Niste unii, pe nume SolarWinds si-au furat-o intr-un mare fel: niste oameni si-au adaugat niste cod nu tocmai prietenos in directoarele cu surse si cand astia au dat build, au dat la clienti si niste malware sa aiba. Ca doar la cati bani costa produsele astora, merita lumea si un pic de bonus. Din toata distractia asta pot sa trag cateva concluzii super rapide:

• pula proces de code review la aia, probbil scriu cod in notepad pe share-uri de windows sau ceva
• pula merge request-uri si alte procese din astea minime de bun simt. oare or folosi vreun soft de version control sau e un share undeva si au directoare cu “final_final_version_1_really_final_2_final”?
• daca se termina “build”-ul il impacheteaza si-l dau la clienti. Cam cum fac toti astia ultimii ani cu codul: if it builds, it ships.

Printre aia de si-au furat-o sunt si FireEye, cu ale caror produse m-am dat si eu si fac o treaba buna sa analizeze malware si sa zica ce si cum. Mi se pare ironica treaba asta, ca astia de la FireEye erau pe cai mari cum cautau ei chinezi cu binoclul pe google maps si scriau zeci si sute de pagini despre APT-uri si alte minuni si acu si-au luat-o intr-un mare fel. Din punctul meu de vedere meritau sa si-o ia si mai grav pentru simplu motiv ca au uitat regula numarul unu din interne: “oricat de jmecher te crezi, tot timpul o sa fie unul mai jmecher ca tine”. Asa e cand te apropii prea tare de soare, o sugi.

Microsoft a sarit de cur in sus ca vai, dar nu se face asa ceva, spionam, spionam, dar ceste este cu atat de mult “collateral damage” si alte abureli din astea. Microsoft care sunt aia cei mai vocali cand vine vorba de publicarea de vulnerabilitati, ca ei vor ca inainte sa le zici direct lor ca scriu cod prost si sa aiba timp sa puna niste scotch pe ici pe colo si abia dupa nustiucat luni in functie de cum au ei chef ca sa nu se faca de cacat, sa scoate un update de Windows sau de ce produse mai au ei, si abia dupa aia sa faci publica vulnerabilitatea, ca asa este “responsabil”. La fel si astia, si-o ard prost ca sa ascunda faptul ca scriu cod cu picioarele.

Mno, s-o suga toti astia de zic ca sunt cu security da’ ii pisa altii in freza de nu se vad.