개정일 : 2015 년 12 월 16 일 공개소프트웨어 정보교환명세 Open Source Software Package Data Exchange Specification 본문서에대한저작권은 TTA 에있으며, TTA 와사전협의없이이문서의전체또는일부를 상업적목적으로복제또는

Transcription

1 개정일 : 2015 년 12 월 16 일 T T A S t a n d a r d 공개소프트웨어정보교환명세 Open Source Software Package Data Exchange Specification

2 개정일 : 2015 년 12 월 16 일 공개소프트웨어 정보교환명세 Open Source Software Package Data Exchange Specification 본문서에대한저작권은 TTA 에있으며, TTA 와사전협의없이이문서의전체또는일부를 상업적목적으로복제또는배포해서는안됩니다. Copyrightc Telecommunications Technology Association All Rights Reserved.

3 서문 1. 표준의목적 본표준의목적은소프트웨어내에포함된다양한패키지데이터에대한정보를전달하기위한표준서식을정의하는것이며, 소프트웨어공급망전반에걸쳐공유되고있는라이선스정보를표준화하여공개소프트웨어라이선스준수에도움을주는것이다. 본표준은기업과커뮤니티들이소프트웨어라이선스와저작권에대한중요한데이터를공유하기위한공통서식을제공함으로서반복적인작업을경감시키고궁극적으로공개소프트웨어라이선스준법성을개선하고간소화하는데도움이될것이다. 2. 주요내용요약 기업과조직들은공개소프트웨어와기타소프트웨어패키지들을광범위하게사용하고있고재사용하고있다. 라이선스와관련된준법성은각각의조직들이독자적으로수동혹은자동분석방법에의해해당되는라이선스를확인하고의무사항을수행하는일련의활동을필요로한다. 소프트웨어개발팀들은전세계에걸쳐동일한공개소프트웨어패키지를사용하더라도분석활동의결과를공유하거나분석에있어서협업하기위한인프라가부족하다. 그결과많은기업들이중복정보와이중노력을초래하는동일작업을수행하고있다. 이에리눅스파운데이선에속해있는 SPDX 워킹그룹은소프트웨어패키지의정보전달방식을개선하고시간절약을목적으로소프트웨어패키지에대한정보와관련내용들이수집되고공통의서식으로공유되도록정보교환서식을만들게되었다. SPDX 문서는사용을위한라이선스와 SPDX파일의특정버전을가진분석결과에관련된 SPDX 문서의생성정보, 패키지정보, 파일정보, 라이선스정보, 관계 (Relati ons) 정보, 주석 (Annotations) 정보등으로구성된메타데이터이다. 본표준안은최신의 SPDX 사양을반영하고있을뿐만아니라국내실정에맞게적용할수있도록개선사항과수정사항을포함하고있다. 3. 표준적용산업분야및산업에미치는영향 본표준은전 ICT 산업의소프트웨어공급망에있어서공급자와소비자모두의준법성위험을감소시킬수있도록기업간라이선스정보의교환을용이하게하고서로다른고객에의해동일한소스코드패키지가여러차례분석되는중복실사를방지하고라이선스정보교환을위한통일된방법을제공함으로써공개소프트웨어라이선스준법성을개선하고간소화한다. i

4 4. 참조표준 ( 권고 ) 4.1. 국외표준 ( 권고 ) - 리눅스파운데이션 (Linux foundation) 의 Software package data exchange specification(spdx) Ver. 2.0 SPDX(Software Freedom Data Exchange) 는 Linux Foundation이주도하는세계적인사실표준으로써, 소프트웨어공급망사이에서일관된방식의라이선스정보를공유함으로써공개소프트웨어라이선스의준수를용이하게함. 현재전세계적으로 20 여개의소프트웨어, 시스템, 툴공급업체, 재단, 시스템통합자들을포함하는기관들이활동중에있음 국내표준 - 해당사항없음. 5. 참조표준 ( 권고 ) 과의비교 5.1. 참조표준 ( 권고 ) 과의관련성 Linux foundation 에서제공한 Software package data exchange specification(spdx) version 1.2 와 2.0 에서제공하는 SPDX 파일포맷과그의세부내용을기반으로작성했 다. 그리고국내현황과적용성을고려하여 SPDX 내용을보완및수정하였다 참조한표준 ( 권고 ) 과본표준의비교표 SPDX 2.0 비고 1. 개요 - 추가 2. 표준의구성및범위 - 추가 3. 참조표준 - 추가 4. 용어정의 - 추가 5. 공개소프트웨어정보교환명세 - 추가 6. 정보교환명세세부내용 정보교환명세세부내용 근거 1. 근거 동일 ( 번역 ) 및내용추가 6.2 생성정보 2. 생성정보 동일 ( 번역 ) 및내용추가 6.3 패키지정보 3. 패키지정보 동일 ( 번역 ) 및내용추가 6.4 파일정보 4. 파일정보 동일 ( 번역 ) 및내용추가 6.5 기타라이선스정보 5. 기타라이선스정보 동일 ( 번역 ) 및내용추가 6.6 항목간의관계 6 항목간의관계 동일 ( 번역 ) 및내용추가 ii

5 SPDX 2.0 비고 6.7 주석 7 주석동일 ( 번역 ) 및내용추가 6.8 검토자정보 8 검토자정보추가 (SPDX 1.2 내용 ) 6. 지식재산권관련사항 본표준의 지식재산권확약서 제출현황은 TTA 웹사이트에서확인할수있다. 본표준을이용하는자는이용함에있어지식재산권이포함되어있을수있으므로, 확인후이용한다. 본표준과관련하여접수된확약서이외에도지식재산권이존재할수있다. 7. 시험인증관련사항 7.1. 시험인증대상여부 - 해당사항없음 시험표준제정현황 - 해당사항없음. 8. 표준의이력정보 8.1. 표준의이력 판수제정 개정일제정 개정내역 제 1 판 제 2 판 제정 TTAK.KO 개정 iii

6 8.2. 주요개정사항 TTAK.KO 비고 1. 개요 1. 개요 수정 2. 표준의구성및범위 2. 표준의구성및범위 수정 3. 참조표준 3. 참조표준 수정 4. 용어정의 4. 용어정의 수정 5. 공개소프트웨어정보교환 5. 공개소프트웨어정보교환명세명세 수정 6. 정보교환명세세부내용 6. 정보교환명세세부내용 수정 6.1 근거 - 추가 6.2 생성정보 6.1 생성정보 수정 6.3 패키지정보 6.2 패키지정보 수정 6.4 파일정보 6.4 파일정보 수정 6.5 기타라이선스정보 6.3 기타라이선스정보 수정 6.6 항목간의관계 - 추가 6.7 주석 - 추가 6.8 검토자정보 6.5 검토자정보 동일 iv

7 Preface 1. Purpose of Standard The standard is to define standard format for communicating the information of components, licenses and copyrights associated with a software package and is to help facilitate OSS license compliance by standardizing license information is shared across the software supply chain. It reduces redundant work by providing a common format for companies and communities to share important data about software licenses and copyrights, thereby streamlining and improving OSS license compliance. 2. Summary of Contents Companies and organizations are widely using and reusing OSS and other software packages. Compliance with the associated licenses requires a set of analysis activities and due diligence that each Organization performs independently including identification of associated licenses followed by manual or automated verification. Software development teams across the globe use the same open source packages, but little infrastructure exists to facilitate collaboration on the analysis or share the results of these analysis activities. As a result, many groups are performing the same work leading to duplicated efforts and redundant information. The SPDX working group seeks to create a data exchange format so that information about software packages and related content may be collected and shared in a common format with the goal of saving time and improving data accuracy of software package. SPDX Document Information is meta data that consists of creation information, package information, license information, file information and reviewer information to associate analysis results with a specific version of the SPDX file and license for use. 3. Applicable Fields of Industry and its Effect The standard allows easy exchange of license information between companies reducing compliance risk on both suppliers and consumers in supply chain of all IT industry, avoids due diligence redundancy where the same source code package is analyzed multiple times by different receivers and provides a unified method for exchanging license information, thereby streamlining and improving OSS license compliance. v

8 4. Reference Standards(Recommendations) 4.1. International Standards(Recommendations) - Software package data exchange specification(spdx) version 2.0 by Linux foundation - SPDX(Software Freedom Data Exchange)is the world-wide de facto standard led by Linux Foundation. It makes FOSS license easy to follow by sharing consistent license information in the software supply chain. Currently there are more than twenty active organizations related to software, system, tools, foundations, manufacturers, system integrators in the SPDX standard Domestic Standards - None 5. Relationship to Reference Standards(Recommendations) 5.1. Relationship of Reference Standards(Recommendations) - This standard is based on Software package data exchange specification(spdx) version 2.0 especially in file format and details Differences between Reference Standard(Recommendation) and this Standard SPDX 2.0 Remarks 1. Introduction 1. Introduction Addition 2. Constitution and Scope 2. Constitution and Scope Addition 3. Reference Standards 3. Reference Standards Addition 4. Terms and Definitions 4. Terms and Definitions Addition 5. Open source software 5. Open source software package data exchange specification package data exchange specification Addition 6. Package data exchange 6. Package data exchange specification details specification details Rationale Equivalent Translation & Addition Creation Information 6.2 Document Creation Equivalent Translation & Information Addition Package Information 6.3 Package Information Equivalent Translation & Addition vi

9 SPDX 2.0 Remarks File Information 6.4 File Information Equivalent Translation & Addition Other license Information 6.5 Other license information Equivalent Translation & Addition Relationships between Equivalent Translation & SPDX Elements Addition Annotations Equivalent Translation & Addition 6.8 Reviewer Information 6.8 Reviewer Information Addition to SPDX Statement of Intellectual Property Rights IPRs related to the present document may have been declared to TTA. The information pertaining to these IPRs, if any, is available on the TTA Website. No guarantee can be given as to the existence of other IPRs not referenced on the TTA website. And, please make sure to check before applying the standard. 7. Statement of Testing and Certification 7.1. Object of Testing and Certification - None 7.2. Standards of Testing and Certification - None 8. History of Standard 8.1. Change History Edition Issued date Outline The 1st edition The 2st edition Established TTAK.KO Revised vii

10 8.2. Revisions TTAK.KO Remarks 1. Introduction 1. Introduction Amendment 2. Constitution and Scope 2. Constitution and Scope Amendment 3. Reference Standards 3. Reference Standards Amendment 4. Terms and Definitions 4. Terms and Definitions Amendment 5. Open source software 5. Open source software package data exchange specification package data exchange specification Amendment 6. Package data exchange 6. Package data exchange specification details specification details Amendment 6.1 Rationale - Addition 6.2 Document Creation Information 6.1 Creation Information Amendment 6.3 Package Information 6.2 Package Information Amendment 6.4 File Information 6.4 File Information Amendment 6.5 Other license information 6.3 Other license information Amendment 6.6 Relationships between SPDX Elements - Addition 6.7 Annotations - Addition 6.8 Reviewer Information 6.5 Reviewer Information Equivalent viii

11 목차 1. 개요 1 2. 표준의구성및범위 1 3. 참조표준 ( 권고 ) 1 4. 용어정의및약어 2 5. 공개소프트웨어정보교환명세 2 6. 정보교환명세세부내용 근거 문서생성정보 패키지정보 파일정보 기타라이선스정보 정보교환명세구성요소사이의관계성 주석정보 검토정보 13 부록 Ⅰ. 표준라이선스목록 14 ix

12 Contents 1. Introduction 1 2. Constitution and Scope 1 3. Reference Standards(Recommendations) 1 4. Terms Definitions and Abbreviations 2 5. Open Source Software Package Data Exchange Specification 2 6. Package Data Exchange Specification Details Rationale Document Creation Information Package Information File Information Other Licensing Information Relationships between SPDX Elements Annotation Information Review Information 13 Appendix Ⅰ. List of Standard Licenses 14 x

13 공개소프트웨어정보교환명세 (Open Source Software Package Data Exchange Specification) 1. 개요 본표준은공개소프트웨어를포함하고있는소프트웨어가전달또는배포되는시점에서반드시포함되어져야하는패키지데이터를기술하고있다. 이정보는크게문서생성정보, 패키지정보, 파일정보, 기타라이선스정보, 관계정보, 주석정보, 검토자정보등에관련된내용으로구성된다. 이는공개소프트웨어가전달되는경로에서발생할수있는라이선스위반에대한문제를사전에예방하기위함이다. 일반적으로공개소프트웨어라이선스위반은서로상충된조건을가지고있는소프트웨어에공개소프트웨어가포함되어있는상태로배포되는경우에발생한다. 그리고공개소프트웨어의라이선스위반에대한모든책임은최종적으로배포한자에게부여된다. 또한라이선스위반에따른손해를최소화시키려는과정에서위반에따른책임은공급사슬의역순으로전가되려는경향이있다. 따라서공개소프트웨어를공급하거나수급하는모든주체는라이선스위반에따른위험으로부터자유롭지못하기때문에누구나인정하고공통적으로사용할수있는정보교환명세의표준이필요하게되었다. 그러므로이러한표준의제시는곧공개소프트웨어의안전하고효과적인사용으로이어져공개소프트웨어활성화에크게이바지할것으로기대한다. 2. 표준의구성및범위 본표준은문서생성정보, 패키지정보, 파일정보, 기타라이선스정보, 관계정보, 주석정보, 검토자정보를중심으로구성되어있다. 전문용어에대한이해도를높이기위해서용어설명이포함되어있으며표준공개소프트웨어라이선스목록을부록으로첨부되었다. 3. 참조표준 ( 권고 ) 3.1. 국외표준 ( 권고 ) - 리눅스파운데이션의 Software package data exchange specification(spdx) version 2.0 SPDX(Software Freedom Data Exchange) 는 Linux Foundation이주도하는세계적인사실표준으로써, 소프트웨어공급망사이에서일관된방식의라이선스정보를공유함으로써공개소프트웨어라이선스의준수를용이하게함. 현재전세계적으로 20 여개의소프트웨어, 시스템, 툴공급업체, 재단, 시스템통합자들을포함하는기관들 1

14 이활동중에있음 국내표준 - 해당사항없음. 4. 용어정의및약어 4.1. 공개소프트웨어 (Open Source Software) 저작권이존재하지만저작권자가소스코드를공개하여누구나자유롭게설치, 복제, 수정, 재배포등을할수있는자유로운소프트웨어를의미하며, 프리소프트웨어 (Free Software) 와오픈소스소프트웨어 (Open Source Software) 모두를동시에지칭하고있다 공개소프트웨어커뮤니티 (Open Source Software Community) 공개소프트웨어의개발특성은소스코드가공개된상태에서불특정다수의개발자 가공개된프로젝트에참여하는특성을가지며, 커뮤니티는이러한프로젝트의추진 을지원하는구심체역할을수행 4.3. 소프트웨어패키지 이용도가높은프로그램이나업무에적합한프로그램들을묶어서상품으로제공하고 있는소프트웨어 DOAP DOAP (Description of a Project) 는소프트웨어프로젝트를설명하는 RDF 스키마 와 XML 로구성된파일 URI URI(Uniform Resource Identifier) 는인터넷서비스를전제로한식별체계로 URL (Uniform Resource Locators), URN(Uniform Resource Names), URC(Uniform Re source Characteristics) 를포함한개념. 5. 공개소프트웨어정보교환명세 ( 설명 ) 2

15 많은기업과조직들이소프트웨어를개발함에있어서공개소프트웨어및기타소프트웨어패키지를사용및재사용하고있음에따라공급망에있어서공개소프트웨어라이선스확인및준수를위한정보공유및제공을위한공통서식이필요하게되었다. 공개소프트웨어정보교환명세서는소프트웨어의패키지데이터를공통서식으로정의하고있으며소프트웨어에포함된공개소프트웨어라이선스를확인하는데편리한표준이다. 6. 정보교환명세세부내용 6.1. 근거 목적 회사나조직이라이선스와컴포넌트정보를공유하여라이선스와정책컴플라이언스를 원활하게수행하는데도움을주고자일련의데이터교환표준을생성한다 정의 본표준은소프트웨어패키지에연관되어있는컴포넌트, 라이선스, 저작권등을교환 하기위한표준양식이다 해당사항 본양식에는생성정보, 패키지정보, 기타발견된라이선스정보, 항목들간의관계 정보등이포함된다 비해당사항 수동또는자동분석결과발견할찾아낼수없는정보, 문서의저장방식, 패키지의 특허식별자, 라이선스나컴플라이언스의법적해석등은포함되지않는다 차이점 반드시필요한항목은필수로지정되고필수가아닌항목은선택으로지정되었다 문서생성정보 정보교환명세하나에하나의문서가만들어진다. 이명세에는문서를만드는데관여 한개인, 조직및도구들의정보를의미한다. 생성정보에는생성자, 생성일시, 생성자 3

16 설명그리고라이선스목록버전을포함한다 정보교환명세버전 (SPDX Version) 파일의나머지부분을분석하거나해석할수있는방법을이해하기위해사용될수있는참조번호를나타내며필수항목이다. 이항목은명세에대한미래의변경이과이전버전호환성을지원하는것이가능하다. 자료양식는 정보교환명세-M.N 의형태이며 M은 Major 버전번호이고 N은 Minor 버전번호이다. 메이저필드는버전들사이에서호환이불가한변경사항이만들어질경우증가한다. ( 하나이상의섹션 (section) 이생성, 수정또는삭제되었을때 ). 마이너필드는이전버전과호환가능한변경사항이만들어지면증가한다 데이터라이선스 (Data License) 문서를배포할때저작권을주장하기위해서라이선스를명시하며필수항목이다. 자료양식는 CC0-1.0 의형태이며 Creative Commons CC0 1.0 Universal license를나타낸다. 제한설명문구없이포함된정보교환명세나일부를사용하는것은 Creative Commons CC0 1.0 라이선스의규정이적용된어떤정보교환명세-메타데이터에서저작권에동의하는것이되는것이다. 정보교환명세준수는 정보교환명세-메타데이터 와같이필드에관련된데이터를내부정보교환명세필드에채우는것을포함한다. 정보교환명세는정보교환명세메타데이터에서정보교환명세문서생성자가신뢰성있는설명문구를제공하는많은필드들을포함한다. 데이터베이스권한 의적법에대한의견을밝히지않으면 ( 관할이적용되는경우 ), 그러한설명문구는대부분의베른조약국가들에서중요한저작권관련문제가된다. SPDXMetadata가어떠한저작권을포함하지않을경우, SPDXMetadata가있는그대로제공되고어떤진술또는 SPDX-Metadata에관련된명시적, 함축적, 법적또는기타제목, 상업성, 특정목적에적합성, 비침해, 잠재적또는기타결함의유무, 적합성, 또는에러존재유무, 모든해당법률에서허용되는최대범위까지의제한적보증없이포함되는것을동의하고인정하는것이다 식별자 (SPDX Identifier) 다른파일, 패키지, 문서등에서참조될때단일하게구분하기위해사용되며필수항 목이다. 자료양식는 정보교환명세 - 참조 - 문서 의형태이다 문서이름 (Document Name) 생성자에의해서명시된문서를식별하기위해사용되며필수항목이다. 자료양식는 문서이름 의형태이다. 예를들어문서이름 :glibc-v2.3 과같은형태로표현된다. 4

17 정보교환명세문서이름공간 (SPDX Document Namespace) 단일한이름을붙이기위해서 Uniform Resource Identifier(URI) 를사용하며필수항목이다. 자료양식는 문서이름 의형태이다. 예를들어문서이름공간 :glhttp://spdx.org/spdxdocs/spdx-tools-v1.2-3f2504e0-4f89-41d3-9a0c- 0305E82C3301 과같은형태로표현된다. # 식별자를제외하고 RFC2396에명시된대로고유한절대 URI(Uniform Resource Identifier) 로정보교환문서의특정한이름공간을제공한다. URI는정보교환명세문서의특정버전을포함하며정보교환명세문서에대해고유해야만한다. 정보교환명세문서가갱신되면갱신된문서에서사용되어야할새로운버전, 새로운 URI를생성한다. 하나의정보교환명세문서에대해오직하나의 URI만존재할수있고주어진 URI에대한정보교환명세문서도오직하나만존재할수있다. # 는정보교환명세요소식별자로사용되기때문에정보교환명세문서의 URI 일부로포함할수없다 외부문서참조 (External Document References) 본문서내에서외부의정보교환명세를식별하기위해사용되며선택항목이다. 자료 양식은 문서참조 - [idstring] [ 문서 URI] [Checksum] 과같이표현된다. 여기서 [idstring] 은글자, 수자,., -, + 만으로구성되어단일한문자열이되어야한다 라이선스목록번호 (License List Version) 본문서의라이선스번호를제공하기위해서사용되며선택항목이다 생성자 (Creator) 이름그리고정보교환명세문서를만들거나만들었던개인, 조직또는도구의연락처를의미하며필수항목이다. 여러명의참여자또는툴이생성자에포함될수있으며익명을사용할수도있다. 자료양식은 개인 : 개인이름 도는 조직 : 조직명 이고가각의이-메일은선택사항이다 생성일시 (Created) 정보교환명세를만들었던날짜와시간을의미하며필수항목이다. 이값은협정세계 시 (UTC) 에기반한 ISO 8601 을따라야하며표준시간대지표로 Z 값을가져야한다. 자료양식은 YYYY-MM-DDThh:mm:ssZ 형태이다 생성자설명 (Creator Comment) 생성자가정보교환명세를만들기위해만든일반적인또는관련한의견을의미하며 5

18 선택항목이다. 자료양식에는특별한제약이없으며여러줄에걸쳐서문자로작성한다 문서설명 (Document Comment) 정보교환명세를받는사용자에게제공하는의견을의미하며선택항목이다. 자료양 식에는특별한제약이없으며여러줄에걸쳐서문자로작성한다 패키지정보 (Package Information) 패키지하나에하나의패키지정보명세가필요하다. 비록하나의패키지가하부패키 지로구성되어있을지라도이정보교환명세문서는전체를포함할수있다. 개정안 2.0 에서는하나의파일집합을묶어서하나의패키지로만들필요는없다 패키지이름 (Package Name) 최초에패키지를만든사람이부여한패키지의전체이름을식별하며필수항목이다. 이것은패키지이름과함께해당버전도포함되어야한다. 자료양식은 패키지이름 과 같으며예를들면 패키지이름 :glibc 과같다 패키지정보교환명세식별자 (Package SPDX Identifier) 정보교환명세항목에서참조하는문서를유일하게식별하며필수항목이다. 이것은 패키지이름과함께해당버전도포함되어야한다. 자료양식은 정보교환명세참조 -[idstring] 과같으며문자, 수자,., - 등으로구성된유일한글자열이다 패키지버전 (Package Version) 패키지의버전을식별하며선택항목이다. 자료양식은 패키지버전 이며 패키지버 전 : 과같이한줄로표현된다 패키지파일이름 (Package File Name) 패키지의실제적인파일이름이나한패키지가놓여있는디렉토리경로를제공하며 선택항목이다. 자료양식은 패키지파일이름 과같으며 패키지파일이 름 :glibc tar.gz 과같이쓸수있다 패키지공급자 (Package Supplier) 용자에게패키지를공급하는사람이나조직의이름과연락처를의미하며선택항목이 6

19 다. 공급자는소프트웨어가다시패키지로만들면패키지원작자와다를수있다. 자료 양식은 패키지공급자 : 개인 :Jane Doe (jane.doe@example.com) 과같이사용할수있 다 패키지원작자 (Package Originator) 패키지를최초로창작한사람이나조직의이름과연락처를의미하며선택항목이다. 자 료양식은 패키지원저작자 : 조직 :ExampleCodeInspect (contact@example.com) 과같이 사용할수있다 패키지다운로드위치 (Package Download Location) 패키지를다운로드가능한 URI 정보를의미하며필수항목이다. 자료형식은 패키지 다운로드위치 : 와같이상용할수 있다 패키지확인코드 (Package Verification Code) 목록기반인증코드를의미하며필수항목이다. 이것은데이터소비자가보유하고있는패키지가데이터가생성된패키지와동일한지확인할수있도록한다. 자료형식은 40개의소문자와같이 160 비트바이너리형태이며한줄만혀용한다. 예로는 패키지확인코드 :d6a770ba38583ed4bb4525bd96e d2758 (excludes:./package.spdx) 와같이표현할수있다 패키지체크섬 (Package Checksum) 정보교환명세파일안에있는데이터와관련이있는특정패키지의유일한식별자이며선택항목이다. 이식별자는패키지내부에변경사항이있는지알려주는역할을한다. 이체크섬에사용된기본알고리즘은 SHA-1이다. 자료양식은 패키지홈페이지 : 와같이사용할수있다 패키지홈페이지 (Package Home Page) 패키지가제공되는웹사이트주소를의미하며선택항목이다 출처정보 (Source Information) 패키지의출처정보와변경사항에대한내용을의미하며선택항목이다. 7

20 확정라이선스 (Concluded License) 정보교환명세의저작자가패키지전반에걸처확정한라이선스를나타내며필수항목이다. 전체적으로확정하는라이선스를결정하지못한경우대체값을기록한다. 하나이상의라이선스를사용하는경우에는모든라이선스가포함된다. 자료양식으로는 패키지확정라이선스 : LGPL-2.0 과같이사용할수있다 파일로부터유래한모든라이선스정보 (All Licenses Information from Files) 패키지안에있는파일에서발견된모든라이선스의목록을의미하며필수항목이다. 자료양식으로는 파일출원패키지라이선스 : GPL-2.0, 파일출원패키지라이선스 : LicenseRef-1, 파일출원패키지라이선스 : LicenseRef-2 등과같이사용할수있다 선언된라이선스 (Declared License) 패키지의저작자가선언한모든라이선스의목록을의미하며필수항목이다. 자료양식 으로는 선언된패키지라이선스 : GPL-2.0 과같이사용할수있다 라이선스상의설명 (Comments on License) 저작자가사용하고자하는라이선스에관련된다양한정보를기록하는설명이며선택항목이다. 패키지의라이선스가파일의라이선스와일치하지않는경우상세설명을이곳에입력할수있다. 자료양식은자유로운문자열이며여러줄에걸쳐서작성될수있다 저작권문구 (Copyright Text) 저작권자정보, 릴리즈일자등을식별할수있는저작권에관한정보를기록하며필수 항목이다. 자료양식은 패키지저작권문구 : 로시작하며자유롭게여러줄에걸쳐서문자 열로작성될수있다 패키지요약기술 (Package Summary Description) 패키지에대한간략한설명을의미하며선택항목이다. 자료양식은 패키지요약 : <text> GNU C library. </text> 와같이사용할수있다 패키지상세 (Package Detailed Description) 패키지에대한상세한설명을제공하며선택항목이다. 자료양식은여러줄에걸쳐서 8

21 자유롭게문자로표현할수있다 패키지설명 (Package Comment) 이영역은정보교환명세저작자가자유롭게패키지에대한설명을제공하는공간이 며선택이다. 자료양식은여러줄에걸쳐서자유롭게문자로표현할수있다 파일정보 (File Information) 소프트웨어패키지에들어있는각각의파일별로하나의파일정보개체가필요하다. 파일의라이선스및저작권을포함하여중요한메타정보를제공하며다음과같은항목 을포함한다 파일이름 (File Name) 이문서의파일정보에해당하는파일의전체경로가포함된파일이름을의미하며필 수항목이다. 자료양식으로는패키지의루트에대한상대경로가가능하며 파일이 름 :./package/foo.c 와같이사용할수있다 파일정보교환명세식별자 (File SPDX Identifier) 다른항목에의해서참조될수있는정보교환명세을유일하게식별하며 이다. 자료양식으로는 정보교환면세파일식별자 : 를앞에써서사용할수있다. 필수항목 파일유형 (File Type) 식별된파일의유형에대한정보를의미하며선택항목이다. 자료양식으로는 SOURCE BINARY ARCHIVE APPLICATION AUDIO IMAGE TEXT VIDEO DOCUMENTATION SPDX OTHER 등이사용된다 파일체크섬 (File Checksum) 이항목은패키지내각특정파일의분석정보와일치하는고유한식별자를제공하여파일내용의무결성을보증하는정보이며필수항목이다. 자료유형으로는 파일체크섬 :SHA1: d6a770ba38583ed4bb4525bd96e d2758 등과같이사용할수있다 확정라이선스 (Concluded License) 정보교환명세의저작자가한파일에대한라이선스나타내는영역이며필수항목이 9

22 다. 또한결정하지못한경우대체값을기록한다. 하나이상의라이선스를사용하는경 우에는모든라이선스가포함된다. 자료양식은 확정라이선스 : LGPL-2.0 과같이사 용할수있다 파일내의라이선스정보 (License Information in File) 파일에서실제로발견되는라이선스정보를의미하며필수항목이다. 이정보는실제 파일의다른영역에있을수도있지만일반적으로파일의헤더에서발견되는정보이다. 자료양식은 파일내라이선스정보 : GPL-2.0 과같이사용할수있다 라이선스에관한설명 (Comments on License) 저작자가사용하고자하는라이선스관련다양한정보를기록하는영역이며선택항목 이다. 패키지의라이선스가파일의라이선스와일치하지않는경우상세설명을이곳에 입력할수있다. 자료양식은여러줄에걸쳐문자로서술할수있다 저작권문구 (Copyright Text) 저작권자정보, 릴리즈일자등을식별할수있는정보이며필수항목이다. 자료양식 은 Copyright < 연도또는기간 > < 개인저작자또는기관 > < 이 - 메일연락처 > 등의순서 로작성한다 파일출처프로젝트명 (Artifact of Project Name) 파일의출처가되는프로젝트명칭을의미하며선택항목이다. 파일이특정프로젝트로부터획득된정보를기록하여정보교환명세파일의사용자가쉽게파일의원본소스파일을확인할수있도록한다. 자료양식은 파일출처프로젝트명 : Jena 와같이사용할수있다 파일출처프로젝트홈페이지 (Artifact of Project Homepage) 파일의출처가되는프로젝트홈페이지를의미하며선택항목이다. 파일이획득된프로 젝트의홈페이지위치를기록한다. 자료양식은 파일출처프로젝트홈페이지 : 와같이사용할수있다 파일출처프로젝트 URI(Artifact of Project Uniform Resource Identifier) DOAP 문서의프로젝트자원에대한링크정보를의미하며선택항목이다. 자료양식은 파일출처프로젝트 URI: 와같이사용할수있다. 10

23 파일설명 (File Comment) 파일에대한일반적인설명정보를의미하며선택항목이다. 자료양식은여러줄에걸 쳐자유롭게문자열을사용할수있다 파일고지 (File Notice) 파일에대한법적고지사항을의미하며선택항목이다. 자료양식은여러줄에걸쳐자 유롭게문자열을사용할수있다 파일기여자 (File Contributor) 파일의기여자들에대한정보를의미하며선택항목이다. 저작권자의이름또는저작권 자가아니지만파일내용에기여한저작자의이름도포함된다. 자료양식은한줄의문 자열을사용할수있다 파일종속성 (File Dependencies) 파일의빌드에필요한다른파일들의목록을의미하며선택항목이다. 자료양식은 파 일종속성 :./busybox /shell/match.h 과같이사용할수있다 감지된기타라이선스정보 (Other Licensing Information Detected) 패키지에포함된라이선스중본표준에서정의하지않은기타라이선스들에대해 LicenseID: LicenseRef-1 포맷으로라이선스이름과원문, 출처를제공한다 라이선스식별자 (License Identifier) 파일혹은패키지에포함된본표준에서정의하지않은라이선스를나타내는고유한 식별자를제공하며표준라이선스목록에없을경우에만필수항목으로간주한다. 자료 양식은 라이선스참조 -[idstring] 과같이사용할수있다 추출된문장 (Extracted Text) 파일혹은패키지에포함된본표준에서정의하지않은라이선스의원문을제공한다. 식별자가지정되지않은경우에만필수항목이다. 자료양식은여러줄에걸쳐문자열로 사용할수있다 라이선스이름 (License Name) 11

24 파일혹은패키지에포함된본표준에서정의하지않은라이선스의이름이며표준라 이선스목록에없을경우에만필수항목이다. 자료양식은한줄로만표기하여야하며 라이선스이름 : Beer-Ware License (Version 42) 와같이사용할수있다 라이선스상호참조 (License Cross Reference) 파일혹은패키지에포함된본표준에서정의하지않은라이선스의공식출처를제공 하며표준라이선스목록에없을경우에만필수항목이다. 자료양식은 라이선스상호참 조 : 과같이사용할수있다 라이선스설명 (License Comment) 파일혹은패키지에포함된본표준에서정의하지않은라이선스에대한일반적인코 멘트를제공하며선택항목이다. 6.6 정보교환명세구성요소사이의관계성 (Relationships between SPDX Elements) 관계성 (Relationship) 두개의정보교환명세구성요소사이의관계에대한정보를제공하며선택항목이다 관계성설명 (Relationship Comment) 이부분은정보교환명세저작자가관계성에관련된일반적인설명을기록할수있도 록할당한공간이며선택항목이다. 6.7 주석 (Annotations) 주석자 (Annotator) 이부분은파일, 패키지, 또는전체문서에대해서설명하고있는개인, 조직, 툴등을 식별하는공간이며주석이없는경우에만필수항목이다 주석일자 (Annotation Date) 이부분은언제설명이작성되었는지를나타내며주석이없는경우에한해서만필수 항목이다. 자료양식은 ISO 8601 표준에나타난 UTC 양식을따르며 YYYY-MM-DDThh:mm:ssZ 와같은형태이다. 12

25 주석유형 (Annotation Type) 이부분은주석을기술하기위한공간이며주석이없는경우에한해서만필수항목이 다. 자료양식은 주석형식 : REVIEW 와같이사용할수있다 정보교환명세식별자참조 (SPDX Identifier Reference) 이부분은참조되는정보교환명세문서를유일하게식별하기위한공간이며주석이 있는경우에만필수항목이다. 자료양식은 문서참조 -[idstring]. 정보교환명세식별 자 와같이사용할수있다 주석설명 (Annotation Comment) 이부분은주석가가분석에대한설명을제공할수있는공간으로사용되며주석이있 을경우에만필수항목이다. 자료양식은 주석설명 :< 문장 > 과같이사용할수있다. 6.8 검토정보 (Review Information) 공개소프트웨어정보교환명세가최초로만들어진이후에검토를수행하는과정에서추가되는정보를의미한다. 검토수행으로만들어지는검토데이터는검토정보가추가되는과정에서변경되어서는안된다. 일단검토자항목이추가되면검토날짜도반드시기재되어야한다 검토자 (Reviewer) 공개소프트웨어정보교환명세의검토를완료한사람, 단체, 툴을의미하며선택항 목이다. 공개소프트웨어정보교환명세의원본이만들어진다음에추가적으로검토자 를더할수있으며원본에첨부된다 검토일자 (Review Date) 언제검토를완료하였는지알려주며검토자가있을경우에만조건적으로필수항목이 된다. 자료양식은 ISO 8601 표준에명시된 UTC 형태를따르며자료양식은 YYYY-MM-DDThh:mm:ssZ 와같이사용된다 검토설명 (Review Comment) 분석에대한검토자의독립적인평가의견을의미하며선택항목이다. 자료양식은여 러줄에걸쳐자유롭게문장으로기술한다. 13

26 부록 Ⅰ 표준라이선스목록 이목록은공개소프트웨어정보교환명세문서의라이선스를쉽고효율적으로식별하기위해서공개소프트웨어라이선스에서공통적으로발견되는라이선스를모은묶음이다. 공개소프트웨어정보교환명세라이선스목록은표준화된약식의식별자, 각라이선스의전체이름, 라이선스문구, 기타기본정보, 대표적인영구 URL 등을포함한다. 다음의표는표준공개소프트웨어라이선스의전체이름과약식식별자를열거하고있다. 라이선스식별자 라이선스전체이름 AFL-1.1 Academic Free License v1.1 AFL-1.2 Academic Free License v1.2 AFL-2.0 Academic Free License v2.0 AFL-2.1 Academic Free License v2.1 AFL-3.0 Academic Free License v3.0 APL-1.0 Adaptive Public License 1.0 Aladdin Aladdin Free Public License ANTLR-PD ANTLR Software Rights Notice Apache-1.0 Apache License 1.0 Apache-1.1 Apache License 1.1 Apache-2.0 Apache License 2.0 APSL-1.0 Apple Public Source License 1.0 APSL-1.1 Apple Public Source License 1.1 APSL-1.2 Apple Public Source License 1.2 APSL-2.0 Apple Public Source License 2.0 Artistic-1.0 Artistic License 1.0 Artistic-1.0-cl8 Artistic License 1.0 w/clause 8 Artistic-1.0-Perl Artistic License 1.0 (Perl) Artistic-2.0 Artistic License 2.0 AAL Attribution Assurance License BitTorrent-1.0 BitTorrent Open Source License v1.0 BitTorrent-1.1 BitTorrent Open Source License v1.1 BSL-1.0 Boost Software License 1.0 BSD-2-Clause BSD 2-clause "Simplified" License BSD-2-Clause-FreeBSD BSD 2-clause FreeBSD License BSD-2-Clause-NetBSD BSD 2-clause NetBSD License BSD-3-Clause BSD 3-clause "New" or "Revised" License BSD-3-Clause-Clear BSD 3-clause Clear License BSD-4-Clause BSD 4-clause "Original" or "Old" License BSD-4-Clause-UC BSD-4-Clause (University of California-Specific) CECILL-1.0 CeCILL Free Software License Agreement v1.0 CECILL-1.1 CeCILL Free Software License Agreement v1.1 CECILL-2.0 CeCILL Free Software License Agreement v2.0 CECILL-B CeCILL-B Free Software License Agreement 14

27 라이선스식별자 라이선스전체이름 CECILL-C CeCILL-C Free Software License Agreement ClArtistic Clarified Artistic License CNRI-Python CNRI Python License CNRI-Python-GPL-Com patible CNRI Python Open Source GPL Compatible License Agreement CPOL-1.02 Code Project Open License 1.02 CDDL-1.0 Common Development and Distribution License 1.0 CDDL-1.1 Common Development and Distribution License 1.1 CPAL-1.0 Common Public Attribution License 1.0 CPL-1.0 Common Public License 1.0 CATOSL-1.1 Computer Associates Trusted Open Source License 1.1 Condor-1.1 Condor Public License v1.1 CC-BY-1.0 Creative Commons Attribution 1.0 CC-BY-2.0 Creative Commons Attribution 2.0 CC-BY-2.5 Creative Commons Attribution 2.5 CC-BY-3.0 Creative Commons Attribution 3.0 CC-BY-ND-1.0 Creative Commons Attribution No Derivatives 1.0 CC-BY-ND-2.0 Creative Commons Attribution No Derivatives 2.0 CC-BY-ND-2.5 Creative Commons Attribution No Derivatives 2.5 CC-BY-ND-3.0 Creative Commons Attribution No Derivatives 3.0 CC-BY-NC-1.0 Creative Commons Attribution Non Commercial 1.0 CC-BY-NC-2.0 Creative Commons Attribution Non Commercial 2.0 CC-BY-NC-2.5 Creative Commons Attribution Non Commercial 2.5 CC-BY-NC-3.0 Creative Commons Attribution Non Commercial 3.0 CC-BY-NC-ND-1.0 Creative Commons Attribution Non Commercial No Derivatives 1.0 CC-BY-NC-ND-2.0 Creative Commons Attribution Non Commercial No Derivatives 2.0 CC-BY-NC-ND-2.5 Creative Commons Attribution Non Commercial No Derivatives 2.5 CC-BY-NC-ND-3.0 Creative Commons Attribution Non Commercial No Derivatives 3.0 CC-BY-NC-SA-1.0 Creative Commons Attribution Non Commercial Share Alike 1.0 CC-BY-NC-SA-2.0 Creative Commons Attribution Non Commercial Share Alike 2.0 CC-BY-NC-SA-2.5 Creative Commons Attribution Non Commercial Share Alike 2.5 CC-BY-NC-SA-3.0 Creative Commons Attribution Non Commercial Share Alike 3.0 CC-BY-SA-1.0 Creative Commons Attribution Share Alike 1.0 CC-BY-SA-2.0 Creative Commons Attribution Share Alike 2.0 CC-BY-SA-2.5 Creative Commons Attribution Share Alike 2.5 CC-BY-SA-3.0 Creative Commons Attribution Share Alike 3.0 CC0-1.0 Creative Commons Zero v1.0 Universal CUA-OPL-1.0 CUA Office Public License v1.0 D-FSL-1.0 Deutsche Freie Software Lizenz WTFPL Do What The F*ck You Want To Public License 15

28 라이선스식별자 라이선스전체이름 EPL-1.0 Eclipse Public License 1.0 ecos-2.0 ecos license version 2.0 ECL-1.0 Educational Community License v1.0 ECL-2.0 Educational Community License v2.0 EFL-1.0 Eiffel Forum License v1.0 EFL-2.0 Eiffel Forum License v2.0 Entessa Entessa Public License v1.0 ErlPL-1.1 Erlang Public License v1.1 EUDatagrid EU DataGrid Software License EUPL-1.0 European Union Public License 1.0 EUPL-1.1 European Union Public License 1.1 Fair Fair License Frameworx-1.0 Frameworx Open License 1.0 FTL Freetype Project License AGPL-1.0 GNU Affero General Public License v1.0 AGPL-3.0 GNU Affero General Public License v3.0 GFDL-1.1 GNU Free Documentation License v1.1 GFDL-1.2 GNU Free Documentation License v1.2 GFDL-1.3 GNU Free Documentation License v1.3 GPL-1.0 GNU General Public License v1.0 only GPL-1.0+ GNU General Public License v1.0 or later GPL-2.0 GNU General Public License v2.0 only GPL-2.0+ GNU General Public License v2.0 or later GPL-2.0-with-autoconf -exception GNU General Public License v2.0 w/autoconf exception GPL-2.0-with-bison-ex ception GNU General Public License v2.0 w/bison exception GPL-2.0-with-classpath -exception GNU General Public License v2.0 w/classpath exception GPL-2.0-with-font-exce ption GNU General Public License v2.0 w/font exception GPL-2.0-with-GCC-exc GNU General Public License v2.0 w/gcc Runtime Library eption exception GPL-3.0 GNU General Public License v3.0 only GPL-3.0+ GNU General Public License v3.0 or later GPL-3.0-with-autoconf -exception GNU General Public License v3.0 w/autoconf exception GPL-3.0-with-GCC-exc GNU General Public License v3.0 w/gcc Runtime Library eption exception LGPL-2.1 GNU Lesser General Public License v2.1 only LGPL-2.1+ GNU Lesser General Public License v2.1 or later LGPL-3.0 GNU Lesser General Public License v3.0 only LGPL-3.0+ GNU Lesser General Public License v3.0 or later LGPL-2.0 GNU Library General Public License v2 only LGPL-2.0+ GNU Library General Public License v2 or later gsoap-1.3b gsoap Public License v1.3b HPND Historic Permission Notice and Disclaimer IBM-pibs IBM PowerPC Initialization and Boot Software 16

29 라이선스식별자 라이선스전체이름 IPL-1.0 IBM Public License v1.0 Imlib2 Imlib2 License IJG Independent JPEG Group License Intel Intel Open Source License IPA IPA Font License ISC ISC License JSON JSON License LPPL-1.3a LaTeX Project Public License 1.3a LPPL-1.0 LaTeX Project Public License v1.0 LPPL-1.1 LaTeX Project Public License v1.1 LPPL-1.2 LaTeX Project Public License v1.2 LPPL-1.3c LaTeX Project Public License v1.3c Libpng libpng License LPL-1.02 Lucent Public License v1.02 LPL-1.0 Lucent Public License Version 1.0 MS-PL Microsoft Public License MS-RL Microsoft Reciprocal License MirOS MirOS Licence MIT MIT License Motosoto Motosoto License MPL-1.0 Mozilla Public License 1.0 MPL-1.1 Mozilla Public License 1.1 MPL-2.0 Mozilla Public License 2.0 MPL-2.0-no-copyleft-e xception Mozilla Public License 2.0 (no copyleft exception) Multics Multics License NASA-1.3 NASA Open Source Agreement 1.3 Naumen Naumen Public License NBPL-1.0 Net Boolean Public License v1 NGPL Nethack General Public License NOSL Netizen Open Source License NPL-1.0 Netscape Public License v1.0 NPL-1.1 Netscape Public License v1.1 Nokia Nokia Open Source License NPOSL-3.0 Non-Profit Open Software License 3.0 NTP NTP License OCLC-2.0 OCLC Research Public License 2.0 ODbL-1.0 ODC Open Database License v1.0 PDDL-1.0 ODC Public Domain Dedication & License 1.0 OGTSL Open Group Test Suite License OLDAP Open LDAP Public License OLDAP-1.1 Open LDAP Public License v1.1 OLDAP-1.2 Open LDAP Public License v1.2 OLDAP-1.3 Open LDAP Public License v1.3 OLDAP-1.4 Open LDAP Public License v1.4 OLDAP-2.0 Open LDAP Public License v2.0 (or possibly 2.0A and 2.0B) OLDAP Open LDAP Public License v2.0.1 OLDAP-2.1 Open LDAP Public License v2.1 OLDAP-2.2 Open LDAP Public License v2.2 17

30 라이선스식별자 라이선스전체이름 OLDAP Open LDAP Public License v2.2.1 OLDAP-2.3 Open LDAP Public License v2.3 OLDAP-2.4 Open LDAP Public License v2.4 OLDAP-2.5 Open LDAP Public License v2.5 OLDAP-2.6 Open LDAP Public License v2.6 OLDAP-2.7 Open LDAP Public License v2.7 OPL-1.0 Open Public License v1.0 OSL-1.0 Open Software License 1.0 OSL-2.0 Open Software License 2.0 OSL-2.1 Open Software License 2.1 OSL-3.0 Open Software License 3.0 OLDAP-2.8 OpenLDAP Public License v2.8 OpenSSL OpenSSL License PHP-3.0 PHP License v3.0 PHP-3.01 PHP License v3.01 PostgreSQL PostgreSQL License Python-2.0 Python License 2.0 QPL-1.0 Q Public License 1.0 RPSL-1.0 RealNetworks Public Source License v1.0 RPL-1.1 Reciprocal Public License 1.1 RPL-1.5 Reciprocal Public License 1.5 RHeCos-1.1 Red Hat ecos Public License v1.1 RSCPL Ricoh Source Code Public License Ruby Ruby License SAX-PD Sax Public Domain Notice SGI-B-1.0 SGI Free Software License B v1.0 SGI-B-1.1 SGI Free Software License B v1.1 SGI-B-2.0 SGI Free Software License B v2.0 OFL-1.0 SIL Open Font License 1.0 OFL-1.1 SIL Open Font License 1.1 SimPL-2.0 Simple Public License 2.0 Sleepycat Sleepycat License SMLNJ Standard ML of New Jersey License SugarCRM SugarCRM Public License v1.1.3 SISSL Sun Industry Standards Source License v1.1 SISSL-1.2 Sun Industry Standards Source License v1.2 SPL-1.0 Sun Public License v1.0 Watcom-1.0 Sybase Open Watcom Public License 1.0 NCSA University of Illinois/NCSA Open Source License VSL-1.0 Vovida Software License v1.0 W3C W3C Software Notice and License WXwindows wxwindows Library License Xnet X.Net License X11 X11 License XFree XFree86 License 1.1 YPL-1.0 Yahoo! Public License v1.0 YPL-1.1 Yahoo! Public License v1.1 Zimbra-1.3 Zimbra Public License v1.3 Zlib zlib License 18

31 라이선스식별자 ZPL-1.1 Zope Public License 1.1 ZPL-2.0 Zope Public License 2.0 ZPL-2.1 Zope Public License 2.1 Unlicense The Unlicense 라이선스전체이름 19

32 표준작성공헌자 표준번호 : 이표준의제정 개정및발간을위해아래와같이여러분들이공헌하였습니다. 구분성명위원회및직위 표준 ( 과제 ) 제안표준초안작성자표준초안에디터표준초안검토 공개소프트웨어 프로젝트그룹 김병선 공개소프트웨어프로젝트그룹부의장 김형채 공개소프트웨어프로젝트그룹위원 정윤재 공개소프트웨어프로젝트그룹의장 김병선 공개소프트웨어프로젝트그룹부의장 김형채 공개소프트웨어프로젝트그룹위원 정윤재 공개소프트웨어프로젝트그룹의장 정윤재 공개소프트웨어프로젝트그룹의장 외프로젝트그룹위원 연락처 ( 등 ) briankim@blackducks oftware.co.kr chaeya@gmail.com yunjaejung@openwisd om.software briankim@blackducks oftware.co.kr chaeya@gmail.com yunjaejung@openwisd om.software yunjaejung@openwisd om.software 소속사블랙덕소프트웨어코리아한국건물에너지기술원 오픈위즈덤블랙덕소프트웨어코리아한국건물에너지기술원 오픈위즈덤 오픈위즈덤 표준안심의 박승민 소프트웨어 / 콘텐츠 기술위원회의장 외기술위원회위원 minpark@etri.re.kr ETRI 사무국담당 김영화 - ykim@tta.or.kr TTA 이혜진 - hjlee@tta.or.kr TTA 20

33 정보통신단체표준 ( 국문표준 ) 공개소프트웨어정보교환명세 (Open Source Software Package Data Exchange Specification) 발행인 : 한국정보통신기술협회회장발행처 : 한국정보통신기술협회 , 경기도성남시분당구분당로 47 Tel : , Fax : 발행일 :