ตัวเลือกโอเพ่นซอร์สระหว่างความขัดแย้งใบอนุญาต Semgrep

ชุมชนความปลอดภัยได้เห็นการเปลี่ยนแปลงครั้งใหญ่ในเดือนมกราคม 2025 เมื่อบริษัทคู่แข่งร่วมกันเพื่อเปิดตัว Opengrep ซึ่งเป็นฟอร์กของเครื่องมือทดสอบความปลอดภัยของแอปพลิเคชันแบบคงที่ Semgrep ในช่วงเวลาที่ Semgrep มีชื่อเสียงในเรื่องของโอเพ่นซอร์สที่ขับเคลื่อนด้วยชุมชน แต่เมื่อเดือนธันวาคม 2024 Semgrep ได้เปลี่ยนแปลงรูปแบบใบอนุญาต ซึ่งทำให้เกิดความขัดแย้งขึ้น โดยการเปลี่ยนแปลงใบอนุญาตนี้จำกัดการใช้กฎที่มีส่วนร่วมในผลิตภัณฑ์เชิงพาณิชย์ของบุคคลที่สาม และย้ายคุณสมบัติหลักไปอยู่เบื้องหลัง paywall

Semgrep ได้กลายเป็นเครื่องมือที่จำเป็นสำหรับนักพัฒนาทั่วโลก เนื่องจากความสามารถในการตรวจจับช่องโหว่ในหลายภาษาโปรแกรมมิ่ง แต่การตัดสินใจของบริษัทนี้อาจทำให้การนวัตกรรมในด้านที่สำคัญต่อความปลอดภัยของไซเบอร์ในปัจจุบันถูกขัดขวาง

ในระหว่างความขัดแย้งนี้ บริษัทสตาร์ทอัพ DevSecOps DeepSource ได้เปิดตัว Globstar ซึ่งเป็นชุดเครื่องมือโอเพ่นซอร์สใหม่สำหรับความปลอดภัยของโค้ด Globstar ซึ่งสร้างขึ้นจากศูนย์และเผยแพร่ภายใต้ใบอนุญาต MIT ระบุว่าตนเองมีจุดมุ่งหมายเพื่อให้การเข้าถึงโค้ดที่ไม่จำกัดสำหรับการใช้งานเชิงพาณิชย์และสาธารณะ

“ด้วย Globstar เราเสนอวิธีการใหม่สำหรับการวิเคราะห์แบบคงที่แบบกำหนดเอง ซึ่งออกแบบมาเพื่อตอบสนองความต้องการของทีมความปลอดภัย” Sanket Saurav ซึ่งเป็นผู้ร่วมก่อตั้งและ CEO ของ DeepSource กล่าว “Semgrep อยู่ในมือที่ดี และเป้าหมายของเราคือการเดินไปในเส้นทางที่แตกต่าง เราไม่เห็นตัวเองเป็นตัวแทน แต่เป็นตัวเลือกที่นำมุมมองใหม่เข้าสู่พื้นที่นี้”

บริษัทได้รับเงินทุนรวมทั้งสิ้น 7.7 ล้านดอลลาร์และปัจจุบันถูกสนับสนุนโดยนักลงทุน Y-Combinator

Globstar ถูกพัฒนาด้วยภาษา Go และรวมกับ Tree-sitter โดยรองรับมากกว่า 20 ภาษาโปรแกรมมิ่ง ชุดเครื่องมือนี้มีインタ์เฟซ YAML ที่直观สำหรับการสร้างเครื่องตรวจสอบความปลอดภัยแบบกำหนดเอง และインタ์เฟซ Go ที่ซับซ้อนสำหรับการวิเคราะห์ข้ามไฟล์

“เมื่อโครงการถูกฟอร์ก มันจะเดินทางไปในเส้นทางที่แตกต่าง แต่เมื่อถูกจำกัดให้สร้างบนผลิตภัณฑ์ที่มีอยู่แล้ว การนวัตกรรมอาจถูกจำกัด” Sanket กล่าว “เราสร้างระบบที่ทำให้กระบวนการเขียนเครื่องตรวจสอบโค้ดแบบกำหนดเองง่ายขึ้น”

ความจำเป็นทางธุรกิจเทียบกับการอนุรักษ์โอเพ่นซอร์ส

เมื่อวันที่ 13 ธันวาคม 2024 Semgrep ได้เปลี่ยนแปลงรูปแบบใบอนุญาตเพื่อจำกัดการใช้กฎที่มีส่วนร่วมในผลิตภัณฑ์เชิงพาณิชย์ของบุคคลที่สามโดยไม่ได้รับอนุญาต นอกจากนี้ บริษัทยังเปลี่ยนชื่อเวอร์ชันโอเพ่นซอร์สเป็น “Semgrep CE” (Community Edition) Semgrep อ้างว่าการเปลี่ยนแปลงใบอนุญาตนี้เป็นสิ่งจำเป็นเพื่อปกป้องทรัพย์สินทางปัญญาและรับประกันรายได้ที่ยั่งยืน บริษัทอ้างว่าการจำกัดการใช้เชิงพาณิชย์ช่วยป้องกันการนำไปใช้ใหม่โดยไม่ได้รับอนุญาตและสนับสนุนการนวัตกรรมในระยะยาว

“เมื่อนักวิศวกรเขียนโค้ดเพื่อแก้ปัญหา การวิเคราะห์แบบคงที่จะตรวจสอบโค้ดโดยไม่ต้องดำเนินการ โดยระบุรูปแบบและปัญหาที่อาจเกิดขึ้นในขั้นตอนแรกของกระบวนการพัฒนา Semgrep เป็นผู้เล่นที่มีความเคารพในพื้นที่นี้ และฉันให้ความเคารพพวกเขา” Sanket กล่าว “อย่างไรก็ตาม การเปลี่ยนแปลงใบอนุญาตของพวกเขาเพื่อผู้ใช้เชิงพาณิชย์反映ความเป็นจริงที่กว้างขึ้น: บริษัทที่ได้รับการสนับสนุนจาก VC ต้องสร้างสมดุลระหว่างหลักการโอเพ่นซอร์สและโมเดลธุรกิจที่ยั่งยืน”

เขากล่าวว่าแม้ว่าการเปลี่ยนแปลงนี้จะไม่ส่งผลกระทบโดยตรงต่อผู้ใช้สิ้นปลาย แต่ก็ทำให้เกิดการถกเถียงเกี่ยวกับว่าโอเพ่นซอร์สควรจะไม่จำกัดหรือพัฒนาเพื่อให้แน่ใจถึงความยั่งยืนในระยะยาว

ในเดือนมกราคม 2025 บริษัท DevSec 10 แห่ง รวมถึง Aikido Security, Arnica, Amplify Security, Endor Labs, Jit, Kodem, Legit Security, Mobb และ Orca Security ได้ร่วมกันเพื่อเปิดตัว Opengrep ซึ่งเป็นคอนซอร์เทียมใหม่ที่จะท้าทายการตัดสินใจของ Semgrep ในการจำกัดฟังก์ชันเพื่อผลประโยชน์เชิงพาณิชย์

อย่างไรก็ตาม ยังไม่ชัดเจนว่า Opengrep เป็นเพียงการนำโค้ดเก่ามาใช้ใหม่หรือเสนอทางออกใหม่ที่สมบูรณ์

การเพิ่มขึ้นของตัวเลือกโอเพ่นซอร์ส

DeepSource ตระหนักถึงความต้องการที่เพิ่มขึ้นในหมู่นักพัฒนาสำหรับเครื่องมือที่ไม่มีข้อจำกัดจากสิ่งพันธุ์เก่า “ลูกค้าองค์กรไม่ต้องการต้องจัดการเครื่องมือหลายชิ้น ซึ่งสร้างความท้าทายในการรวมระบบและผลักดันความต้องการสำหรับโซลูชันที่ครอบคลุม” Sanket อธิบาย “การวิเคราะห์แบบคงที่มีบทบาทสำคัญในการทำความเข้าใจโครงสร้างโค้ด ซึ่งเป็นเหตุผลที่เรา позиションตัวเองเป็นแพลตฟอร์มที่รวมเป็นหนึ่งเดียว”

อย่างไรก็ตาม Globstar ของ DeepSource ไม่ใช่ตัวเลือกเดียวที่ได้รับความนิยมหลังจากความขัดแย้งใบอนุญาต Semgrep ตัวอย่างเช่น SonarQube เป็นแพลตฟอร์มการวิเคราะห์โค้ดที่มีเวอร์ชัน Community Edition ฟรีและเวอร์ชันเสียเงินสำหรับการวิเคราะห์โค้ดแบบคงที่ การสนับสนุนการรวมระบบ และการติดตามเมตริก ในทำนองเดียวกัน ShellCheck เป็นตัวเลือกอื่นที่ใช้สำหรับการวิเคราะห์สคริปต์เชลล์ และช่วยให้นักพัฒนาจับข้อผิดพลาดในการเขียนสคริปต์ที่อาจนำไปสู่บั๊กหรือความไม่มีประสิทธิภาพในอนาคต

เนื่องจากความง่ายในการใช้งาน ซึ่งสามารถรันจากบรรทัดคำสั่งและรวมเข้ากับ CI/CD pipelines ได้อย่างง่ายดาย ShellCheck จึงกลายเป็นตัวเลือกที่นิยมมากขึ้น

ในขณะที่ Opengrep พยายามที่จะอนุรักษ์รากโอเพ่นซอร์สของเครื่องมือที่มีอยู่แล้ว ตัวเลือกอื่นๆ เช่น SonarQube, Globstar และ ShellCheck ก็เสนอวิธีแก้ปัญหาที่สดใหม่และคิดไปข้างหน้า เมื่อการถกเถียงเกี่ยวกับโอเพ่นซอร์สดำเนินต่อไป นักพัฒนาและองค์กรต้องเผชิญกับการตัดสินใจที่สำคัญซึ่งอาจเปลี่ยนแปลงภูมิทัศน์ของการวิเคราะห์โค้ด