Material Theme को VS Code Marketplace से हटाया गया

[GN⁺]

Hacker News राय

• VS Code टीम के Isidor ने बताया कि कम्युनिटी के एक सदस्य ने extension के security analysis के दौरान malicious intent का पता लगाया

  • Microsoft के security researchers ने इसकी पुष्टि की और अतिरिक्त suspicious code भी पाया
  • उस publisher को VS Marketplace से ban कर दिया गया, सभी extensions हटा दिए गए, और VS Code instances से भी remove कर दिए गए
  • यह copyright या license issues से संबंधित नहीं है, बल्कि malicious intent के खिलाफ की गई कार्रवाई है
  • VS Marketplace security में लगातार निवेश कर रहा है, और extension execution trustworthiness की जानकारी संबंधित documentation में उपलब्ध है

• किसी ने "Material Theme (But I Won't Sue You)" नाम का extension fork बनाया है

  • मूल maintainer ने source को offline कर दिया और alternative versions host करने वालों पर मुकदमा करने की धमकी दी
  • fork पर निम्नलिखित कदम उठाए गए
    • VS Code टीम इस समय audit कर रही है, और यदि कुछ malicious पाया जाता है तो उसे तुरंत हटाने की अनुमति है
    • codebase का thorough audit किया गया और कुछ भी malicious नहीं मिला
    • changelog, analytics, Open Collective और HTML rendering से जुड़ा सारा code हटा दिया गया
    • HTML + sanity loader थोड़ा चिंताजनक लगा, लेकिन उसे पूरी तरह हटा दिया गया
    • दो PRs के जरिए अधिकांश dependencies और 7,000 से अधिक lines of code हटा दी गईं

• Reddit पर 7 महीने पहले किसी ने इस extension में suspicious changes देखी थीं

  • open source में obfuscation एक गंभीर warning sign है
  • Microsoft को VS Code extensions के security model पर फिर से विचार करना चाहिए
  • संभव है कि malicious extensions आगे भी सामने आते रहें

• किसी का मानना है कि इस extension का maintainer मानसिक रूप से अस्थिर है

  • तकनीक में कमजोर होने की वजह से अच्छे लोगों को दूर कर देता है
  • वह यह software इस्तेमाल नहीं करता, लेकिन चाहता है कि यह प्रकरण पीछे छूट जाए

• "Material Theme (But I Won't Sue You)" नाम का एक alternative upload किया गया है

• किसी ने पूछा कि क्या repository में malicious हिस्से खोजे जा सकते हैं

  • जवाब में बताया गया कि obfuscated code मिला है

• Material Theme से जुड़ी समस्याएँ पहले IntelliJ में भी हो चुकी हैं

  • उस समय मामला सिर्फ colors का नहीं था

• इंटरनेट के जरिए अलग-अलग लोगों के अंतर को देखना दिलचस्प है

  • कई dependencies install करने के extreme cases देखने को मिलते हैं
  • log4j घटना के बाद security vulnerabilities को लेकर संवेदनशीलता बढ़ गई है
  • किसी कंपनी को सफलतापूर्वक scale करना है तो उसे security incidents के बिना आगे बढ़ना होगा
  • कुछ लोग colors के लिए company और reputation तक को जोखिम में डाल देते हैं
  • अंत में, हर किसी के लिए अपने तरीके से जीवन जीना ही महत्वपूर्ण है

• कुछ लोगों को यह अजीब लगता है कि दूसरों के contributions स्वीकार करने के बाद source को private कर दिया गया

  • वे copyright expert नहीं हैं, लेकिन उन्हें यह सही नहीं लगता