[논문 리뷰] LiDetector: License Incompatibility Detection for Open Source Software

Sihan Xu, Ya Gao외 4명|arXiv (Cornell University)|2022. 04. 22.

Software Engineering Research인용 수 11

한 줄 요약

LiDetector는 자연어 처리 기술과 확률적 문맥 자유 문법(PCFG)을 활용하여 라이선스 텍스트에서 의미 있는 라이선스 조건을 자동으로 식별하고, 이를 기반으로 권리 및 의무를 추론하는 자동화된 도구이다. 이 도구는 용어 식별에서 93.28%의 정밀도와 권리/의무 추론에서 91.09%의 정확도를 달성하였으며, 거짓 양성률(10.06%)과 거짓 음성률(2.56%)이 낮아, 총 1,846개 프로젝트 중 72.91%가 라이선스 호환성 문제를 겪고 있음을 드러냈다.

ABSTRACT

Open-source software (OSS) licenses dictate the conditions which should be followed to reuse, distribute, and modify the software. Apart from widely-used licenses such as the MIT License, developers are also allowed to customize their own licenses (called custom licenses), whose descriptions are more flexible. The presence of such various licenses imposes challenges to understanding licenses and their compatibility. To avoid financial and legal risks, it is essential to ensure license compatibility when integrating third-party packages or reusing code accompanied with licenses. In this work, we propose LiDetector, an effective tool that extracts and interprets OSS licenses (including both official licenses and custom licenses), and detects license incompatibility among these licenses. Specifically, LiDetector introduces a learning-based method to automatically identify meaningful license terms from an arbitrary license and employs Probabilistic Context-Free Grammar (PCFG) to infer rights and obligations for incompatibility detection. Experiments demonstrate that LiDetector outperforms existing methods with 93.28% precision for term identification, and 91.09% accuracy for right and obligation inference, and can effectively detect incompatibility with a 10.06% FP rate and 2.56% FN rate. Furthermore, with LiDetector, our large-scale empirical study on 1,846 projects reveals that 72.91% of the projects are suffering from license incompatibility, including popular ones such as the MIT License and the Apache License. We highlighted lessons learned from the perspectives of different stakeholders and made all related data and the replication package publicly available to facilitate follow-up research.

연구 동기 및 목표

• 다양한 오픈소스 라이선스, 특히 커스터마이즈된 라이선스와 버전화된 라이선스를 포함한 라이선스 호환성 문제를 해결하기 위한 것이다.
• 기존 도구들이 사전 정의된 잘 알려진 라이선스만 지원하고 수동으로 규칙를 정의해야 하는 한계를 극복하기 위한 것이다.
• 수동 설정이 필요 없이 임의의 라이선스(공식적 또는 커스터마이즈된)를 자동으로 해석할 수 있는 자동화되고 확장 가능한 솔루션을 개발하기 위한 것이다.
• 특히 커스터마이즈된 라이선스가 널리 사용되는 현실 세계 소프트웨어 프로젝트에서 라이선스 호환성 문제를 대규모로 탐지하기 위한 것이다.
• 재현 가능성을 보장하고 향후 라이선스 호환성 분야의 연구를 지원하기 위해 공개된 도구와 데이터셋을 제공하기 위한 것이다.

제안 방법

• 자연어 처리 기법을 활용하여 임의의 라이선스 텍스트에서 의미 있는 라이선스 조건을 자동으로 식별하는 학습 기반 방법을 사용한다.
• 확률적 문맥 자유 문법(PCFG)을 적용하여 라이선스 텍스트를 구문 분석하고, 문법적 구조에서 권리 및 의무를 추론한다.
• 라이선스 언어를 용어의 시퀀스로 모델링하고, 훈련된 임bedding을 사용하여 의미적으로 중요한 절을 탐지한다.
• 다양한 라이선스 간 권리 및 의무 간 충돌을 분석하여 호환성 문제를 탐지한다.
• 규칙 기반 충돌 탐지 엔진이 통합된 구성 요소 간 권리 또는 의무 간 모순 여부를 평가한다.
• 공식 라이선스와 커스터마이즈 라이선스를 포함한 다양한 라이선스 데이터셋(버전화 및 예외 확장형 포함)을 대상으로 프레임워크를 훈련하고 평가한다.

실험 결과

연구 질문

• RQ1 자동화된 시스템은 공식적 및 커스터마이즈된 오픈소스 라이선스에서 의미 있는 라이선스 조건을 효과적으로 식별하고 추출할 수 있는가?
• RQ2 규칙 기반 모델에 비해 문법 기반 모델이 라이선스 텍스트에서 권리 및 의무를 얼마나 정확하게 추론할 수 있는가?
• RQ3 기존 호환성 프레임워크에 사전 정의되지 않은 다양한 라이선스 세트 간 호환성 문제 탐지 능력은 어느 정도인가?
• RQ4 실제 오픈소스 프로젝트에서 라이선스 호환성 문제가 얼마나 퍼져 있는가? 특히 커스터마이즈되거나 드문 라이선스를 사용하는 경우에 대해선?
• RQ5 기존 도구와 비교해 라이선스 호환성 탐지에서 정밀도, 재현율, 거짓 양성/음성 비율 측면에서 시스템의 성능은 어떠한가?

주요 결과

• LiDetector는 임의의 라이선스 텍스트에서 의미 있는 라이선스 조건을 식별하는 데 93.28%의 정밀도와 75.70%의 재현율을 달성하였다.
• 시스템은 권리 및 의무를 91.09%의 정확도로 추론하여 기존 규칙 기반 접근 방식보다 뚜렷이 뛰어난 성능을 보였다.
• 200개의 GitHub 프로젝트를 대상으로 한 대규모 평가에서, LiDetector는 169개의 호환성 문제가 있는 프로젝트를 탐지하였으며, 거짓 양성률은 10.06%, 거짓 음성률은 2.56%였다.
• 실제 1,846개 프로젝트에 대한 대규모 실증 연구에서 72.91%의 프로젝트가 라이선스 호환성 문제를 겪고 있음을 확인하였으며, 이는 MIT나 Apache와 같은 인기 라이선스를 사용하는 프로젝트도 포함되어 있었다.
• 연구 결과는 커스터마이즈 라이선스에서 비롯된 광범위한 호환성 위험을 드러내었으며, 분석된 전체 라이선스 중 24.56%가 커스터마이즈 라이선스였다는 점에서 특히 주목할 만하다.
• 모든 데이터, 코드, 복제 패키지는 재현 가능성과 향후 라이선스 호환성 분야의 연구를 지원하기 위해 공개되었다.