Marak Squires, autorul pachetelor populare colors (colorarea consolei node.js) și faker (generatorul de date fictive pentru câmpuri de intrare), care au 2,8 și 25 de milioane de descărcări săptămânale, a publicat în depozitul NPM și pe GitHub noi versiuni ale produselor sale, conținând modificări disruptive, menite să cauzeze erori în faza de compilare și execuție a proiectelor dependente. Acțiunile lui Marak au perturba funcționarea multor proiecte, inclusiv AWS CDK, care folosesc bibliotecile menționate — biblioteca colors este utilizată ca dependență în 18953 de proiecte, iar faker în 2571.
În codul bibliotecii «colors» a fost inclusă o ieșire în consolă a textului «LIBERTY LIBERTY LIBERTY» și un ciclu infinit, blocând funcționarea proiectelor dependente și generând un flux de cuvinte distorsionate «tesing». În biblioteca faker, conținutul depozitului a fost eliminat, în commit-ul «endgame» au fost adăugate fișiere .gitignore și .npmignore pentru a exclude fișierele proiectului, iar în locul conținutului fișierului README a fost plasată întrebarea «Ce s-a întâmplat cu adevărat cu Aaron Schwartz». Problemele sunt prezente în versiunile colors 1.4.1+ și faker 6.6.6.
Ca răspuns la acțiunile efectuate, GitHub a blocat accesul lui Marak la depozitele sale (90 publice + câteva private), iar NPM a revenit la versiunea necorespunzătoare a pachetului. Totuși, legalitatea acțiunilor GitHub ridică semne de întrebare, deoarece eliminarea codului de către dezvoltator din unul dintre depozitele sale nu poate fi considerată o încălcare a regulilor serviciului. Mai mult, în textul licenței pentru pachetele colors și faker este clar menționată absența oricăror garanții sau obligații referitoare la funcționalitatea codului.
Este interesant că prima avertizare privind oprirea dezvoltării a fost publicată acum mai bine de un an. În septembrie 2020, Marak a pierdut toate bunurile din cauza unui incendiu, după care, la începutul lunii noiembrie, în mod ultimativ, a invitat companiile comerciale care folosesc proiectele sale să finanțeze continuarea dezvoltării, altfel a promis că va opri suportul, dat fiind că nu intenționează să mai lucreze gratuit. Până la incident, ultima versiune a colors a fost lansată acum doi ani, iar faker acum nouă luni.
Referitor la motivele introducerii unor modificări dăunătoare în pachete, se pare că Marak încearcă să ofere o lecție corporațiilor care profită de munca comunității dezvoltatorilor de software liber, dar nu oferă nimic în schimb, sau să atragă atenția asupra reevaluării circumstanțelor morții lui Aaron Swartz. Aaron s-a sinucis după ce a fost deschis un caz penal împotriva lui, legat de copierea articolelor științifice dintr-o bază de date plătită JSTOR, promovând ideea de acces liber la publicațiile științifice. Lui Aaron i-au fost aduse acuzații de fraudă informatică și acces ilegal la informații de pe un computer protejat, fiind supus unei pedepse maxime de 50 de ani de închisoare și o amendă de un milion de dolari (în cazul în care ar fi acceptat un acord judiciar și ar fi recunoscut acuzațiile, lui Aaron i-ar fi fost impusă o condamnare de 6 luni de închisoare).
Se consideră că Aaron, pe fondul depresiei, nu a suportat presiunea sistemului judiciar și nedreptatea acuzațiilor formulate (îi era amenințat cu 50 de ani de închisoare doar pentru că a descărcat conținutul unei baze de date de articole științifice, care, în opinia sa, ar trebui să fie distribuite fără restricții). Marak Squires, în întrebarea publicată în locul codului șters referitor la moartea lui Aaron și într-o postare pe Twitter, sugerează o teorie a conspirației neconfirmată, conform căreia Aaron Swartz ar fi găsit în arhivele MIT unele documente compromițătoare pentru anumite persoane importante și a fost ucis pentru aceasta, ascunzându-se apariția sub forma unei sinucideri (mâine se împlinesc 9 ani de când Aaron a plecat din viață).
Sursa: opennet.ro
