Qee cov neeg tsim tawm tau fouling li qhib software

Ib qho amazing tshaj plaws txog qhov qhib-qhov tsis yog tias nws tsim software zoo. Nws yog tias ntau tus neeg tsim khoom tso lawv cov egos ib sab los tsim cov kev pab cuam zoo nrog kev pab ntawm lwm tus. Tam sim no, txawm li cas los xij, ib tug puv tes ntawm cov programmers tau tso lawv tus kheej kev txhawj xeeb ua ntej ntawm qhov zoo ntawm ntau thiab muaj peev xwm ua rau qhib qhov software rau txhua tus.

Piv txwv li, JavaScript tus neeg saib xyuas pob khoom RIAEvangelist, Brandon Nozaki Miller, sau thiab luam tawm ib qho qhib-code npm qhov chaw-code pob hu ua peacenotwar. Nws ua me ntsis tab sis luam tawm cov lus rau kev thaj yeeb rau desktops. Txog tam sim no, thiaj li tsis mob. 

Miller mam li tso cov lej phem rau hauv pob los sau cov neeg siv cov ntaub ntawv yog tias lawv lub khoos phis tawj muaj Russia lossis Belarus IP chaw nyob. Tom qab ntawd nws ntxiv nws raws li kev cia siab rau nws cov neeg nyiam npe-ipc kev pab cuam thiab instant chaos! Ntau lub servers thiab PCs tau poob qis thaum lawv hloov kho mus rau qhov tshiab tshaj plaws thiab tom qab ntawd lawv cov tshuab tau lawv cov tsav tshem tawm. 

Miller txoj kev tiv thaiv, "Qhov no yog tag nrho cov pej xeem, ntaub ntawv, ntawv tso cai thiab qhib qhov chaw, ”tsis tuav. 

Liran Tal, tus Snyk Tus kws tshawb fawb uas tau nthuav tawm qhov teeb meem tau hais tias, "Txawm tias qhov kev txiav txim siab thiab txaus ntshai [yog] pom los ntawm qee tus neeg ua txhaum cai ntawm kev tawm tsam, Qhov ntawd cuam tshuam li cas rau tus saib xyuas lub koob npe yav tom ntej thiab koom nrog hauv zej zog tsim tawm? Tus neeg saib xyuas no puas yuav tau txais kev ntseeg dua ntxiv kom tsis txhob ua raws li kev coj ua yav tom ntej hauv kev ua phem lossis kev ua phem ntxiv rau ib qho haujlwm uas lawv koom nrog? 

Miller tsis yog random crank. Nws tau tsim ntau tus lej zoo, xws li node-ipc, thiab Node HTTP Server. Tab sis, koj puas tuaj yeem ntseeg ib qho ntawm nws cov cai kom tsis txhob ua phem? Thaum nws piav nws li "tsis yog malware, [tab sis] tawm tsam cov ntaub ntawv uas tau sau tag nrho," lwm tus venomously tsis pom zoo. 

Raws li ib tug GitHub programmer sau, "Yuav ua li cas yuav tshwm sim nrog qhov no yog hais tias cov kev ruaj ntseg pab pawg nyob rau hauv Western corporations uas tsis muaj dab tsi kiag li ua rau Russia los yog kev nom kev tswv yuav pib pom. dawb thiab qhib-qhov software ua ib txoj hauv kev rau kev tawm tsam cov saw hlau (uas qhov no yog tag nrho) thiab tsuas yog pib txwv tsis pub dawb thiab qhib software - txhua qhov pub dawb thiab qhib software - hauv lawv cov tuam txhab. " 

Raws li lwm tus tsim tawm GitHub nrog tus kov nm17 sau, "Lub kev ntseeg siab ntawm qhov chaw qhib, uas yog raws li lub siab nyiam ntawm cov neeg tsim khoom tam sim no tau ua dhau los, thiab tam sim no, ntau thiab ntau tus neeg tau paub tias muaj ib hnub, lawv lub tsev qiv ntawv / daim ntawv thov tuaj yeem raug siv los ua / hais dab tsi qee qhov random dev hauv internet xav ' yog qhov uas lawv ua.'

Ob leeg ua cov ntsiab lus siv tau. Thaum koj tsis tuaj yeem siv qhov chaws tshwj tsis yog tias koj pom zoo nrog kev nom kev tswv ntawm nws tus tsim, koj tuaj yeem siv nws li cas nrog kev ntseeg siab? 

Miller lub siab yuav nyob rau hauv qhov chaw - Slava Ukraini! - tab sis yog qhib-qhov software kis nrog lub siab phem payload txoj hauv kev los tiv thaiv Russia txoj kev ntxeem tau ntawm Ukraine? Tsis yog, tsis yog. 

Txoj kev qhib-qhov tsuas yog ua haujlwm vim peb ntseeg ib leeg. Thaum qhov kev ntseeg ntawd tawg, tsis muaj teeb meem vim li cas, ces qhib qhov chaw lub hauv paus ntsiab lus tawg. Raws li Greg Kroah-Hartman, tus tswj hwm Linux ntsiav rau cov ceg ruaj khov, tau hais tias thaum cov tub ntxhais kawm los ntawm University of Minnesota txhob txwm sim ntxig cov lej phem hauv Linux ntsiav rau kev sim hauv 2021 hais tias, "Qhov lawv ua yog txhob txwm ua phem rau tus cwj pwm thiab tsis tau txais thiab tsis ncaj ncees kiag li. "

Tib neeg tau sib cav ntev tias qhov qhib-qhov yuav tsum suav nrog kev coj ncaj ncees thiab. Piv txwv li, xyoo 2009 Exception General Public License (eGPL), ib qho kev hloov kho ntawm lub GPLv2, sim txwv "kev zam," xws li cov neeg siv tub rog thiab cov neeg muag khoom, los ntawm kev siv nws cov cai. Nws ua tsis tiav. Lwm daim ntawv tso cai xws li cov JSON daim ntawv tso cai nrog nws cov lus tsis txaus ntseeg "lub software yuav tsum siv rau qhov zoo, tsis yog phem" clause tseem nyob ib puag ncig, tab sis tsis muaj leej twg tswj hwm nws.  

Tsis ntev los no, tus neeg ua haujlwm thiab tus tsim software Coraline Ada Ehmke tau qhia txog daim ntawv tso cai qhib uas xav kom nws cov neeg siv coj ncaj ncees. Tshwj xeeb, nws Hippocratic daim ntawv tso cai ntxiv rau MIT open-source license ib nqe lus hais tias: 

"Lub software yuav tsis raug siv los ntawm cov tib neeg, cov tuam txhab, tsoomfwv, lossis lwm pab pawg rau cov txheej txheem lossis cov haujlwm uas nquag thiab paub txog kev phom sij, tsim kev puas tsuaj, lossis ua rau muaj kev hem thawj rau lub cev, lub hlwb, kev lag luam, lossis kev noj qab haus huv ntawm cov tib neeg tsis muaj zog lossis pab pawg hauv ua txhaum cai ntawm United Nations Universal Tshaj Tawm ntawm Tib Neeg Txoj Cai. "

Suab zoo, tab sis nws tsis yog qhib qhov chaw. Koj pom, qhib qhov chaw yog nyob rau hauv thiab ntawm nws tus kheej txoj haujlwm ncaj ncees. Nws ethics muaj nyob rau hauv lub Dawb Software Foundation's (FSF)'s Plaub Txoj Kev ywj pheej tseem ceeb. Qhov no yog lub hauv paus rau txhua daim ntawv tso cai qhib thiab lawv lub tswv yim tseem ceeb. Raws li tus kws tshaj lij kev cai lij choj qhib thiab Columbia tus kws lij choj Eben Moglen, tau hais thaum lub sijhawm tias daim ntawv tso cai ncaj ncees tsis tuaj yeem yog software dawb lossis qhib cov ntawv tso cai: 

"Kev ywj pheej zero, txoj cai los khiav qhov kev pab cuam rau txhua lub hom phiaj, los ua ntej ntawm plaub txoj kev ywj pheej vim hais tias yog cov neeg siv tsis muaj txoj cai ntawd hais txog cov khoos phis tawj uas lawv khiav, lawv thaum kawg lawv tsis muaj cai nyob rau hauv cov kev pab cuam txhua. Kev siv zog tso cai rau kev siv zoo xwb, lossis txwv tsis pub cov neeg phem nyob hauv lub qhov muag ntawm tus neeg tso cai, ua txhaum txoj cai los tiv thaiv kev ywj pheej xoom. " 

Hauv lwm lo lus, yog tias koj tsis tuaj yeem qhia koj cov lej vim li cas, koj cov lej tsis yog qhov qhib tiag tiag. 

Lwm qhov kev sib cav ntau ntxiv txog kev txwv ib pab pawg los ntawm kev siv cov software qhib yog qhov thaiv ntawm qee yam xws li IP chaw nyob yog qhov dav heev. Raws li Florian Roth, tuam txhab kev ruaj ntseg Nextron Systems' Tus Thawj Saib Xyuas Kev Tshawb Fawb, uas tau txiav txim siab "disabling kuv cov cuab yeej dawb ntawm cov tshuab nrog qee yam lus thiab lub sijhawm teem caij,” thaum kawg txiav txim siab tsis ua. Vim li cas? Vim yog ua li ntawd, "peb kuj tseem yuav lov tes taw cov cuab yeej ntawm cov tshuab ntawm cov neeg thuam thiab cov neeg xav ywj pheej uas rau txim rau cov kev ua ntawm lawv tsoom fwv. " 

Hmoov tsis zoo, nws tsis yog tib neeg sim siv qhov chaw qhib rau qhov lawv pom tias yog lub hom phiaj zoo dua qub uas ua rau muaj teeb meem rau cov software qhib. 

Nyuam qhuav pib lub xyoo no, JavaScript tus tsim Marak Squires txhob txwm ua phem rau nws qhov tsis meej, tab sis tseem ceeb heev qhib qhov chaw Javascript qiv 'colors.js' thiab 'faker.js." Qhov tshwm sim? Kaum tawm txhiab tus JavaScript cov kev pab cuam tawg.

Vim li cas? Nws tseem tsis tau meej meej, tab sis nyob rau hauv kev tshaj tawm txij li GitHub tshem tawm, Squires tau sau tias, "Kev hwm, Kuv yuav tsis txhawb nqa Fortune 500s lawm (thiab lwm cov tuam txhab me me) nrog kuv ua haujlwm dawb. Tsis muaj lwm yam hais. Siv qhov no los ua ib lub sijhawm los xa kuv daim ntawv cog lus rau xyoo ib xyoos lossis fork qhov project thiab kom lwm tus ua haujlwm rau nws. " Raws li koj tuaj yeem xav, qhov kev sim blackmail nws txoj kev mus rau daim tshev nyiaj tsis ua haujlwm zoo rau nws. 

Thiab, tom qab ntawd muaj cov neeg txhob txwm tso malware rau hauv lawv qhov qhib-qhov chaws kom lom zem thiab tau txais txiaj ntsig. Piv txwv li, lub tuam txhab kev ruaj ntseg DevOps JFrog nrhiav tau 17 cov pob ntawv phem JavaScript tshiab hauv NPM qhov chaw cia khoom uas txhob txwm ua phem thiab nyiag tus neeg siv Discord tokens. Tom qab ntawd cov no tuaj yeem siv rau ntawm qhov Tsis sib haum xeeb kev sib txuas lus thiab digital faib platform.

Dhau li ntawm tsim cov kev pab cuam qhib qhov tsis zoo tshiab uas zoo li dawb huv thiab pab tau, lwm tus neeg tawm tsam tau noj cov qub, tso tseg software thiab rov sau lawv kom suav nrog crypto npib nyiag rov qab. Ib qho kev pab cuam xws li kev tshwm sim-kwj. Nws muaj cov lej tsis zoo tso rau hauv nws kom nyiag bitcoin hnab nyiaj thiab hloov lawv cov nyiaj tshuav mus rau Kuala Lumpur server. Muaj ob peb lub sijhawm zoo sib xws hauv lub xyoo.

Nrog rau txhua qhov kev txav no, kev ntseeg hauv cov software qhib tau poob qis. Txij li thaum qhib qhov chaw yog qhov tseem ceeb rau lub ntiaj teb niaj hnub no, qhov no yog qhov tsis zoo. 

Peb yuav ua li cas txog nws? Zoo, rau ib qho, peb yuav tsum tau ua tib zoo xav txog qhov tseeb thaum, yog tias puas tau, peb yuav tsum thaiv kev siv cov lej qhib. 

Ntau lub suab, peb yuav tsum pib txais kev siv ntawm Linux Foundation's Software Package Data Exchange (SPDX) thiab Software Bill of Materials (SBOM). Ua ke cov no yuav qhia rau peb paub tseeb tias peb siv cov lej twg hauv peb cov kev pab cuam thiab qhov twg nws tuaj. Tom qab ntawd, peb yuav muaj peev xwm txiav txim siab paub ntau ntxiv.

Niaj hnub no, txhua tus-rau-feem ntau cov neeg siv qhib qhov chaws tsis paub meej tias lawv tab tom khiav dab tsi lossis tshawb xyuas nws rau cov teeb meem. Lawv xav tias txhua yam zoo nrog nws. Qhov ntawd yeej tsis yog qhov kev xav ntse. Niaj hnub no, nws yog downright ruam. 

Txawm hais tias tag nrho cov kev hloov pauv tsis ntev los no, qhib-qhov tseem yog qhov zoo dua thiab muaj kev nyab xeeb dua li cov txheej txheem black-box proprietary software. Txawm li cas los xij, peb yuav tsum kuaj xyuas thiab txheeb xyuas cov lej tsis yog qhov muag tsis pom kev ntseeg nws. Nws yog tib yam ntse uas yuav ua mus tom ntej.

Yam Dab Neeg: