Názory k článku
Vývojář souzen za „kill-switch“ v kódu, který se aktivoval po jeho propuštění

Ah, slabej to programátor.... mal urobiť knižnicu na mieru pre ich riešenie, nechať nech jeho firma to začne používať bez toho aby vedela že autorom knižnice je ich zamestnanec, a po vyhadzove vydať update čo by prepašoval kill-switch do ich projektu. Git blame by nič neprozradil...

Navyše ma prekvapuje, jeho firma nemá policy povinný review od iných ľudí? Toto je asi aj chyba firmy.

12. 3. 2025, 20:23 editováno autorem komentáře

Uz jsem zazil nekolik neumyslnych kill switchu stylu "zase nejakej blbec disabloval systemovej ucet, tak nez to probubla pres tri helpdesky a v Indii skonci buchvijakej svatek, tak tam Pepa zatim dal svuj ucet aby to fungovalo" nebo "uz 3 tejdny se ceka, az konecne projde procesem objednavka na novej virtual, tak to Franta zatim pustil na jeho stanici", nebo treba takovy krasny case pro letopocet, ktery konci letos.

Cimz chci rict nejen, ze by se to dit nemelo (neuveritelny neporadek v procesech), ale predevsim to, ze pokud ten clobrda byl odsouzen (neboli ani netusi, co to je plausible deniality, pro kterou je tu opravdu latka neuveritelne nizko pri bezne kvalite korporatni programatorske prace), tak musi byt opravdu rozumu mdleho...

P.S. Pokud se v tom nektery ze zamestnancu ceskych korporatu poznal, tak je to opravdu jen nahoda, a fakt tenhle bordel neni jen u tebe ve firme ;-)

literatura: https://hovnokod.cz/

Pokiaľ som vyrozumel, tak inštaloval malware napísaný v Jave na nejaké ich firemné servery, ktorý bežal v slučke a kradol procesorový čas. A potom malware, ktorý kontroloval, či je jeho účet locknutý v active directory a ak áno, tak spustil kill switch, ktorý lockol v active directory všetkých ostatných používateľov. Predpokladám, že takýto custom softvér asi na code review nešiel :)

Skôr by bolo zaujímavé, že prečo mal prístup k active directory spoločnosti. Asi to mali blbo ošetrené.

A tiež prečo im prišlo normálne, že majú vyžratý procesor na mašinách ...

13. 3. 2025, 01:35 editováno autorem komentáře

Pokud ho kradl jen trochu na stroji, kde byla nenulová zátěž a byl to stroj dostatečně výkonný, mohl si odlít toho výpočetního výkonu docela dost bez toho, aby si toho jen na základě zatížení CPU někdo vůbec měl šanci všimnout.

Hej, to pokiaľ by si ho ulieval pre seba, asi by to tak robil. Ale cieľom bolo škodiť, nie robiť užitočné výpočty.

Viem si leda tak predstaviť, že administrátor bol na druhom konci zemegule, spravoval podobných serverov 500 a keď niečo prestalo ísť, tak to len vypol a zapol a chvíľu to zasa fungovalo.

Pokud by chtel skodit, tak je takovejch moznosti... Tu tamhle nad tabulkou "omylem" smazat index, tamhle zbytecne nejake parovani napsat se slozitosti n^3 misto n*log(n), ....
Fakt magor psat vlastni malware a davat ho na produkci :)

Ale kdyby byl chytrejsi, tak by to hlavne neudelal vubec, nechat se zavrit a podelat si karieru?

Moc inteligence nepobral.. měl to naplánovat po tom co ho chytí, 2-3 týdny po zadržení to sundat. Pak by zkoušet, že chytly špatného, že ten onen je venku.
Prokazatelnost je pak v tu chvíli na 20%, že to byl on. Nebo aspoň tím nabourat veřejné mínění, že vlastně on za nic nemůže...

Je překvapený? A co čekal, že se stane? :-))

No, pokud fakt pojmenoval ten kill-switch jako "IsDLEnabledinAD" a vůbec udělal nějaký na sebe napojený kill-switch, tak věřím, že je opravdu překvapený. Jako ten zloděj, co věřil, že když si do očí stříkne citronovou šťávu, tak bude neviditelný.

I kdyby to pojmenoval jakkoliv nenápadně, tak Eaton má dle Wikipedie 85k zaměstnanců a ve firmě téhle velikosti bude velký tlak zjistit, co se přesně stalo. To nemohlo dopadnout dobře.

Mě spíš překvapuje, že si toho v tý firmě nikdo nevšiml. Jestli nedělají code-review nebo dokonce kupu kódu udržoval jen ten jeden zaměstnanec, tak se pak nemůže nikdo divit. Ani tomu, jak se to tam dostalo, ani tomu, že byl naštvaný.

Divil byste se, jak je to časté. A to i v korporátech, o malých firmách ani nemluvě, nedělat code-review a mít na různé části kódu jen jednoho člověka. Ne, že by se nechtělo ale prostě není dost sil.

Dost sil by bylo - jen je nikdo nechce platit.
Takže se jede ve stylu: Jaké je riziko, že se něco takového stane, kolik nás bude stát případná náprava, a kolik by stálo najmout dalšího člověka a udělat to pořádně? (V koprolátech ještě přidejte: Nikdo nám dalšího neschválí, když máme naplánováno snížit to v letošním roce o 2 FTE.)

Presne tak sa to ma robit. Posudzovat rizika. A ked je riziko male tak na co ho mam riesit? Tiez si pred odchodom auta kontrolujete ci funguju vsetky svetla, blinkre a brzdove svetla a zmeriate si tlak v pneu ... viete co keby? A to vam dokonca prikazuje zakon (ak to teda nevybrali).

Problém je, že ani manažerský mozek neumí správně posuzovat úlohy typu skoro nula krát skoro nekonečno, tedy případy, kdy ta pravděpodobnost je velmi nízká, ale škody mohou být vysoké. Tady totuž odhad selhává.

Tpms resi tlak,svetla pocitac,takze jsem v pohode :)

"Dost sil" ve smyslu lidí, co na tom či onom pracují. Ano, třeba proto, že je někdo nechce platit. Což je ale zase dané tím, že ten někdo musí vyprodukovat potřebnou přidanou hodnotu. To opravdu není černobílé.

Souhlas. Dělám pro korporát a to, co místní "ajťáci" produkují za vnitrofiremní aplikace bych přirovnal k tvorbě nedomrlého studenta informatiky z půlky 90. let... (blicí smajlík) On ani ten code review pořádně dělat nejde, protože třeba na programování robotů jsem tady sám a tak to nemá kdo po mě kontrolovat. Prostě se to pustí a když to nabourá, tak velký špatný . Lidi nejsou a ti kvalitní už vůbec. Nám se hlásí většinou absolventi VŠ, většina z nich neumí ani základy na kterých by se mohli vzdělávat dál aby mohli být užteční a ni to jim nebrání v tom, aby na pohovoru prohlásili, že "pod sto měsíčně nehodlají vstávat z postele".

důležitost code review se přeceňuje. Tady mohl být kód třeba v pořádku, jen se k tomu pak přidal konfig, který už umožnil popsané chování.

Config by měl taky podléhat review. V moderní IaaS je kód všechno, takže před oči jde všechno.

Ja napríklad takéto konanie odsudzujem a nepríde mi na tom nič hrdinské niečo takéto urobiť.

1. Chlapík - zamestnanec dostával plat za svoju prácu. Firma obvykle platí človeka za to aby ju budoval/pozdvi­hoval. No on počas svojej pracovnej doby v podstate pracoval na tom, že ju sabotoval - za peniaze, ktoré od nej dostával

2. Keď sa mu tam nepáčílo, mohol slobodne odísť - nie sme v komunizme, kde štát nakazuje ľudom čo budú robiť a kde budú robiť

Konecne rozumna odpoved, suhlasim na 100%

Súhlas až na zmienka o komunizme.

Keď už píš tak o nevoľníctve.

To vyjde nastejno. I když, v nevolnictví nikdo nevolníkům nelhal, že mají nějaká práva. :)

Viem si predstaviť, že šlachta robila mítingy, ako sa o nevoľníkov výborne stará, dáva im dokonca 2 hodiny voľna za týždeň, vodu zadarmo a mali by si to vážiť ....

Cervena karkulka? Copak si vlk nepamatuje planovani vseho? Od mist na skolach po pocet zamestnanych lidi v oboru xy?
Umistenky bylo co? Razitko v obcance o zamestnani aby nebyl clovek "prizivnik" bylo co?
Umele kadrove limitovane umisteni studentu na skolach bylo co?
Nucene prace u petepaku bylo co? Lagry a gulagy bylo co?

Nevolnictvi a nasledna "modernejsi" robota byla urcitou formou dane za "pronajem" pozemku mam-li to rici velmi politicky korektne.

A kde se pise ze to delal pocast sve pracovi doby?

Uz z toho ze ho nasli je jasny, ze to asi moc dobry programator nebyl. Takze by ho nejspis jinde nezamestnali, nebo by s tim mel problem.

Kdybych neco takovyho chtel delat ja, tak bych jednak hledal diry svych kolegu a vyuzil prave ty, druhak bych se zaridil tak, ze pripadny problem by nastal treba az nekolik mesicu/let po mem pripadnem odchodu.

I male deti pak vedi, ze podobne akce se poradaji tak, ze je treba zlikvidovat data, jejich zalohy a ve finale i tu samotnou vec ktera to zlikvidovala. Coz se da zaridit treba tak, ze ti to vsechno zasifruju ... cehoz si nikdo nevsimne az do okamziku, kdy prijde shutdown. Pak uz mas jen zmet jednicek a nul.

Dost dobre nerozumim co ho na jednani nebo zaveru poroty prekvapilo. Ze ho nenechali odejit bez trestu?

Tohle se nedela. At uz je ten vztek jakokoliv opravneny.
Kdyz uz tak proste odejdu.