Marak Squires, autor populárnych balíkov colors (farebnosť konzoly node.js) a faker (generátor fiktívnych údajov pre vstupné polia), zaznamenávajúcich 2,8 a 25 miliónov týždenných sťahovaní, zverejnil v repozitári NPM a na GitHub nové verzie svojich produktov, ktoré obsahujú destruktívne zmeny, cielene spôsobujúce zlyhania na štádiu zostavenia a vykonania závislých projektov. V dôsledku činov Maraka došlo k narušeniu fungovania mnohých projektov, vrátane AWS CDK, ktoré používajú uvedené knižnice — knižnica colors je používaná ako závislosť v 18953 projektoch, zatiaľ čo faker v 2571.
Do kódu knižnice „colors“ bol pridaný výstup do konzoly textu „LIBERTY LIBERTY LIBERTY“ a nekonečný cyklus, ktorý blokuje fungovanie závislých projektov a zobrazuje tok zdeformovaných slov „tesing“. V knižnici faker bolo odstránené obsah repozitára, v commite „endgame“ boli pridané súbory .gitignore a .npmignore na vylúčenie súborov projektu, a namiesto obsahu súboru README sa objavil otázka „Čo sa naozaj prihodilo Aaronu Schwartzovi“. Problémy sa vyskytujú vo verziách colors 1.4.1+ a faker 6.6.6.
V odpovedi na spáchané činy GitHub zablokoval prístup Maraka k svojim repozitárom (90 verejných + niekoľko súkromných), a NPM vrátil škodlivú verziu balíka. Pri tom sa zákonnosť činností GitHubu dostáva pod otázku, pretože odstránenie kódu vývojárom z jedného zo svojich repozitárov nemôže byť považované za porušenie pravidiel služby. Navyše, v texte licencie na balíky colors a faker je jasne uvedené, že neexistujú žiadne záruky a záväzky týkajúce sa funkčnosti kódu.
Zaujímavé je, že prvé varovanie o zastavení vývoja bolo zverejnené pred viac ako rokom. V septembri 2020 Marak stratil všetok majetok kvôli požiaru, a po ňom začiatkom novembra v ultimátne forme vyzval komerčné spoločnosti, ktoré používajú jeho projekty, aby financovali pokračovanie vývoja, inak sľúbil, že prestane s jeho údržbou, pretože už nechce pracovať zadarmo. Pred incidentom bola posledná verzia colors vydaná pred dvoma rokmi a faker pred deviatimi mesiacmi.
Čo sa týka motivov na zavedenie deštruktívnych zmien do balíkov, pravdepodobne sa Marak snaží poučiť korporácie, ktoré využívajú prácu komunity vývojárov voľného softvéru, ale nič nevracajú späť, alebo upútať pozornosť na prehodnotenie okolností smrti Aarona Shwarca. Aaron spáchal samovraždu po tom, čo proti nemu bolo vznesené trestné stíhanie za kopírovanie vedeckých článkov z platených databáz JSTOR, pričom presadzoval myšlienku poskytovania voľného prístupu k vedeckým publikáciám. Aaronovi boli vznesené obvinenia z počítačového podvodu a nezákonného získavania informácií z chráneného počítača, maximálny trest za čo mohol byť 50 rokov odňatia slobody a pokuta milion dolárov (v prípade uzavretia súdneho zmorenia a priznania sa obvineniam mal Aaron stráviť v base 6 mesiacov).
Predpokladá sa, že Aaron v stave depresie neuniesol tlak súdneho systému a nespravodlivosti vznesených obvinení (hrozilo mu 50 rokov vo väzení len za to, že stiahol obsah databázy vedeckých článkov, ktoré by podľa neho mali byť distribuované bez obmedzení). Marak Squires vo svojom publikovanom príspevku namiesto stiahnutého kódu o smrti Aarona a v príspevku na Twitteri naznačuje nepotvrdenú konšpiračnú teóriu, podľa ktorej Aaron Schwartz našiel v archíve MIT nejaké dokumenty, ktoré kompromitujú určité dôležité osoby, a za to ho zabili, zamaskujúc jeho smrť ako samovraždu (zajtra uplynie 9 rokov, čo Aaron odišiel zo života).
Zdroj: opennet.ru
