bericht om de cijfertekst te bekomen.

Nice try maar dat is niet waar 't hier om gaat. Bedoeld wordt de /dev/random vs /dev/urandom RNG's. De eerste is typisch gezien echt random, en als er geen entropy beschikbaar is dan blockt 't totdat dat er wel is. De tweede is zo random als mogelijk is zonder te blocken, maar dat houdt wel in dat de entropy soms niet al te hoog is. Dat geldt voor Linux zo, OpenBSD doet dat anders.

Lees dan even waar ik op reageer, kidde had het over de pseudorandom generator waar de NSA aan had gezeten, die heeft niets te maken met /dev/random of /dev/urandom.

En wat doet OpenBSD hier dan anders? Buiten dan dat /dev/random /dev/srandom heet?

Veel van de hardware die ze gebruiken (zie post hieronder) wordt niet meer gemaakt. Dit lijkt misschien raar dat het toch nog gebruikt wordt, maar op deze manier kunnen ze veel bugs uit de code halen die, wanneer je je maar op 1 platform richt, nooit waren gevonden.

Dat is niet vreemd. Ze werken met vrij veel oude servers (andere platforms zoals vax, sparc, alpha, sgi, etc.). Nu kunnen ze er makkelijk bij. Bovendien heeft verplaatsing mogelijk tot gevolg dat die oude servers niet meer opstarten. Dat is een van de redenen dat ze niet willen verplaatsen (er werd hun elders gratis stroom aangeboden, maar dan moesten ze verhuizen).

misschen dat ze nu dan eens willen beginnen met het vervangen van hun hardware (met een deel van de giften die ze nu gekregen hebben) zodat ze nieuwere hardware hebben in een serverpark waar de stroom gratis is

Het vervangen hardware die al een decennia niet meer verkocht worden is niet eenvoudig.

Tja, maar dan kan je je ook afvragen of je de support voor die hardware niet of moet stoppen, of commercieel moet gaan verkopen.

Voor een groot gedeelte van die hardware geldt waarschijnlijk : Alle kleinere bedrijfjes hebben ze verkocht en vervangen door goedkopere / snellere machines en de grotere partijen (bijv een IBM) die hebben ook het geld om te betalen.

Het gaat natuurlijk een beetje apart worden als 80% van je kosten gaat zitten in 20% van je hardware die <0,00001% van de mensen nog gebruikt.

Nu heb ik me niet volledig ingelezen, maar ik kan me voorstellen dat er het niet zo vreemd is. Als ze mij voorstellen om de hardware 400 kilometer verderop gratis onder te brengen zal ik er ook niet op staan springen om hiermee akkoord te gaan. Oke, we kunnen 95% remote, maar voor ieder bezoekje een dag in de auto?

Nu heb ik me niet volledig ingelezen, maar ik kan me voorstellen dat er het niet zo vreemd is. Als ze mij voorstellen om de hardware 400 kilometer verderop gratis onder te brengen zal ik er ook niet op staan springen om hiermee akkoord te gaan. Oke, we kunnen 95% remote, maar voor ieder bezoekje een dag in de auto?

Minimaal 150k besparing op jaarbasis vs een probleem wat nu ook al 99,9999% van de Openbsd developers heeft?

Het is 1 developer die OpenBSD doet, dat is al een wereldwijde verspreiding van developers...

Als je alleen met vrijwilligers werkt, dan kan ik me voorstellen dat het lastig is om adequaat te reageren op dalende inkomsten. En waar ga je dan in snijden? In het serverpark of in de Hackathons? Lastige keuze als je uit overtuiging aan iets als OpenBSD werkt.

Andere grote opensource projecten slagen er wel in om te overleven ondanks dat zij ook puur op vrijwilligers draaien. Er zijn dus mogelijkheden. Als je niet uit de kosten geraakt moet je eens naar je kosten gaan kijken en eventueel gaan herstructureren. Je kan op zoek naar sponsors of je moet extras zoals de hackathons schrappen.

Andere grote opensource projecten slagen er wel in om te overleven ondanks dat zij ook puur op vrijwilligers draaien.

Er zijn maar weinig *grote* opensource projecten die puur op vrijwilligers draaien. Linux, Firefox, Apache, Ubuntu, Darwin, Webkit, Chrome, MySQL, RedHat, OpenOffice, Android, allemaal software die voornamelijk door betaalde developers is ontwikkeld. Natuurlijk zijn er ook applicaties die wel op vrijwilligers draaien (Wordpress, XBMC, etc) maar die zijn toch wel een slagje minder complex dan een compleet low-level OS.

Ter aanvulling van de reactie van @rob12424, ook Apache is een stichting. Apache leeft al lang van donaties. Er wordt geen enkele ontwikkelaar door Apache betaald om iets te doen. Donaties kunnen ook alleen gedaan worden aan Apache als geheel, nooit aan individuele projecten. Alleen aan systeembeheer en infrastructuur wordt wat geld uitgegeven. Alle financiële informatie is openbaar: http://www.apache.org/foundation/records/

firefox is van Mozilla. En dat is ook een stichting. (een stichting kan ook betaalde mensen in dienast hebben) Linux draait ook op vrijwilligers maar wordt wel bijgestaan door bedrijven.

Ik heb wel eens gehoord dat er nog al wat conservatieve hackers bij OpenBSD zitten. (hoeft niet slecht te zijn overigens)

Als je het echt wilt weten, het zit ingewikkelder in elkaar:
De Mozilla Foundation is volledig eigenaar is van een bedrijf dat Mozilla Corporation heet.

Dat is voornamelijk om belastingtechnische redenen. Via de foundation kunnen bedrijven zonder belasting daarover te betalen een schenking doen. Het bedrijf is nodig zodat ze geld kunnen oppotten, want de foundation is een non-profit. Ze moeten geld oppotten zodat als de zoekmachine bedrijven zoals Google en Microsoft ophouden Mozilla te betalen voor het toevoegen van hun zoekmachines in Firefox zoekveld.

Dat vraagt om een boel extra administratie, maar levert dus ook geld op.

Alle trademarks, rechten, etc. zijn in handen van de foundation. De ontwikkelaars zijn onder gebracht bij het bedrijf.

Andere grote opensource projecten slagen er wel in om te overleven ondanks dat zij ook puur op vrijwilligers draaien.

het lukt hier toch ook? ze hebben een ton binnen gehaald waar slechts een vijfde daarvan vroegen.

Die 20 000 dollar was enkel die rekening.
Eigenlijk willen ze 150 000 dollar opbrengen.
Er zijn tal van andere dingen waar ze ook geld aan uitgeven natuurlijk.

Bron: http://www.openbsdfoundation.org/campaign2104.html

Andere projecten zijn niet OpenBSD... het is niet zomaar 'weer een open source project', maar een speciaal project dat op stabiliteit en veiligheid gericht is. Als je dan dus een 'bedrijf' wordt of je ergens aan verbindt, zou je zomaar eens dingen kunnen gaan doen om je positie te behouden.

Daarnaast is het in Amerikaanse stijl bij ondernemingen heel normaal om op donaties te draaien, ook in andere landen dan de USA.

[Reactie gewijzigd door johnkeates op 21 januari 2014 09:21]

Ook het aantal donaties, niet alleen aan OpenBSD, maar ook aan andere doelen, loopt al enige tijd terug onder andere ingegeven door particulieren en bedrijven die zelf ook minder te besteden hebben.

Volgens mij heeft deze opmerking vooral betrekking op Nederland. In de meeste andere landen gaat het namelijk steeds beter.

Zo weet ik enkele andere developers (personen) die het aantal downloads van hun apps hebben zien toenemen maar de donaties al 3 jaar op rij hebben zien teruglopen met meer dan 20% per jaar.

Volgens mij kun je apps echt niet vergelijken met een Opensource OS. Apps hebben sowieso het nadeel dat je door de bomen het bos niet meer zien kan, er zijn tientallen en soms wel honderden apps met de zelfde functionaliteit. IMO was het hele apps verhaal ook een grote bubbel die moest knappen.

BSD heeft de laatste jaren ook een beetje zijn glans verloren nu Linux volwassener geworden is, en veruit de meeste development aandacht krijgt door grote bedrijven. De comeback van Solaris is (zijdelings) ook slecht nieuws voor (Open)BSD. De enige grote software vendor die een BSD-afgeleid OS gebruikt is Apple, en die hebben de boel geforked en hebben niets met het OpenBSD project van doen. Zonder een stabiele lange-termijn sponsor zullen ze toch van donatie ronde naar donatie ronde blijven springen.

[Reactie gewijzigd door Dreamvoid op 21 januari 2014 11:32]

Vind het eerlijk gezegd ook vreemd dat ze hier zo laat mee komen. En vanwege logistieke redenen niet kunnen verhuizen naar een gratis serverpark? Lijkt mij voor zo'n project juist de redenen om een verhuizing (zover dat nodig is) te overwegen. Volgens mij is het gewoon veroorzaakt door Theo de Raadt, die er wat vreemde regels op na houdt.

Ik denk ook dat de BSD licentie ook soms een beetje in hun nadeel werkt; men hoeft geen auteurs te vermelden of broncode mee te leveren zoals bij GPL. Het doet mensen makkelijker vergeten wat de bijdrage is van BSD, en dat is toch behoorlijk wat.

Je moet wel degelijk de BSD header meenemen. Het is niet vrij copypasta hoor..

De BSD-licenties zijn vrij eenvoudig en kort. De enige eisen die aan gebruikers wordt opgelegd, zijn dat ze de naam van de auteur en de licentie moeten vermelden als ze de software in hun eigen producten verwerken, en (bij de oorspronkelijke BSD-licentie) niet zonder toestemming de naam van de rechthebbenden/auteurs in advertentiemateriaal mogen gebruiken.

Ah ok, dat had ik niet goed begrepen. Het staat inderdaad op de wiki van de BSD licentie. Nu snap ik die ophef over het gebruik van BSD code door Microsoft zonder dat ze het hebben vermeldt.

Dat was de issue niet - Microsoft heeft de BSD license wel degelijk vermeld: in hun source code. Maar hun source is closed, dus niemand buiten MS wist het:

1. Redistributions of source code must retain the above copyright
* notice, this list of conditions and the following disclaimer.

Op deze manier kan elke closed-source applicatie BSD code gebruiken, zonder dat gebruikers dit ooit hoeven te weten. Dat is 1 van de vrijheden die de BSD licensie toelaat, en dus ook de reden waarom alle ophef was dat Microsoft "in het geheim" BSD code gebruikt.

[Reactie gewijzigd door Dreamvoid op 21 januari 2014 11:40]

Als je de hele licentie had gelezen had je gezien dat je nog een deel mist::

Copyright (c) <YEAR>, <OWNER>
All rights reserved.

Redistribution and use in source and binary forms, with or without
modification, are permitted provided that the following conditions are met:

1. Redistributions of source code must retain the above copyright notice, this
list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright notice,
this list of conditions and the following disclaimer in the documentation
and/or other materials provided with the distribution.

THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT ... enz

Jullie zitten helaas allebei niet helemaal op de juiste licentie. Ten tijde van Windows 95 was het overgrote gedeelte van een willekeurige BSD distributie zelfs nog onder de 4-clause BSD licentie.

Tevens was het probleem dat een simpel "strings" commando de RCS ids nog in de executable hadden zitten, bijvoorbeeld ftp.exe:

@(#) Copyright (c) 1983 The Regents of the University of California.

Maar dat dit niet in documentatie e.d. vermeld werd, wat dus wel vereist is door clause 3. Wat dus tegen de licentie is.

De advertentie clause werden pas veel later opgeheven (22 juli 1999) en FreeBSD ging toen nog stapje verder door nog een clause weg te laten zodat het de, nu bekende, 2-clause BSD licentie werd.

Zoals Sony het doet met hun PlayStation 4 licentieoverzicht is wel een goede manier.

Edit: kleine toevoeging over clause 3

[Reactie gewijzigd door ashemedai op 21 januari 2014 14:17]

Logistieke redenen als in: export van cryptografische software mag niet vanuit de VS...

Het project levert nooit de meest recente versies van softwarepakketten mee, om beveiligingsproblemen te voorkomen.

Kijk, dat snap ik niet. Oude versies zijn juist onveilig, zeker als het met een uitgebreide changelog etc. geleverd wordt (v2.00.01 - fixed buffer overflow in translation module which could be used to execute arbitrary code) -- in dat geval wil je toch liever niet v2.00.00 hebben, hackertje kijkt in de source wat 2.00.01 fixed en gebruikt dat om 2.00.00 te exploiten.

Je moet het anders lezen : OpenBSD en de Linux distro's gericht op stabiliteit leveren nooit de laatste major versie mee. Veiligheids-fixes worden natuurlijk wel gebackport.

Dit is puur vanwege de stabiliteit.

Met oude versies wordt bedoeld dat ze niet de ovenverse 3.0 gebruiken maar 2.3-branch met alle security patches. Dat is meestal veiliger omdat nieuwe features nog wel eens nieuwe veiligheidslekken opleveren terwijl er voor de 2.3-branch alleen nog maar veiligheidsgerelateerde patches uitkomen.

Wanneer, na een tijdje, de nieuwe versie zich op veiligheidsgebied heeft bewezen gaat OpenBSD pas over naar de 3.0-branch.