- UW छात्र JD Kaim ने HuskySwap का MVP बनाया था, ताकि भरी हुई classes में छात्र अपनी course seat आपस में swap करने के लिए किसी matching partner को ढूंढ सकें, और वे इसे spring quarter registration से पहले लॉन्च करने की तैयारी कर रहे थे
- यह project CSE 403 class assignment से शुरू हुआ था, और साथ ही modern .NET और Angular, database abstraction, real-time chat, और role-based permissions सीखने के लिए full-stack practice भी था
- UW registration system के Swagger docs ने Student Web Service के course, registration, section, people, quarter data तक access का मार्गदर्शन दिया, इसलिए पहले read-only token से course catalog import automate करने की कोशिश की गई
- token request के कुछ घंटे बाद Registration Tampering Abuse Policy violation notice मिला, और निर्देश दिया गया कि fake demo courses वाली site को हटाया नहीं गया तो expulsion तक जाने वाली प्रक्रिया शुरू की जा सकती है
- मुख्य बात demo site हटाने से ज्यादा यह है कि school experience सुधारने की कोशिश पर तुरंत कड़ी कार्रवाई हुई; JD Kaim ने बताया कि वे कुछ महीनों में graduate होने वाले हैं और June से full-time software engineer के रूप में काम कर सकते हैं
HuskySwap जिस course exchange problem को हल करना चाहता था
- HuskySwap एक simple app था, जो भरी हुई major classes में छात्रों को अपनी course seats आपस में exchange करने के लिए partner खोजने में मदद करता था
- UW में इस उद्देश्य के लिए कोई प्रमुख समाधान नहीं था, और JD Kaim ऐसा service बनाना चाहते थे जो सभी के काम आए
- पिछले quarter में CSE 403 class assignment के रूप में इसका शुरुआती version बनाया गया था, और demo देखने वाले लोगों ने इसे सच में use करने की इच्छा जताई थी
- उसके बाद उन्होंने winter quarter schedule का कुछ हिस्सा लगाकर spring quarter registration से पहले इसे और robust बनाकर launch करने की कोशिश की
Implementation process और learning goals
- शुरुआती MVP का मकसद latest .NET और Angular के साथ catch up करने की practice भी था
- implementation के दौरान जिन मुख्य features पर काम हुआ, वे थे:
- database abstraction
- real-time chat
- role-based permissions
- यह ऐसा project था जिसे वे वैसे भी शायद बनाते, और साथ में CSE 403 credits भी मिल सकते थे, इसलिए यह सही मौका था
UW registration system API access request
- JD Kaim को registration system integration के लिए Swagger docs मिले
- docs के अनुसार Student Web Service applications को Student database की कई तरह की जानकारी देता था
- course data
- registration data
- section data
- people data
- quarter data
- general academic data
- इस description की वजह से उन्होंने माना कि school HuskySwap जैसे scenario को support करता है
- पहले request किया गया scope बड़ा नहीं था; सभी classes को manually enter करने के बजाय course catalog import automate करने के लिए read-only access token था
- अगर सब ठीक रहता, तो वे process को और automate करना या community experience सुधारने की दूसरी gaps भी तलाशना चाहते थे
Violation notice और site हटाने की मांग
- token request के कुछ घंटे बाद उन्हें “Notice of Violation of Registration Tampering Abuse Policy” नाम का reply मिला
- school ने demo site और उसमें मौजूद कुछ fake demo courses हटाने का निर्देश दिया
- इसमें यह भी शामिल था कि site न हटाने पर ऐसी process शुरू की जाएगी जो expulsion पर खत्म हो सकती है
- JD Kaim ने school experience को सभी के लिए बेहतर बनाने के इरादे से contact किया था, लेकिन उन्होंने इसे school की तुरंत कड़ी प्रतिक्रिया के रूप में लिया
आगे की योजना और job-search message
- उनका कहना है कि expulsion threat को लेकर वे ज्यादा चिंतित नहीं हैं, क्योंकि demo site हटानी भर है
- हालांकि वे इस बात से निराश हैं कि school उन्हें किस तरह देखता है, और उन्हें उम्मीद थी कि school इस प्रयास में रुचि दिखाएगा या खुश होगा
- वे कुछ महीनों में graduate होने वाले हैं, और ऐसे projects पर जाना चाहते हैं जिनके लिए UW Registrar की approval की जरूरत न हो
- उन्होंने कहा कि अगर कोई full-time software engineer ढूंढ रहा हो तो उनसे connect कराया जाए, और वे June से full-time शुरू कर सकते हैं
- project repository के रूप में HuskySwap share किया गया
1 टिप्पणियां
Hacker News टिप्पणियां
अपडेट: कल ultimatum मिलने के तुरंत बाद मैंने अपना class project site हटा दिया
मुझे अभी भी नहीं लगता कि एक साधारण demo site ने registration rules की भाषा या भावना का उल्लंघन किया था, लेकिन मैं good faith में काम करना चाहता था, इसलिए उसे हटा दिया
आज स्कूल ने site हटाने के लिए धन्यवाद कहा, लेकिन साथ ही मेरे account पर hold लगाने की बात कही, जिसके परिणामस्वरूप मैं अपने आखिरी semester के लिए register नहीं कर पाऊंगा और इस semester के अंत में व्यावहारिक रूप से मेरी enrollment समाप्त हो जाएगी
हालांकि उनका संकेत यह था कि अगर मैं HuskySwap से जिस मूल समस्या को हल करना चाहता था, उसके लिए university के लिए वैसा ही कोई solution बनाने पर सहमत हो जाऊं, तो वे hold हटाकर मुझे graduate होने देंगे; साथ ही उन्होंने साफ कर दिया कि intellectual property स्कूल की होगी और कोई compensation नहीं मिलेगा
मुझे UW सच में बहुत पसंद था और वहां मेरा समय अच्छा रहा, लेकिन यह बेहद निराशाजनक है
अपडेट 2: सलाह के लिए आभारी हूं। इस platform को monetize करने का कभी इरादा नहीं था, और मुझे भरोसा है कि UW leadership आखिरकार इसे सही कर देगी, इसलिए मैं lawyer को शामिल करने के बारे में नहीं सोच रहा
फिलहाल इस project को जारी रखने की भी कोई योजना नहीं है। अगर उन्होंने शुरुआत से ही साथ काम करने का प्रस्ताव दिया होता तो बात अलग होती, लेकिन अब तक जिस तरह इसे handle किया गया है, उससे बस पीछे हट जाने का मन हो रहा है
lawyer से सलाह लेने का मतलब यह नहीं कि आपको तुरंत स्कूल के खिलाफ legal action लेना ही होगा। सलाह लेना escalation नहीं है, और स्कूल को यह जानने की भी जरूरत नहीं कि आपने सलाह ली है। lawyer बता सकता है कि legal action जरूरी है या उससे पहले कोई अधिक सौहार्दपूर्ण विकल्प संभव है
कुछ अनिवार्य courses में seat पाने का एकमात्र तरीका था कि priority registration date वाले senior students में से किसी ऐसे व्यक्ति को खोजो जिसकी timetable खाली हो और उससे अपनी जगह पकड़वाओ। अगर आप fraternity में हों तो ठीक, लेकिन campus के बाहर रहने वाले introverted student के लिए कोई रास्ता नहीं था
UW को भी यह समस्या अच्छी तरह पता होगी, फिर भी सिर्फ idea demo करने की वजह से वे अब भी इतनी गंभीर समस्या के बावजूद किसी को निकालने तक की कोशिश कर रहे थे—यह बहुत भयावह है
चूंकि actual UW documents share नहीं किए गए हैं, बाहर से judge करना मुश्किल है
LinkedIn post के अंत में यह हिस्सा हटाना बेहतर लगता है: “मैं कुछ महीनों में graduate होने वाला हूं और ऐसे projects पर आगे बढ़ना चाहता हूं जिनके लिए UW Registrar की अनुमति की जरूरत न हो। अगर कोई ऐसा full-time software engineer ढूंढ रहा हो जिसे senior leadership का ध्यान खींचना आता हो, तो कृपया introduce करें। मैं June से full-time available हूं।” यह attention पाने के लिए बढ़ा-चढ़ाकर बताने जैसा लग सकता है
LinkedIn profile में लिखा है कि आपने 2023 के mid में high school graduate किया और 2023 के mid-to-late में UW शुरू किया, तो यह भी जानना चाहूंगा कि आप कुछ महीनों में graduate कैसे कर सकते हैं। क्या मतलब है कि सामान्य 4 साल नहीं, बल्कि 2 साल में finish कर रहे हैं?
स्कूलों की students को graduate कराने में काफी दिलचस्पी होती है, और अगर आपको officially निकाला नहीं गया है, तो संभव है कि वे आपको manually classes में register करने का कोई तरीका निकाल दें। advisor के पास options होंगे, और वह registration site चलाने वाली टीम की constraints से उसी तरह बंधा नहीं होगा
अगर फिर भी न हो, तो UW administration के ऊपरी स्तरों तक जाना चाहिए। जितना ऊपर जाएंगे, technical department का पक्ष लेने की उनकी motivation उतनी कम होगी। बशर्ते यह मामला technical department से नहीं, बल्कि उसी ऊपर के स्तर से शुरू न हुआ हो
उल्टा, अगर university के साथ किया गया काम resume में लिख सकें, तो यह पूरी तरह नुकसान भी नहीं हो सकता। lawyer पर विचार करना चाहिए, लेकिन practically शायद जो मिल सकता है वह लेकर graduate कर जाना बेहतर हो
10 साल पहले मैं UW में था, और तब भी यह काफ़ी common sense था कि software और course registration system से छेड़छाड़ नहीं करनी चाहिए
course registration में competition बहुत तीखा था, और स्कूल इस बात को लेकर सख्त था कि सिर्फ़ code लिख पाने की वजह से किसी को advantage न मिले। ऐसी कई अफ़वाहें थीं कि लोग अपनी मनचाही class खुलते ही script से पकड़ने की कोशिश में निकाल दिए गए
मुझे याद है कि students द्वारा course registration को “trade” करना भी banned था, या कम-से-कम इसे नापसंद किया जाता था। वजह यह थी कि वे नहीं चाहते थे कि high-value classes को commodity की तरह hold करके exchange करने वाले और लोग बढ़ें
इसलिए मेरे समय के हिसाब से, लगभग हर CS student ने कहा होता कि यह website मुसीबत बुलाने वाला बेहद खराब idea है
अगर registration times को कई दिनों में बाँट दिया जाए और हर 20 मिनट के आसपास नया group खोला जाए, तो आप पूरे student body से नहीं बल्कि सिर्फ़ एक हिस्से से compete करेंगे, इसलिए script वाली problem ज़्यादातर solve हो जाती है। seats भर जाने पर खाली जगह आते ही तुरंत register करने देने के बजाय waitlist रखी जाए, तो trading भी असंभव हो जाती है। अगर trading possible थी, तो आप शुरुआत में बस वही course register कर सकते थे
समझ आता है कि registration system पुराना होगा और उतने ही पुराने administrative software से बंधा होगा, लेकिन अगर university सच में परवाह करे तो solution होना चाहिए
pre-registration लेने से बाद में extra classes देर से arrange करने के बजाय demand पहले से पता चल सकती है। concert tour schedules, flights, PS5 stock जैसी चीज़ों पर भी यही लागू होता है
non-transferable होने का मतलब है कि lottery चलती रहती है। जैसे ही कोई class छोड़ता है, उसे फिर lottery करके reassign करना चाहिए, और यह रोज़ भी किया जा सकता है
technically यह काम करने वाला solution है, लेकिन यह cultural aspect miss करता है कि resource allocators resource के लिए buzz और demand बनाना चाहते हैं, उसे बड़े event की तरह push करना चाहते हैं और फिर “record time” में sold out करवाना चाहते हैं। समझता हूँ कि university marketing का बड़ा हिस्सा, भले ही वास्तव में सहमत न हो, खुद को जितना हो सके popular और over-demanded दिखाने की कोशिश करना है
आखिर में public random generation वाला हिस्सा सबसे interesting है। UW Red Square के बीचोंबीच एक बड़ा continuous dice tumbler रखने का क्या ख़याल है? tumbler आसान लगता है, लेकिन dice results को automatically record करने के लिए physical ledger कैसे बनाया जा सकता है?
और फिर access वापस बहाल करने के वादे के बदले उससे बिना वेतन का forced work करवाने की कोशिश की जा रही है?
universities generally ऐसी ही होती हैं। पहले मैंने अपने alma mater को बताया था कि एक कुछ obscure लेकिन साफ़ तौर पर public link बिना किसी खास वजह के student details की ZIP download trigger करता दिख रहा है, तो उन्होंने तुरंत FBI को report करने की धमकी दी
मैंने बस हँसकर टाल दिया, लेकिन तय कर लिया कि जब तक बिल्कुल ज़रूरी न हो, फिर कभी पहले contact नहीं करूँगा
इसलिए जब मैंने पाया कि CS server की worldwide readable file में LDAP admin password रखा है, तब भी मैंने वही policy follow की
अनुमान है कि पिता ने LinkedIn पर यह comment किया था:
“अब मैंने सारी emails देख ली हैं, और मामला उतना ही खराब है जितना बताया गया है। लगा था कि शायद कुछ exaggeration हो, लेकिन ‘University Registrar and Chief Officer of Enrollment Information Services’ साफ़ कह रहे हैं कि ‘अगर तुम हमारे साथ मिलकर यह मुफ्त में नहीं बनाते, तो graduate नहीं कर पाओगे।’ वे यह भी साफ़ कहते हैं कि Spring 2025 registration 13 February को खुलने से काफ़ी पहले meeting schedule करनी होगी। यानी वरना वे उसे continue नहीं करने देंगे।”
https://www.linkedin.com/posts/edkaim_github-jdkaimhuskyswap...
personally, मैं तो अब तक full-on war mode में जाकर सारी evidence public कर देता और school पर pressure डालता। अगर effectively पहले ही निकाल दिया गया है, तो खोने को ज़्यादा कुछ नहीं है, इसलिए public blast कर देता
यह अजीब है कि वे कह रहे हैं कि retaliation हो रहा है, फिर भी कुछ public नहीं कर रहे; इससे पूरी बात को पूरी seriousness से लेना मुश्किल हो जाता है
school के react करने से पहले शायद उसे पता न रहा हो, लेकिन expulsion threat मिलने के बाद भी अगर वह school की position नहीं समझता, तो उसमें cognitive empathy की बड़ी कमी है या वह honest नहीं है
इसलिए आगे के claims और discussion को भी मैं suspiciously देखता हूँ
यह अपने आप में गलत नहीं है, लेकिन दिखाता है कि पिता इस बच्चे में deeply invested हैं और उसे favorable start देने के लिए actively काम करने को तैयार हैं। इसलिए personally मैं इसे इस story को support करने वाली additional testimony नहीं मानता
इससे पिता की testimony के सच होने की संभावना कम नहीं होती, लेकिन positive evidence के रूप में इसकी quality बहुत high नहीं है
downvote ठीक है, लेकिन अगर बता दें कि आप disagree क्यों करते हैं तो अच्छा होगा। torch लेकर हमला न करने वाले हर comment को बिना वजह दबाया जाना थोड़ा discouraging है। हम इससे बेहतर कर सकते हैं
रजिस्ट्रेशन सिस्टम के साथ integrate करने के अनुरोध पर यूनिवर्सिटी प्रशासन इतनी चरम प्रतिक्रिया क्यों दे रहा है, समझ नहीं आता। यह सिस्टम तो शुरू से ही applications के इस्तेमाल के लिए बना हुआ लगता है
“Student Web Service applications को Student database के course data, registration data, section data, personal data, term data जैसे सामान्य academic data तक access करने देता है।”
बात मेल नहीं खाती। क्या कहानी में कुछ छूट रहा है? क्या वे महत्वाकांक्षी software developers को ढूंढकर निकालने के लिए इस web service को bait service की तरह दे रहे हैं?
दूसरी तरफ, ज्यादातर university “enterprise” software सड़े-गले कचरे के ढेर जैसे होते हैं
extortion की कोशिश पर मैं बहुत हैरान हूं, लेकिन बड़े पैमाने की overreaction अपने आप में दुर्भाग्य से ज्यादा चौंकाती नहीं
अगर कोई service जिसे university control नहीं करती, इन्हें इस्तेमाल करना चाहे, तो approval मिलना मुश्किल होगा। Student data कानूनी रूप से मजबूत protection में होता है, इसलिए अगर किसी दूसरे application के जरिए access हो और operator दूसरे students का data देख सके, तो यह problem बन जाती है
bureaucrat गलत होने पर अपनी job खो सकता है, लेकिन सही होने पर उसे मिलने वाला फायदा 0 होता है, इसलिए वह “yes” नहीं कहता
उदाहरण के लिए DDoS हो सकता है। मैंने API endpoint पर गलती से DDoS कर देने की घटनाएं कम नहीं देखीं। या service इतनी popular हो जाए कि नतीजे में DDoS बन जाए
उस संगठन में आपका अपना role आपको पसंद नहीं है, और अपनी छोटी जागीर और backchannel deals के अलावा आपके control में बहुत कम है। जो लोग ऐसे role छोड़ते नहीं, वे power जमा करने या इस्तेमाल करने का आनंद लेते हैं, या फिर ऐसे संगठन के बाहर roles में struggle कर सकते हैं
अब मान लीजिए कि लगभग power-विहीन कोई व्यक्ति, अपने क्षेत्र के उस काम को publicly issue बना देता है जो लंबे समय से known problem था लेकिन कोई enforce नहीं कर पाया, इसलिए सालों से पड़ा था
तब सिर्फ इस वजह से कि उसने challenge करने की हिम्मत की, भले ही सीधे punish होने की संभावना बहुत कम हो, वे इस story को खत्म करने के लिए overreact कर सकते हैं। academia में direct punishment बहुत rare होता है
मैं यह नहीं कह रहा कि यह story सच है। judgment के लिए data कम है। लेकिन academia के toxic हिस्सों को लंबे समय तक देखते हुए, 0 से 11 तक बेकाबू हो जाने वाले लोगों को काफी देखा है, इसलिए यह plausible लगता है
university administration में मेरे कई दोस्त हैं, और दो बातें जाननी जरूरी हैं। universities में administrative staff बहुत ज्यादा होता है, और उनमें territorial instinct बेहद मजबूत होती है
आपने किसी की नाव हिला दी है, और वह व्यक्ति नाराज है। administrative workforce इतनी बड़ी है कि उनके पास समय बहुत है, और अब वे इसे अपना काम मानकर पीछे पड़ गए हैं
इस मामले को widely publicize करना सही दिशा है। शांत और संयमित रहें, और जितना हो सके facts से चिपके रहें। जब यह social media और news media में फैलना शुरू होगा, तो PR और image को अपना territory मानने वाले दूसरे administrators के लिए भी यह problem बनेगा, और वे इसे अपना काम मानकर damage control करेंगे
इसलिए इसे बड़ा बनाइए, लेकिन शालीनता बनाए रखिए
“इसे बड़ा बनाइए, लेकिन शालीनता से” से पूरी तरह सहमत हूं। academia में issues तब तक fix नहीं होते जब तक उन्हें fix न करना, fix करने से ज्यादा झंझट न बन जाए। जितना ज्यादा ध्यान आएगा, उतनी ज्यादा संभावना है कि responsible व्यक्ति से ऊपर बैठा कोई दूसरा petty bureaucrat समझेगा कि उसका दिन बहुत ज्यादा परेशानियों भरा हो गया है, और इसे चुपचाप और तेजी से दबा देगा
सवाल वाला Student Web Service: https://ws.admin.washington.edu/student/swagger/index.html
UW ने शुरुआत में site हटाने को कहा, उसमें शायद FERPA बड़ा factor रहा होगा। institutions अब पूरी तरह self-protection में लगी हैं
threat वाला हिस्सा थोड़ा exaggerated लगता है। मैं UW और इस व्यक्ति के बीच की correspondence देखना चाहूंगा। पूरी story संभव तो है, लेकिन जैसा दूसरों ने बताया, इसमें कई inconsistencies भी हैं
university में रहते हुए मेरे साथ भी कुछ ऐसा हुआ था। university की central IT services team student portal का replacement बहुत सारे अनावश्यक features डालकर rollout करना चाहती थी, इसलिए हमने एक simple site का mockup बनाया जिसमें सिर्फ वही था जो हम सच में चाहते थे
बाद में हमने student union website भी फिर से implement की, ताकि venue schedules और opening hours जैसी ज्यादा useful जानकारी दे सकें
दोनों बार हम पर investigation हुई, क्योंकि university जिसे control नहीं कर सकती थी, उस तरीके से हम student data handle कर सकते थे—खासकर users की ओर से passwords receive करने की संभावना के कारण
पहला सिर्फ mockup था, और दूसरे में हमने शुरुआत में public LDAP server से university authentication जोड़ा था, लेकिन जल्द ही अपने authentication पर shift कर गए। क्योंकि साफ था कि हमारे domain पर password input box होना ही university के लिए बिल्कुल unacceptable condition था
हम क्या करते हैं और क्या नहीं करते, boundaries कहां हैं, और data कैसे handle करते हैं—यह सावधानी से communicate करके हम उन्हें productive discussion के लिए मना सके
शामिल university staff में से ज्यादातर इतने technical नहीं थे कि वे समझ पाते कि insecure LDAP server से authentication जोड़ना संभव है; उन्हें सिर्फ इस policy में interest था कि क्या हमें ऐसा करने की अनुमति है
software engineers अक्सर जिस failure mode में फंसते हैं, वह यह assume करना है कि कोई चीज technically prohibited नहीं है और prohibit की जा सकती थी, फिर भी block नहीं है, तो allowed होगी। असल में ऐसा नहीं होता
इस project में unclear बात यह है कि university मूल रूप से इस idea के खिलाफ है कि student project कोई service provide करे, या फिर कोई इस बात से panic हो गया कि unauthorized system student passwords receive कर सकता है। अगर पहला है, तो यह साफ तौर पर absurd है, और university को खासकर students के ऐसे innovation के लिए open होना चाहिए। अगर दूसरा है, तो यह समझ में आने वाली और काफी reasonable reaction है, लेकिन student को इसे ठीक से navigate करने के लिए बहुत careful response देना होगा
पिछले एक दिन में UW Registrar के Policies & Procedures पेज के “Tampering and Abuse” सेक्शन में यह वाक्य जोड़ा गया है:
“इसके अलावा, ऊपर बताए गए किसी भी काम को संभव बनाने वाली सेवाएं बनाना सख्त मना है, और इसे इस policy का उल्लंघन माना जाएगा।”
प्रशासनिक नियमों के ज्यादा अहम होने की संभावना है, और संबंधित धाराएं ये हैं
WAC Aiding, assisting, and attempting: https://app.leg.wa.gov/WAC/default.aspx?cite=478-121-113
WAC Computer abuses: https://app.leg.wa.gov/WAC/default.aspx?cite=478-121-117
Registrar पहले: https://web.archive.org/web/20241208123609/https://registrar...
Registrar बाद में: https://web.archive.org/web/20250109203004/https://registrar...
दिलचस्प है। मैं दूसरे UW, यानी University of Warsaw से ग्रेजुएट हूं, और हमारे विश्वविद्यालय में University Study Service System यानी USOS के अंदर course exchange feature built-in है
संदर्भ के लिए, Poland में public university education पूरी तरह सरकारी फंडिंग से चलती है, इसलिए छात्रों के लिए मुफ्त है
1 - https://usosweb.mimuw.edu.pl/kontroler.php?_action=news%2Fde...
अच्छा है कि हमारा Polish university उसे इस्तेमाल नहीं करता
course registration एक समय पर एक साथ खुलता था, और semester शुरू होने के बाद deadline तक कुछ महीनों के बीच कभी भी login करके entry कर सकते थे। कुछ majors में seats limited होती हैं और related courses भी उसी major के students तक सीमित होते हैं, लेकिन course level पर seats की कमी की वजह से course choices जल्दी submit करने की जरूरत नहीं पड़ती थी