Ein Open-Source-Entwickler hat gerade eine ganze Menge Chaos verursacht, indem er zwei seiner eigenen Apps vernichtet hat
Der exzentrische Entwickler hinter zwei äußerst beliebten Open-Source-NPM-Codierungsbibliotheken hat sie kürzlich mit einer Reihe bizarrer Updates beschädigt – eine Entscheidung, die dazu geführt hat, dass Scharen von Projekten gemauert wurden, die sich auf ihre Unterstützung verlassen haben.
Marak Squires ist der Schöpfer hinter den beliebten JavaScript-Bibliotheken Faker und Colors – die Schlüsselinstrumente für Entwickler in ihren verschiedenen Programmierprojekten sind. Um Ihnen eine Vorstellung davon zu geben, wie weit verbreitet diese sind, sieht Colors Berichten zufolge mehr als 20 Millionen Downloads pro Woche und Faker erhält etwa 2 Millionen. Es genügt zu sagen, dass sie viel genutzt werden.
Squires traf jedoch kürzlich die bizarre Entscheidung, all das durcheinander zu bringen, als er eine Reihe böswilliger Updates ausführte, die die Bibliotheken durcheinander brachten – und eine ganze Menge abhängiger Projekte mit sich nahmen. Im Fall von Colors schickte Squires ein Update, das dazu führte, dass der Quellcode in eine endlose Wiederholungsschleife ging. Dies führte dazu, dass Apps, die es verwendeten, den Text „Liberty Liberty Liberty“ ausgaben, gefolgt von einer Flut bedeutungsloser, verstümmelter Daten, die ihre Funktionalität effektiv lahmlegten. Mit Faker wurde kürzlich ein neues Update eingeführt, das im Grunde den gesamten Code der Bibliothek zerstörte. Squires kündigte daraufhin an, dass er das Programm nicht länger „kostenlos“ aufrechterhalten werde.
Die ganze Episode, die Entwickler, die auf beide Programme angewiesen sind, in Panik versetzte, scheint zuerst von Forschern bei Snyk , einem Open-Source-Sicherheitsunternehmen, sowie BleepingComputer beobachtet worden zu sein .
Laut diesen Quellen verlassen sich etwa 20.000 Programmierprojekte für ihre Arbeit auf diese Bibliotheken, und als Ergebnis der jüngsten Commits wurden viele von ihnen nun effektiv „gemauert“ – oder, um es mit Laien auszudrücken, sie sind am Arsch. („Bricking“ ist der Fachbegriff dafür, wenn eine Hardware durch ein Softwareproblem oder einen anderen Schaden beschädigt und unbrauchbar wird.)
Das Verwirrendste an dieser ganzen Episode ist, dass nicht ganz klar ist, warum Squires das getan hat. Einige Online-Kommentatoren führten die Entscheidung auf einen Blogbeitrag zurück , den er 2020 veröffentlichte und in dem er gegen die Verwendung von Open-Source-Code durch große Unternehmen von Entwicklern wie ihm wetterte. Es ist wahr, dass amerikanische Unternehmen dazu neigen, finanzielle Einsparungen zu erzielen , indem sie frei verfügbare Codierungstools ausnutzen (sehen Sie sich zum Beispiel nur das jüngste log4j-Debakel an), aber wenn Sie ein Open-Source-Codierer sind, würden Sie das angeblich wissen und erwarten.
Tatsächlich scheint die Art und Weise, wie Squires seine Bibliotheken geblitzt hat, sich einer einfachen Erklärung zu widersetzen. Zum einen wurden die Commits, die die Bibliotheken durcheinander brachten, von seltsamen Textdateien begleitet, die im Fall des Faker-Updates auf Aaron Swartz verwiesen. Swartz ist ein bekannter Computerprogrammierer, der 2013 nach einem offensichtlichen Selbstmord tot in seiner Wohnung aufgefunden wurde . Squires machte etwa zur Zeit der böswilligen Commits auch eine Reihe anderer seltsamer öffentlicher Hinweise auf Swartz.
„NPM ist zu einer früheren Version des Pakets faker.js zurückgekehrt und Github hat meinen Zugriff auf alle öffentlichen und privaten Projekte gesperrt. Ich habe 100 Projekte. #AaronSwartz “, twitterte Squires am 6. Januar. Tage bevor die Nachricht über die Massenmauerung bekannt wurde, twitterte Squires auch über Swartz und teilte einen Reddit-Thread , der seinen Tod mit der kürzlich verurteilten Sexhändlerin Ghislaine Maxwell in Verbindung brachte.
Die jüngste Wendung der Ereignisse spornte auch Online-Spekulationen darüber an, ob Squires dieselbe Person ist, die wegen rücksichtsloser Gefährdung im Jahr 2020 angeklagt wurde , als ein Brand in einem Wohnhaus in Queens, das einem „Marak Squires“ gehörte, die Ermittler dazu veranlasste, ein Versteck selbstgemachter Bomben zu entdecken - Materialien herstellen. Eine Reihe von Leuten kommentierte am Montag die offensichtliche Verbindung von Squires zu diesem Vorfall: „Ich persönlich habe nach diesem Vorfall begonnen, wann immer möglich, alle Sachen von Marak aus meinen Projekten zu entfernen“, twitterte Nathan Peck, ein Entwickler bei AWS Cloud, in Bezug auf die „ Bombe“ Folge. "Der Typ ist nicht stabil und ich würde seinem Code in nichts vertrauen." Gizmodo konnte jedoch keine unabhängige Bestätigung dafür finden, dass die Bomben-Squires und die Codierungs-Squires ein und dasselbe sind.
Auf jeden Fall ist es eine sehr seltsame Geschichte – und eine, die sich an dieser Stelle nicht besonders gelöst anfühlt. Daher haben wir Squires um einen Kommentar gebeten und werden diese Geschichte aktualisieren, wenn er antwortet.
