Как Пентагон и весь мир держится на одном разработчике из Подмосковья
⚡️ Как Пентагон и весь мир держится на одном разработчике из Подмосковья
Американская ИБ‑компания Hunted Labs обнаружила, что популярнейшая Node.js‑утилита fast‑glob, используемая в тысячах популярных проектов по всему миру, поддерживается всего одним человеком. Им оказался разработчик Денис Малиночкин, сотрудник "Яндекса", проживающий в Подмосковье.
На первый взгляд - типичная история open source. Но есть нюанс: fast‑glob скачали почти сто миллионов раз и как минимум в 30 проектах используется Министерством обороны США, включая образы из доверенного репозитория Iron Bank, который применяет Пентагон.
⭐️ Что делает fast‑glob особенным
- Это утилита для поиска файлов по шаблонам в файловой системе.
- Более 79 миллионов загрузок.
- Используется в 5000+ публичных проектах по всему миру.
😱 Потенциальные риски
Хейден Смит, соучредитель Hunted Labs, отметил:
Популярные проекты без внешнего контроля - это потенциальная точка входа для злоумышленников. Даже без уязвимостей они остаются опасными, если никто не знает, кто их поддерживает.
Исследователи предложили простой выход: добавить дополнительных сопровождающих и установить независимый контроль над проектом. В противном случае пользователям придётся искать альтернативы fast‑glob.
🎙 Комментарии разработчика
Денис Малиночкин подтвердил, что он единственный автор fast-glob и поддерживает проект с 2016 года:
Проект был создан до моей работы в Яндексе и никогда не связан с моими профессиональными обязанностями. Fast-glob работает полностью локально, и никто не просил меня внедрять скрытые функции или собирать данные. Я считаю, что open source строится на доверии и прозрачности.
Разработчик подчеркнул, что утилита полностью открыта: любой желающий может проверить исходный код на GitHub или через npm.
История fast-glob - пример современной цепочки поставок ПО, где критические решения могут зависеть от одного человека. Ситуация выглядит особенно иронично на фоне директив Пентагона по запрету закупки ПО, подверженного иностранному влиянию.
🔥 Telegram: t.me/pmbbk