Arendaja tegi hävitavaid muudatusi NPM-pakettides colors ja faker, mida kasutatakse 20 000 projektis.

Marak Squires, populaarsete pakettide colors (node.js konsoolivärv) ja faker (valejate andmete generaator sisendiväljade jaoks) autor, millel on vastavalt 2,8 ja 25 miljonit nädalast allalaadimist, postitas NPM-repositooriumisse ja GitHubi uusi versioone oma toodetest, mis sisaldavad hävitavaid muudatusi, mis põhjustavad sihipäraselt ehitamise ja sõltuvate projektide käitamise rikkeid. Maraki tegevuse tõttu on paljude projektide, sealhulgas AWS CDK, töö häiritud, kasutades nimetatud teeke - teeki colors kasutatakse 18 953 projekti sõltuvusena, samas kui faker on 2 571-l.

Raamatukogu «colors» koodile on lisatud konsooli väljund tekstiga «LIBERTY LIBERTY LIBERTY» ja lõpmatu tsükkel, mis blokeerib sõltuvate projektide töö ning väljundib moonutatud sõnade voogu «tesing». Raamatukogust faker on kustutatud hoidla sisu, commitis «endgame» on lisatud failid .gitignore ja .npmignore projekti failide välistamiseks, ning README faili sisu on asendatud küsimusega «Mis tegelikult juhtus Aaron Swartziga». Probleemid esinevad versioonides colors 1.4.1+ ja faker 6.6.6.

GitHub blokeeris Maraki juurdepääsu oma hoidlatele (90 avalikku + mõned privaatsed) vastuseks tehtud toimingutele, ning NPM tagastas pahatahtliku paketi versiooni. Samuti on küsitav GitHubi tegevuse seaduslikkus, kuna arendaja koodi eemaldamist oma hoidlast ei saa käsitleda teenuse reeglite rikkumise kui sellisena. Rohkemgi veel, colors ja faker pakettide litsentsitekstis on selgelt märgitud, et puuduvad kõik garantiid ja kohustused koodi toimimise osas.

Huvitav, et esimene teade arendustegevuse lõpetamisest avaldati rohkem kui aasta tagasi. Septembris 2020 kaotas Marak kõik oma varad tulekahju tõttu, pärast mida novembri alguses nõudis äärmuslikus vormis, et tema projekte kasutavad äriettevõtted rahastaksid arenduse jätkamist, või muidu lubas ta lõpetada toe, kuna ei kavatse enam tasuta töötada. Enne juhtumit väljastati värskendused colorsi jaoks kaks aastat tagasi ja fakeri jaoks 9 kuud tagasi.

Mida puudutab hävitavate muudatuste paketisse viimise motiive, siis tõenäoliselt püüab Marak anda õppetunni korporatsioonidele, kes kasutavad avatud lähtekoodiga arendajate töö vilju, kuid ei anna midagi tagasi, või juhtida tähelepanu Aaron Swartzi surma asjaolude ümbermõtestamisele. Aaron lõpetas oma elu enesetapuga pärast sedasi esitatud kriminaalsüüdistust, mis oli seotud teadusartiklite kopeerimisega tasulistest andmebaasidest JSTOR, seistes silmitsi ideedega, et teaduslikud publikatsioonid peaksid olema vabalt kättesaadavad. Aaronile esitati süüdistused arvutimugavuse ja kaitstud arvutist teabe ebaseadusliku hankimise eest, mille maksimaalne karistus oli 50 aastat vangistust ja miljoni dollari suurune rahatrahv (kohtuotsuse saavutamisel ja süüdistuste tunnustamisel pidi Aaron veetma vanglas 6 kuud).

Arvatakse, et Aaron ei pidanud kohtusüsteemi survet ja esitatud süüdistuste ebaõiglust üle ning langes depressiooni. Talle ähvardas 50 aastat vangistust lihtsalt selle pärast, et ta laadis alla teadusartiklite andmebaasi sisu, millest ta arvas, et need peaksid olema piiranguteta kergesti kättesaadavad. Marak Squires viitas avaldatud artiklis Aaron Surma küsimuse ja Twitteri postituses kinnitamata vandenõuteooriale, mille kohaselt leidis Aaron Schwartz MIT arhiivist dokumente, mis kompromiteerisid teatud oluline isikuid, ja ta tapeti selle tõttu, maskeerides juhtumi enesetapuna (homme möödub 9 aastat, kui Aaron lahkus).

Allikas: opennet.ru