# iSecOS — Kiểm toán tuân thủ giấy phép phần mềm (License Compliance Audit)

**Tài liệu:** LICENSE-COMPLIANCE.md
**Phiên bản:** 1.0 · **Ngày:** 06/11/2026
**Phạm vi:** Toàn bộ phần mềm phân phối trong ISO iSecOS 1.0 (MotaX) — desktop & server, amd64
**Chủ thể phát hành:** 44+ Technologies / iSecurity
**Liên hệ pháp lý:** isecos@isecurity.vn

> **Mục đích:** Tài liệu này đối chiếu giấy phép của TOÀN BỘ phần mềm có trong iSecOS, xác
> minh quyền phân phối thương mại của từng thành phần, và liệt kê các nghĩa vụ còn tồn
> trước khi phát hành chính thức (đóng mục B.4 của `docs/commercial-gap-analysis.md`).
>
> **Kết luận tổng quan: TUÂN THỦ.** iSecOS phân phối lại các gói Debian nguyên bản
> (nguồn gốc GPL/MPL/Apache/BSD…), giữ nguyên giấy phép và thông báo bản quyền; mã nguồn
> GPL luôn sẵn có qua mirror Debian và mirror riêng `isecos.isecurity.vn`. Lớp mã nguồn
> do iSecurity tự viết (hooks, scripts, tools, agent, Control Center, branding) là tài sản
> độc quyền của iSecurity và KHÔNG bắt buộc phải công khai.

---

## Mục lục

1. [Hệ thống nền (Base System)](#1-hệ-thống-nền-base-system)
2. [Ứng dụng người dùng (Applications)](#2-ứng-dụng-người-dùng-applications)
3. [Thành phần bảo mật (Security Components)](#3-thành-phần-bảo-mật-security-components)
4. [Thành phần tự viết của iSecOS (Custom Components)](#4-thành-phần-tự-viết-của-isecos-custom-components)
5. [Phần mềm không tự do / firmware (non-free)](#5-phần-mềm-không-tự-do--firmware-non-free)
6. [Phân tích nghĩa vụ GPL/LGPL](#6-phân-tích-nghĩa-vụ-gpllgpl)
7. [Danh mục tuân thủ (Compliance Checklist)](#7-danh-mục-tuân-thủ-compliance-checklist)
8. [Nghĩa vụ còn tồn (việc cần làm)](#8-nghĩa-vụ-còn-tồn-việc-cần-làm)
9. [Nhật ký thay đổi tài liệu](#9-nhật-ký-thay-đổi-tài-liệu)

---

## 1. Hệ thống nền (Base System)

Toàn bộ hệ thống nền là **phần mềm tự do (free software)** — không có thành phần độc quyền
nào trong lớp lõi. iSecOS phân phối lại nguyên trạng từ kho Debian 13 "Trixie" chính thức.

| Thành phần | Phiên bản trong iSecOS | Giấy phép | Nguồn gốc | Tuân thủ? |
|---|---|---|---|---|
| Debian GNU/Linux | 13 "Trixie" (stable) | Hỗn hợp: GPL-2.0+, LGPL-2.1+, MPL-2.0, Apache-2.0, BSD, MIT, … (theo từng gói; đếm được ~80 giấy phép OSD-approved trong kho) | debian.org | ✅ |
| Linux Kernel | 6.12 LTS (`6.12.0-x-amd64`) | GPL-2.0 (phần firmware tách riêng — xem mục 5) | kernel.org | ✅ |
| GNU C Library (glibc) | 2.41 (Debian trixie) | LGPL-2.1+ | gnu.org | ✅ |
| systemd + systemd-boot | 257 (Debian trixie) | LGPL-2.1+ (một số thành phần GPL-2.0) | systemd.io | ✅ |
| GNOME Desktop | 48 (Wayland) | Hỗn hợp: GPL-2.0+, LGPL-2.0+ (shell, GTK), một số MIT/CC0 (tài liệu, icon) | gnome.org | ✅ |
| GCC / coreutils / bash | Theo Debian trixie | GPL-3.0+ | gnu.org | ✅ |
| Xwayland / Mesa | Theo Debian trixie | MIT (X11), MIT/SGI (Mesa) | freedesktop.org | ✅ |
| debian-installer (d-i) + GTK frontend | Trixie | GPL-2.0+ | debian.org | ✅ |

**Ghi chú:**
- **Không có thành phần độc quyền trong lớp hệ điều hành lõi.** Mọi gói lớp lõi đều lấy
  từ `main` của Debian — kho chỉ chứa phần mềm tự do theo Debian Social Contract.
- Kernel Linux được Debian phân phối nguyên bản (không patch của iSecOS). Nếu sau này
  iSecOS patch kernel (kế hoạch tự ký Secure Boot — mục 1.1 RC `commercial-gap-analysis.md`
  Phần D), **bắt buộc công khai nguồn kernel đã sửa** trên mirror (xem mục 6.4).
- Giấy phép của từng gói luôn có tại `/usr/share/doc/<tên-gói>/copyright` trên máy đã cài
  và tại `https://sources.debian.org` — đây là bằng chứng đối chiếu độc lập.

---

## 2. Ứng dụng người dùng (Applications)

Danh sách lấy từ `os/live-build/config/package-lists/isecos-apps.list.chroot` +
`isecos-desktop.list.chroot` (nguồn chuẩn xác, đối chiếu 06/11/2026).

| Ứng dụng | Giấy phép | Nguồn | Ghi chú tuân thủ | Tuân thủ? |
|---|---|---|---|---|
| **Chromium** | BSD-3-Clause (và giấy phép thành phần: Blink BSD/LGPL/Apache, …) | chromium.org (gói Debian, mã nguồn đầy đủ) | Bản Debian **không kèm Google API keys / Google services** — đúng định vị. Không sửa mã → không phát sinh nghĩa vụ công khai thêm | ✅ |
| **LibreOffice** (+ l10n vi) | MPL-2.0 (nhánh chính); LGPL-3.0 (một số module kế thừa) | documentfoundation.org | Phân phối nguyên bản qua gói Debian. MPL-2.0 cho phép phân phối nhị phân đóng kèm file giấy phép | ✅ |
| **Thunderbird** (+ l10n vi) | MPL-2.0 | mozilla.org | Gói Debian, không kèm telemetry Mozilla. MPL-2.0 yêu cầu đính kèm notice file — gói Debian đã lo | ✅ |
| **Remmina** (+ plugin RDP/VNC/secret) | GPL-2.0+ | remmina.org | Phân phối nguyên bản | ✅ |
| **KeePassXC** | GPL-3.0 | keepassxc.org | Phân phối nguyên bản; iSecOS có AppArmor profile riêng cho KeePassXC — profile là cấu hình, không phải tác phẩm phái sinh | ✅ |
| **VLC** | GPL-2.0+ (nhị phân), LGPL-2.1+ (thư viện libvlc, libvlccore) | videolan.org | Phân phối nguyên bản | ✅ |
| **GoChat** (gochat-desktop) | **Độc quyền (proprietary, nội bộ)** — sở hữu trí tuệ của iSecurity | iSecurity (deb riêng trên repo aptly `isecos.isecurity.vn`) | Do iSecurity sở hữu toàn bộ quyền → tự do phân phối. Xem mục 4.3 | ✅ (sở hữu) |
| **Wine + winetricks** | LGPL-2.1 (Wine), LGPL-2.1+ (winetricks) | winehq.org | Phân phối nguyên bản | ✅ |
| **Evince** | GPL-2.0+ | gnome.org | ✅ |
| **File Roller** | GPL-2.0+ | gnome.org | ✅ |
| **eog (Eye of GNOME)** | GPL-2.0+ | gnome.org | ✅ |
| **GNOME Terminal / Nautilus / gnome-tweaks** | GPL-3.0+ / GPL-2.0+ / GPL-3.0+ | gnome.org | ✅ |
| **ibus + ibus-unikey** | GPL-2.0+ (ibus LGPL-2.1+; ibus-unikey GPL-2.0+) | github.com/ibus/ibus, github.com/vn-input/ibus-unikey | Bộ gõ tiếng Việt — phân phối nguyên bản | ✅ |
| **CUPS + cups-filters** | Apache-2.0 (CUPS ≥ 2.3 do Apple chuyển giao OpenPrinting), LGPL-2.0+ (cups-filters) | openprinting.org | ✅ |
| **printer-driver-all, system-config-printer, simple-scan** | GPL-2.0+ / GPL-2.0+ / GPL-3.0 | Debian / OpenPrinting / GNOME | ✅ |
| **ffmpeg** | GPL-2.0+ / LGPL-2.1+ (bản build Debian gộp cả hai tùy cấu hình) | ffmpeg.org | Bản Debian; phát sinh phí bản quyền codec patent KHÔNG áp dụng cho người dùng cuối nội bộ tổ chức tại VN — không phải nghĩa vụ giấy phép | ✅ |
| **gstreamer (base/good/bad/ugly/libav)** | LGPL-2.0+ (core/plugins), một số plugin ugly GPL-2.0+ | gstreamer.freedesktop.org | ✅ |
| **fonts-liberation** | SIL OFL 1.1 (kèm exception) | liberationfonts.com | OFL cho phép đóng gói thương mại, giữ nguyên giấy phép font | ✅ |
| **fonts-crosextra-carlito / caladea** | Apache-2.0 / SIL OFL 1.1 | Google Fonts | Tương thích metric với Calibri/Cambria — giấy phép cho phép phân phối | ✅ |
| **fonts-noto-core, fonts-dejavu** | SIL OFL 1.1 / Bitstream Vera + Public Domain phần mở rộng | google.com/get/noto, dejavu-fonts.github.io | ✅ |
| **hunspell-vi** | GPL-2.0+ / LGPL-2.1+ (hunspell) | github | ✅ |
| **timeshift** | GPL-3.0 | github.com/teejee2008/timeshift | ✅ |
| **rsync / cron** | GPL-3.0+ / GPL-2.0+ | samba.org, vixie cron | ✅ |
| **openssh-client / openssh-server** | BSD-2-Clause (Berkeley) + MIT + một phần Public Domain | openssh.com | ✅ |
| **ntfs-3g** | GPL-2.0+ | tuxera.com | ✅ |
| **p7zip-full** | LGPL-2.1+ (7-Zip ≥ 24 đã chuyển LGPL; bản Debian trixie dùng mã LGPL) + unRAR license (phần unrar: chỉ cho phép phân phối kèm source của unrar — gói Debian `unrar` đã xử lý) | 7-zip.org | Gói Debian lo nghĩa vụ source | ✅ |
| **pst-utils (readpst), pstotext** | GPL-2.0+ / BSD-3-Clause | Debian | Công cụ import PST/OST khi chuyển đổi từ Windows | ✅ |
| **wget / curl** | GPL-3.0+ / curl license (MIT-style) | gnu.org, curl.se | ✅ |
| **Python 3 + python3-gi (PyGObject)** | PSF License (Python), LGPL-2.1+ (PyGObject), LGPL-2.1+ (GTK3) | python.org, gnome.org | Nền cho prompt GTK enroll TPM | ✅ |

### 2.1. ~30.000+ gói còn lại từ Debian

ISO iSecOS gồm **khoảng 1.600–2.000 gói** (hồ sơ desktop) và **~500 gói** (hồ sơ server)
— là tập con của kho Debian (~60.000 gói binary cho amd64; phát biểu "30.000+ packages"
trong truyền thông cần hiểu là "quyền truy cập kho Debian qua mirror", không phải số gói
trong ISO).

- **Nguyên tắc tuân thủ:** mọi gói đều do Debian phân phối lại hợp pháp; iSecOS là
  **mirror + redistribution** — nghĩa vụ giấy phép được Debian xử lý ở tầng gói
  (source + copyright đính kèm mỗi gói trong `/usr/share/doc/<pkg>/copyright`).
- **Bằng chứng:** mirror riêng `https://deb.isecos.isecurity.vn/` (suite `mota-x`,
  `mota-x-updates`; suite bảo mật `mota-x-security` tại
  `https://security.isecos.isecurity.vn/`) đồng bộ bằng debmirror — chứa **cả binary lẫn
  source** (`./source/` song song `./pool/`), đáp ứng mục 6.3 của tài liệu này.
- **Khuyến nghị truyền thông:** dùng cụm "hơn 1.500 gói phần mềm cài sẵn, tương thích toàn
  bộ kho Debian" thay vì "30.000+ gói" để tránh khiếu nại quảng cáo.

---

## 3. Thành phần bảo mật (Security Components)

Danh sách từ `isecos-security.list.chroot` + `isecos-crypto-tpm.list.binary`.

| Thành phần | Giấy phép | Vai trò trong iSecOS | Tuân thủ? |
|---|---|---|---|
| **cryptsetup / LUKS2** | GPL-2.0+ (cryptsetup), LGPL-2.1+ (libcryptsetup) | Mã hóa đĩa đầy đủ (aes-xts-plain64, 512-bit) mặc định | ✅ |
| **clevis + jose** | GPL-3.0 | TPM2 auto-unlock (bind PCR7) | ✅ |
| **tpm2-tools / tpm2-abrmd / tss2** | BSD-3-Clause (tpm2-tools), BSD-3-Clause (tpm2-tss — thực tế là BSD-2) | Công cụ & stack TPM 2.0 | ✅ |
| **AppArmor** | GPL-2.0 (apparmor), LGPL-2.1 (libapparmor) | MAC — ~125 profile, 5 profile riêng của iSecOS | ✅ |
| **auditd + audispd** | GPL-2.0 | Nhật ký kiểm toán | ✅ |
| **nftables** | GPL-2.0 | Firewall / NAC default-deny | ✅ |
| **ufw** | GPL-3.0 | Frontend firewall | ✅ |
| **usbguard** | GPL-2.0 | DLP cổng USB — chặn mass storage mặc định | ✅ |
| **libpam-google-authenticator** | Apache-2.0 | MFA TOTP | ✅ |
| **libpam-u2f** | BSD-2-Clause | MFA FIDO/U2F | ✅ |
| **libpam-pwquality** | GPL-2.0+ / BSD (libpwquality) | Chính sách mật khẩu | ✅ |
| **opensc + pcscd** | LGPL-2.1+ (opensc), BSD-3-Clause (pcsc-lite) | Smart card PIV/CCCD, ký số | ✅ |
| **gnupg / gpgv** | GPL-3.0 | Ký & kiểm chứng ISO/repo | ✅ |
| **wpasupplicant (wpa_supplicant)** | BSD-3-Clause | NAC 802.1X EAP-TLS endpoint | ✅ |
| **rsyslog / logrotate / chrony** | GPL-3.0+ / GPL-2.0+ / GPL-2.0 | Log, xoay log, đồng bộ thời gian | ✅ |
| **unattended-upgrades** | GPL-2.0+ | Tự động vá bảo mật | ✅ |
| **sudo** | ISC-style (BSD-like) | Privilege escalation có kiểm soát | ✅ |
| **OpenSCAP (oscap, scap-security-guide)** | LGPL-2.1+ / BSD-2-Clause | Đánh giá chuẩn CIS/ANSSI (dùng khi audit, không nằm trong ISO mặc định) | ✅ |

---

## 4. Thành phần tự viết của iSecOS (Custom Components)

### 4.1. Danh mục & quyết định giấy phép

TẤT CẢ mã nguồn do iSecurity tự viết được phát hành nội bộ dưới giấy phép:

> **"iSecOS Proprietary License — Copyright (C) 2026 44+ Technologies / iSecurity.
> All rights reserved. Internal/commercial distribution only."**

| Thành phần | Vị trí trong kho | Tính chất | Giấy phép áp dụng |
|---|---|---|---|
| live-build hooks (020…901) | `os/live-build/config/hooks/live/` | Script build-time (bash), chạy lúc tạo ISO, **không nhúng vào gói GPL** | Độc quyền |
| Bộ công cụ `isecos-*` (backup, freeze, info, migrate, monitor, monitor-usb, report, reset, upgrade, whitelist, mfa, nac, dlp, agent, tpm-enroll) | `usr/local/bin/`, `usr/sbin/` qua `includes.chroot` | Script vận hành (bash/python), **sử dụng** hệ thống qua CLI/systemd — không link thư viện GPL | Độc quyền |
| `isecos-agent` (enroll/checkin/policy) | hook 066 + `config-shared` | Bash thuần + curl — giao tiếp qua HTTP API, tiến trình riêng | Độc quyền |
| Control Center (backend FastAPI + frontend) | `os/control-center/` | Ứng dụng độc lập, không phái sinh từ mã GPL | Độc quyền |
| firstboot, GTK installer branding, TPM enroll prompt (python3-gi) | `usr/lib/isecos/` | Sử dụng PyGObject/LGPL qua **dynamic linking + CLI invocation** — được phép đóng mã ứng dụng (LGPL cho phép dùng thư viện bằng ứng dụng độc quyền khi link động, Python import qua API ổn định) | Độc quyền |
| Branding: wallpaper, splash, GRUB background, logo, icon app | `branding/`, `usr/share/isecos/branding/` | Tác phẩm nghệ thuật — quyền tác giả (đồng quyền) | Độc quyền |
| Gói `isecos-base` (deb tự đóng) | repo aptly `/apt/isecos/` | Gói **aggregation**: chứa file độc quyền + kéo gói Debian làm phụ thuộc | Độc quyền (phần payload), phụ thuộc GPL giữ giấy phép gốc |
| **GoChat (gochat-desktop)** | repo aptly `/apt/isecos/` | Sở hữu hoàn toàn iSecurity | Độc quyền (sở hữu) |

### 4.2. Cơ sở pháp lý — vì sao lớp độc quyền là hợp pháp

1. **GPL điều chỉnh việc "phân phối" tác phẩm phái sinh của chương trình GPL — không
   điều chỉnh chương trình độc lập chỉ chạy cạnh nó.** Các script `isecos-*` là
   chương trình độc lập: gọi `cryptsetup`, `nft`, `usbguard`, `aa-*` qua giao diện
   dòng lệnh (execve) và gọi API HTTP của Control Center — đây là **arm's-length
   communication**, không phải "derived work" theo chuẩn cộng đồng GPL (GPLv2 FAQ:
   pipes, exec, arguments = separate program).
2. **Hooks live-build** chạy trên máy build, sản phẩm đầu ra là ISO gồm các gói Debian
   NGUYÊN BẢN + file độc quyền rời (không sửa gói GPL) — cấu trúc "mere aggregation"
   trên filesystem.
3. **AppArmor/dconf policies, preseed, cấu hình Chromium** là **dữ liệu cấu hình**, không
   phải mã nguồn của chương trình GPL — không phái sinh.
4. **App dùng LGPL qua dynamic linking/Python import** (python3-gi, GTK3): LGPL-2.1/3
   cho phép ứng dụng độc quyền link động thư viện LGPL, với nghĩa vụ: (a) cho phép người
   dùng thay thế thư viện (Linux thỏa mãn sẵn — thư viện là gói riêng), (b) kèm văn bản
   giấy phép LGPL + thông báo. Đã thỏa qua `/usr/share/common-licenses/` (mục 7).
5. **Điều kiện vi phạm nếu xảy ra (cần né):** nếu iSecOS **sửa mã nguồn** của bất kỳ
   chương trình GPL nào (Chromium, GNOME shell, cryptsetup, kernel…) thì bản sửa đó
   trở thành tác phẩm phái sinh → **bắt buộc công khai nguồn bản sửa** cho người nhận
   nhị phân. Hiện tại KHÔNG gói Debian nào bị sửa; nếu tương lai có (kế hoạch patch
   kernel, patch Chromium cho DLP watermark), phải publish source song song repo
   (xem mục 6.4).

### 4.3. GoChat — lưu ý đặc biệt

- GoChat là ứng dụng chat nội bộ do iSecurity phát triển, phân phối qua repo riêng
  (`/apt/isecos/pool/…/gochat-desktop…deb`). Nếu GoChat **dùng thư viện GPL link tĩnh**
  (ví dụ Qt GPL khi build tĩnh, hoặc nhúng mã GPL) thì toàn bộ GoChat mất tính độc quyền.
  **Kiểm tra build:** GoChat phải chỉ dùng (a) mã tự viết, (b) thư viện LGPL/ MIT/BSD/
  Apache, hoặc (c) Qt under LGPL/commercial. Kiểm tra `ldd` + danh sách dependency của
  gói .deb trước mỗi phát hành — thêm vào checklist RC.

---

## 5. Phần mềm không tự do / firmware (non-free)

**Trung thực quan trọng:** cấu hình build hiện tại bật
`--archive-areas "main contrib non-free non-free-firmware"` (`os/live-build/auto/config`).

| Thành phần | Giấy phép | Có trong ISO? | Đánh giá |
|---|---|---|---|
| **Firmware Wi-Fi/GPU (non-free-firmware)** — intel-microcode, amd64-microcode, firmware-iwlwifi, firmware-realtek, firmware-nvidia-graphics, … | Từng loại một: mostly **redistributable-firmware** (SCWH license), một số license riêng (nvidia EULA) | Chỉ khi cần cho phần cứng đích (lớn nhất là firmware Wi-Fi + microcode CPU — **thường có** trong ISO để máy thật chạy được; đây là chuẩn Debian 12+) | ✅ Hợp pháp: các license firmware đều cho phép **redistribution under conditions** (giữ license text, không modified). Debian đã rà và tách sẵn vào thành phần `non-free-firmware`. **Nghĩa vụ:** giữ nguyên file license trong gói (`/usr/share/doc/<fw>/copyright`) — gói Debian đã lo |
| **non-free (thành phần cũ)** | Đa dạng (EULA một số loại font, driver legacy) | Thực tế hồ sơ iSecOS không kéo gói non-free cụ thể nào ngoài firmware | ✅ Rà lại bằng lệnh mục 5.1 trước mỗi phát hành |
| **Driver độc quyền NVIDIA/AMD Catalyst** | EULA đóng | **KHÔNG có trong ISO mặc định** — chỉ firmware display basic (nếu có) | ✅ Giữ nguyên trạng thái này; máy cần GPU driver tải riêng (đã ghi trong `docs/HARDWARE-COMPAT.md` known issues) |

### 5.1. Quy trình kiểm chứng (mỗi lần phát hành ISO)

Chạy trên máy đã cài / trong chroot ISO:

```bash
# Liệt kê gói không thuộc "main" (nghĩa là contrib/non-free*)
grep-dctrl -s Package,Section /var/lib/dpkg/status | grep -B1 'Section: \(non-free\|contrib\)'
# Hoặc:
apt list --installed 2>/dev/null | while read p rest; do
  s=$(apt-cache show "${p%:*}" 2>/dev/null | awk '/^Section:/{print $2; exit}')
  case "$s" in non-free*|contrib*) echo "$p ($s)";; esac
done
```

Mọi gói hiện ra phải có dòng tương ứng trong bảng mục 5 (hoặc được cập nhật vào bảng
trước khi ship). Không được có gói có license "prohibit redistribution".

---

## 6. Phân tích nghĩa vụ GPL/LGPL

### 6.1. Chế độ phân phối của iSecOS

iSecOS **phân phối nhị phân** (ISO + repo apt + mirror) tới cơ quan người dùng cuối →
rơi vào định nghĩa **"convey/distribute"** của GPLv2 §3 / GPLv3 §6, **không** phải
"SaaS" (vì ISO chạy tại chỗ của người dùng).

### 6.2. Nghĩa vụ (đã thỏa mãn)

| Nghĩa vụ | Cách iSecOS thỏa mãn | Trạng thái |
|---|---|---|
| Cung cấp mã nguồn GPL tương ứng (GPLv2 §3a/§3b; GPLv3 §6) | **§3b — "Written offer" dạng hệ thống phân phối chuẩn:** source luôn tải công khai từ mirror Debian (`deb.debian.org/debian-source`) và từ mirror riêng `deb.isecos.isecurity.vn/` có `./source/` đầy đủ song song `./pool/`. Người dùng máy air-gap chỉ cần `deb-src` trỏ về mirror nội bộ | ✅ (cần bật cron mirror-daily — mục B.5 gap analysis) |
| Giữ nguyên thông báo bản quyền & license text (GPLv2 §1, GPLv3 §5) | Gói Debian nguyên bản giữ `/usr/share/doc/<pkg>/copyright`; hệ thống có `/usr/share/common-licenses/` đầy đủ (do gói `base-files` tạo) | ✅ |
| Không thêm hạn chế lên quyền của người dùng GPL (GPLv2 §6, GPLv3 §10) | EULA iSecOS (**EULA-vi.md / EULA-en.md**) quy định rõ: EULA chi phối **lớp độc quyền iSecOS**; phần GPL/MPL/Apache được điều chỉnh bởi giấy phép gốc và **không bị EULA hạn chế** (điều 5.2 EULA) | ✅ (bằng thiết kế EULA) |
| LGPL: cho phép thay thế thư viện + kèm notice | Thư viện LGPL là gói Debian riêng — người dùng có thể thay thế bằng apt từ mirror; notice có trong common-licenses | ✅ |
| MPL-2.0: kèm license file trong phân phối | Gói Debian nhúng notice + license trong `/usr/share/doc/<pkg>/` | ✅ |
| Apache-2.0: giữ NOTICE file khi phân phối | Gói CUPS/Google Authenticator PAM giữ nguyên NOTICE trong gói | ✅ |
| Trademark của upstream (không được ngụ ý bảo trợ) | Xem TRADEMARK-GUIDE.md mục 4 — attribution "Based on Debian GNU/Linux" | ✅ |

### 6.3. Vị trí nguồn phục vụ tuân thủ (source availability)

| Kênh | Địa chỉ | Ghi chú |
|---|---|---|
| Mirror Debian công khai | `https://deb.debian.org/debian/` (binary+source), `https://sources.debian.org` | Kênh dự phòng luôn khả dụng |
| **Mirror riêng iSecOS (chuẩn)** | `https://deb.isecos.isecurity.vn/` — debmirror giữ cả source | Air-gap friendly; suite `mota-x`, `mota-x-updates`; suite bảo mật `mota-x-security` tại `https://security.isecos.isecurity.vn/` |
| Repo iSecOS riêng | `https://apt.isecos.isecurity.vn/` (aptly, ký GPG `938CDF910A3E21FD`) | Chỉ chứa gói độc quyền — không có nghĩa vụ source GPL |

> **Quy trình:** đảm bảo `mirror-daily.timer` (`server/repo-sync/`) đang chạy và tùy chọn
> debmirror có `--source` (mặc định debmirror đồng bộ cả source — kiểm tra flag khi thay
> đổi script). Nếu vì dung lượng phải bỏ source, phải ghi rõ trong ISO tài liệu "Written
> offer" ghi đè: "Mã nguồn GPL được cung cấp theo yêu cầu trong 3 năm — email
> isecos@isecurity.vn" (thỏa GPLv2 §3b).

### 6.4. Kịch bản tương lai cần lưu ý

| Kịch bản | Nghĩa vụ phát sinh | Cách xử lý |
|---|---|---|
| Patch kernel (Secure Boot tự ký, hardening module) | Kernel = GPL-2.0 thuần → **bắt buộc public source** bản patch | Publish git tree/patch trên `isecos.isecurity.vn/source/kernel/` song song mỗi bản phát hành |
| Patch Chromium/Firefox (DLP watermark, telemetry blocker) | GPL-family → public source patch | Tương tự, `/source/chromium/` |
| Rebuild gói Debian (rebrand, cấu hình) | Chỉ đổi packaging (debian/) — vẫn phải cung cấp source của gói đã build (gồm các file debian/* đã sửa) | Publish nguyên .dsc + .tar.xz trên mirror riêng `/source/` |
| Nhúng GoChat chứa mã GPL | GoChat mất độc quyền | Kiểm tra mục 4.3 mỗi release |
| Bán máy cài sẵn (OEM) | Vẫn là "distribution" — nghĩa vụ như trên + EULA in kèm | Thêm bản EULA in + copyright file trong hệ thống (đã có — mục 7) |

---

## 7. Danh mục tuân thủ (Compliance Checklist)

**Trạng thái tại 06/11/2026:**

- [x] **Nguồn phần mềm GPL luôn sẵn có** — mirror Debian + mirror riêng có source
      (cần kích hoạt cron đồng bộ hằng ngày trên server — B.5 gap analysis)
- [x] **Không có driver độc quyền (proprietary drivers) trong bộ cài mặc định** — chỉ
      firmware tái phân phối hợp lệ từ `non-free-firmware` (mục 5); không có nvidia/
      catalyst driver đóng
- [x] **License text kèm theo hệ thống** — `/usr/share/common-licenses/` đầy đủ (Apache-2.0,
      Artistic, BSD, GPL-1/2/3, LGPL-2/2.1/3, MIT…) do gói `base-files` cài sẵn; mỗi gói có
      `/usr/share/doc/<pkg>/copyright`
- [x] **Thông báo bản quyền được giữ nguyên** — gói Debian nguyên bản, không repack
- [x] **EULA cho lớp thương hiệu iSecOS** — `docs/legal/EULA-vi.md`, `docs/legal/EULA-en.md`
- [x] **Không sửa gói GPL nào** → không phát sinh nghĩa vụ công khai thêm nguồn
- [x] **GoChat do iSecurity sở hữu** — quyền phân phối đầy đủ (kiểm tra dependency mỗi release)
- [x] **File `/usr/share/doc/isecos/copyright` trong ISO** — ĐÃ TẠO tại cả 2 profile:
      `os/live-build/config/includes.chroot/usr/share/doc/isecos/copyright` (desktop) và
      `os/live-build-server/config/includes.chroot/usr/share/doc/isecos/copyright`
      (server) — live-build tự nhúng vào mọi ISO build từ giờ; các ISO đã build trước đó
      chưa có, rebuild khi phát hành kế tiếp
- [ ] **Rà soát giấy phép font/wallpaper/branding tự tạo** — wallpaper + logo tự thiết kế
      (nếu thuê thiết kế ngoài: hợp đồng phải chuyển giao quyền tác giả — kiểm tra hợp đồng
      thiết kế; icon app isecos-*.svg do iSecurity vẽ)
- [ ] **Màn hình chấp nhận EULA trong installer (tùy chọn)** — hiện GTK installer không có
      bước license click-through (không bắt buộc về pháp lý vì EULA hiển thị khi đăng nhập
      portal + tài liệu; cân nhắc thêm ở 1.0)
- [ ] **Kiểm tra `unrar` license** mỗi lần nâng cấp gói (license unrar hạn chế — Debian xử
      lý sẵn nhưng cần theo dõi khi upstream đổi)
- [ ] **Tra cứu & đăng ký nhãn hiệu** — xem `docs/legal/TRADEMARK-GUIDE.md` (bước riêng)

**Quy trình phát hành (mỗi lần ship ISO — thêm vào `os/tools/phase1-sign.sh` hoặc checklist
build):**

1. Chạy lệnh rà non-free (mục 5.1) → đối chiếu bảng mục 5.
2. Xác nhận mirror riêng đang đồng bộ source (`/apt/os/` có `source/Sizes.gz`).
3. Xác nhận `/usr/share/doc/isecos/copyright` có mặt trong ISO build mới.
4. Đối chiếu `Packages` của repo aptly — gói mới nào đưa vào phải được phân loại
   (Độc quyền / GPL-cần-source).
5. Ghi nhận thay đổi vào mục 9 tài liệu này.

---

## 8. Nghĩa vụ còn tồn (việc cần làm)

| # | Việc | Ưu tiên | Ghi chú |
|---|---|---|---|
| 1 | Rebuild ISO kế tiếp có chứa `/usr/share/doc/isecos/copyright` | Cao | File đã tạo trong `includes.chroot` — tự động nhúng ở build sau |
| 2 | Kích hoạt `mirror-daily.timer` + kiểm tra debmirror giữ source | Cao | Điều kiện tiên quyết cho cam kết "source available" |
| 3 | Kiểm tra dependency/licensing của gochat-desktop (mục 4.3) | Cao | `ldd` + license audit trước RC |
| 4 | Hợp đồng chuyển giao quyền với nhà thiết kế branding (nếu thuê ngoài) | Trung bình | Wallpaper/logo hiện do nội bộ làm → rà lại hồ sơ |
| 5 | Thêm màn hình EULA vào GTK installer (click-through) | Trung bình | Tăng vị thế pháp lý EULA lớp độc quyền |
| 6 | Thiết lập `/source/` công khai cho các kịch bản patch tương lai | Thấp (chưa cần) — chuẩn bị khi bắt đầu patch kernel/Chromium | Mục 6.4 |
| 7 | Khảo sát người dùng nội bộ về nhu cầu source media vật lý (USB/DVD kèm source cho air-gap) | Thấp | Chỉ khi có yêu cầu từ cơ quan |

---

## 9. Nhật ký thay đổi tài liệu

| Ngày | Phiên bản | Thay đổi |
|---|---|---|
| 06/11/2026 | 1.0 | Bản đầu tiên — audit toàn bộ theo package-lists alpha6; tạo file copyright ISO; checklist mục 7 |

---

*Tài liệu này là hồ sơ nội bộ phục vụ phát hành thương mại. Khi có sự thay đổi danh mục
gói (`package-lists`), cập nhật lại bảng mục 2–3 và checklist mục 7 trước mỗi lần phát hành.
Góp ý: isecos@isecurity.vn*