Саботаж в проект с отворен код

Един наистина изненадващ инцидент, който се случи през последните дни, подчерта колко уязвима може да бъде веригата за доставки на SW/HW и колко малка подкрепа имат някои отворени проекти (въпреки важността им). И това е, че Марак Скуайърс, програмист и отговарящ за поддръжката на проект с отворен код, саботира собственото си хранилище в знак на протест за неплатена работа и неуспешни опити за монетизиране на пакетите faker.js и color.js на NPM, които се използват в голямо разнообразие от проекти, а те от своя страна са взаимозависими от други екосистеми или ресурси.

Този инцидент подчертава проблем сериозен проблем, който остава нерешен за веригата за доставка на софтуер, а той е, че кодът, който ще се окаже в компютрите по целия свят, не може да бъде контролиран на 100%. Но това не е проблем с отворен код, в собствения софтуер контролът е още по-малък, а възможността за коригиране, ако е направено умишлено от разработчика, е нулева.

Както знаете, NPM не е нещо второстепенно, а за Мениджър на пакети Node.js, е най-големият софтуерен регистър в света, със стотици хиляди пакети. Той е безплатен за използване и с него могат да бъдат изтеглени тонове скриптове и библиотеки на трети страни.

За засегнатите пакети, цветове.js е пакет с милиони изтегляния, използван от разработчиците на JavaScript и Node.js за получаване на персонализирани цветове и стилове в конзолата. В GitHub има 4.3 милиона проекта, които го използват. В този случай беше въведен злонамерен код, който предизвика безкраен цикъл.

Освен това, faker.js е друг пакет, използван от около 168.000 XNUMX проекта. В него той постави съобщение: endgame (край на играта). От друга страна, страницата също беше изтрита, въпреки че едно от решенията беше да ги извлечем от archive.org.

Това какво може да изглежда като практична шега на пръв поглед, имаше последствия за зависими проекти. Също така, Squires не е единственият поддържащ на това репо, но той блокира достъпа на други поддържащи, за да се увери, че никой не може да коригира действието му.

Разработчикът, който саботира този отворен код, публикува в личния си блог, че го е направил, защото никоя компания не е подкрепяла финансово color.js и faker.js. Месечните абонаментни планове, които започна, не проработиха и той получи само няколко дарения чрез спонсорство от GitHub и няколко колеги. Трудна ситуация, която завърши с проблем за мнозина.

Всичко това предизвика дебат в Twitter с недоброжелатели и поддръжници на отворения код. Мнозина също се опасяват, че поддържащите отворен код ще вземат примера и ще направят същото с други проекти, ако частните организации, които използват кода, не помогнат финансово.