如何保护你的软件免受专利流氓侵害
这是一个周二的早晨。Maya 是一家种子阶段金融科技初创公司的创始人，她打开了一封来自一家她从未听说过的律师事务所的挂号信。信中声称她的支付处理微服务侵犯了一项 14 个月前提交的宽泛软件专利。它要求支付一笔许可费，而这笔费用将耗尽她大部分的运营资金。
Maya 知道她的团队在 19 个月前就发布了完全相同的逻辑。提交记录就在 GitHub 上。但正如她的律师所指出的，Git 历史记录存放在一个她并不完全控制的服务器上，而且提交日期可以通过强制推送或服务器迁移来改写。内部日志是自说自话。专利流氓的律师会说：“拿出证据来。”
这就是密码学在先技术改变一切的时刻。如果 Maya 在开发时将她的 Git 提交哈希锚定到比特币区块链上，她就能出示一个数学上可验证的凭证，证明她的实现在专利申请之前就已存在。这个凭证不依赖于她的说法、她的服务器，也不依赖于她公司的持续存在。它依赖于比特币数学。
Timestamp GIT 将这种保护自动化。你只需安装一次 GitHub App，继续像往常一样提交代码，每晚你的提交哈希就会被批量处理，通过 OpenTimestamps 协议锚定到比特币，证明凭证会被推送回你的仓库。无需 CLI 工具，无需手动步骤，无需暴露源代码。
为什么开发者和合规团队需要密码学在先技术
传统的知识产权保护存在一个缺口。专利昂贵、缓慢且公开。内部版本控制日志便宜但容易被质疑。在法律纠纷中，法官或对方律师可能会以可篡改或自说自话为由驳回你的 Git 历史记录。即使你是诚实的，你也无法证明你没有改写日期。
具体的威胁是真实且有针对性的：
- 专利流氓就常见技术申请宽泛的专利，然后向事后“侵权”的初创公司、代理机构和企业索取和解金。如果你能证明你在他们申请日之前就实现了该技术，你就拥有了可以使其权利要求无效的在先技术。
- 员工纠纷会变成关于某个功能是何时构思的“各执一词”之争。密码学时间戳冻结了创造的时刻。
- 净室谬误发生在竞争对手声称他们独立开发了相同的功能时。如果你有不可变的证据证明你完成的逻辑在 18 个月前就已存在，这种说法就不攻自破。
- 脆弱的日志存放在 GitHub、GitLab 或内部服务器上，这些系统可能故障、被删除或被篡改。比特币锚定的时间戳是永久的，且独立于任何单一供应商。
对 Git 提交进行密码学时间戳提供了某一时间点的存在证明。该证明是你仓库状态的单向哈希，嵌入在比特币区块中。任何人都可以在不信任你、你的公司或时间戳服务的情况下验证它。如果你对这个概念还不熟悉，请参阅软件中的存在证明：初学者指南以获取更深入的背景介绍。
实用操作手册：使用 Timestamp GIT 保护你的代码库
你不需要理解 Merkle 树或比特币脚本来保护你的工作。Timestamp GIT（https://timestampgit.dev/）将整个协议隐藏在托管 GitHub App 的背后。以下是工作流程：
第 1 步：安装 Timestamp GIT GitHub App
前往 Timestamp GIT 网站，在你想要监控的仓库上安装 GitHub App。该应用需要对源仓库的只读访问权限（以便读取提交哈希），以及对存储证明的目标仓库的读写访问权限。你可以将证明存储在同一个仓库的专用分支中，也可以存储在单独的“影子”仓库中。这是一次性设置。
第 2 步：像往常一样继续提交
你的工作流程无需改变。每次你推送提交时，GitHub App 都会通过 webhook 检测到新的提交哈希。你的源代码永远不会离开 GitHub。Timestamp GIT 只处理每个提交的 SHA-1 或 SHA-256 哈希——是指纹，而不是内容。
第 3 步：每晚锚定到比特币
每晚，后台工作进程会汇总所有待处理的提交哈希，为每个仓库创建清单文件，构建 Merkle 树，并使用 OpenTimestamps 协议将 Merkle 根锚定到比特币区块中。比特币区块链上的确认通常需要几个小时。一旦确认，时间戳就是不可变的。系统随后会将清单和 .ots 凭证文件推送回你仓库中专门的时间戳分支。
你不需要运行任何命令。你不需要管理日程或等待确认。应用会处理一切。
第 4 步：用徽章和仪表板证明在先技术
在证明交付后，你可以在 README 中嵌入一个验证徽章，链接到公开的状态仪表板。仪表板会显示你的证明存续时间、最早锚定日期、每日规律性、比特币区块和交易数据、日历热力图，以及可下载的审计 CSV 和 PDF 证书。任何人都可以点击徽章并验证证明，而无需联系你。
对于企业或隔离环境，Timestamp GIT 提供两个额外选项：
- 企业 ZK 模式：一个 12 行的 GitHub Action 在你自己的基础设施上运行。它只将提交哈希推送到 Timestamp GIT API。源代码永远不会离开你的环境，服务甚至不需要对你源仓库的读取权限。
- Docker 自托管许可证：你可以自己运行整个应用程序。这对于最高安全性、合规要求或断网环境非常有用。快速启动如下：
services:
timestampgit:
image: rue1401/timestampgit:prod
ports:
- "8080:8080"
volumes:
- ./data:/app/data
restart: unless-stopped
valkey:
image: valkey/valkey:8
restart: unless-stopped
docker compose pull
docker compose up -d
docker compose logs -f timestampgit
启动后，向导会引导你连接 GitHub App 并配置实例。限时演示许可证可从 Docker 许可证页面获取。
防御专利流氓时应避免的事项
保护你的软件不仅关乎你做什么——也关乎你不做什么。
- **不要仅仅依赖内部版本控制日志。**它们可以被编辑，对方律师会将其视为自说自话而不予采信。你需要一个独立的、可验证的锚点。
- **避免手动时间戳方法。**有些人尝试运行原始的 OpenTimestamps 命令或手动管理比特币交易。这容易出错、耗时，而且无法在团队或多个仓库之间扩展。Timestamp GIT 是隐藏所有这些复杂性的托管替代方案。
- **不要等到威胁出现。**专利流氓的律师函到来时，再为过去创建在先技术线索已经太晚了。现在就开始时间戳，以便今后每个新提交都能自动受到保护。持续证明比一次性证明更有力。
- **警惕那些需要访问你源代码的服务。**你的代码是你的商业秘密。Timestamp GIT 使用零知识架构：它从不读取、复制或存储你的源代码。它只处理提交哈希。在企业 ZK 模式下，连哈希都是从你自己的基础设施推送的。
现实场景：不同受众如何受益
- 初创公司和创始人：在申请专利之前确保在先技术，通过证明知识产权成熟度来提高估值，并在不公开任何代码的情况下保护商业秘密。你可以向投资者展示一条不可变的开发里程碑轨迹。
- 开发工作室和代理机构：在付款纠纷中证明工作交付日期。如果客户声称你交付延迟或根本没有交付，锚定的提交哈希可以准确显示代码存在的时间。你还可以提供专业的作者身份 PDF 证书。
- 自由职业开发者：防止可复用的库代码被客户或竞争对手据为己有。每个提交都在数学上与日期绑定，因此你可以证明你在客户项目开始之前就编写了该工具函数。
- 公司：防止专利流氓就可能是商业秘密的内部系统索取赔偿。即使你从未公开代码，提交哈希在特定日期的存在本身就足以证明在先技术。
结论：将你的 Git 历史变成不可变的盾牌
Timestamp GIT 将你现有的 Git 工作流程转变为专利流氓防御工具，无需额外努力。你继续使用 GitHub。应用读取提交哈希，每晚将其锚定到比特币，并返回可验证的 .ots 凭证。你的证明是零知识的、供应商无关的，并且可以呈上法庭。即使 Timestamp GIT 明天消失，你也可以使用开放标准和比特币区块链在本地验证你的时间戳。
从今天开始：在公共仓库上免费安装 GitHub App，以每月 49 美元试用私有仓库的 Pro 计划，或以每月 199 美元探索企业 ZK。对于自托管环境，可以申请演示 Docker 许可证。不要等到收到律师函——现在就建立你的不可变在先技术轨迹。
常见问题：保护软件免受专利流氓侵害
问：对 Git 提交进行时间戳如何帮助对抗专利流氓？
答：时间戳创建了一个不可变的记录，证明你的代码在特定时间存在。如果专利流氓声称你侵犯了后来申请的专利，你可以将时间戳作为在先技术的证据，有可能使其权利要求无效。
问：时间戳在法律上被认可吗？
答：使用比特币区块链的密码学时间戳基于广泛接受的密码学标准，并已在法律场景中使用。Timestamp GIT 提供可验证凭证和 PDF 证书的法庭就绪证据。
问：我需要暴露源代码才能使用 Timestamp GIT 吗？
答：不需要。Timestamp GIT 使用零知识架构：它只处理提交哈希，从不处理你的实际源代码。在企业 ZK 模式下，连哈希都是通过 GitHub Action 从你的基础设施推送的。
问：如果 Timestamp GIT 倒闭了怎么办？我还能验证我的时间戳吗？
答：可以。证明基于开放标准（OpenTimestamps 和比特币）。你可以使用标准工具和比特币区块链独立验证它们，而无需依赖 Timestamp GIT 的服务器。
相关文章
