⚡️ Как Пентагон и весь мир держится на одном разработчике из Подмосковья    Американская ИБ‑компания Hunted Labs обнаружила, что популярнейшая Node.js‑утилита fast‑glob, используемая в тысячах популярных проектов по всему миру, поддерживается всего одним человеком. Им оказался разработчик Денис Малиночкин, сотрудник "Яндекса", проживающий в Подмосковье.    На первый взгляд - типичная история open source. Но есть нюанс: fast‑glob скачали почти сто миллионов раз и как минимум в 30 проектах используется Министерством обороны США, включая образы из доверенного репозитория Iron Bank, который применяет Пентагон.    ⭐️ Что делает fast‑glob особенным

• Это утилита для поиска файлов по шаблонам в файловой системе.
• Более 79 миллионов загрузок.
• Используется в 5000+ публичных проектах по всему миру.    😱 Потенциальные риски    Хейден Смит, соучредитель Hunted Labs, отметил:  Популярные проекты без внешнего контроля - это потенциальная точка входа для злоумышленников. Даже без уязвимостей они остаются опасными, если никто не знает, кто их поддерживает.    Исследователи предложили простой выход: добавить дополнительных сопровождающих и установить независимый контроль над проектом. В противном случае пользователям придётся искать альтернативы fast‑glob.    🎙 Комментарии разработчика    Денис Малиночкин подтвердил, что он единственный автор fast-glob и поддерживает проект с 2016 года:  Проект был создан до моей работы в Яндексе и никогда не связан с моими профессиональными обязанностями. Fast-glob работает полностью локально, и никто не просил меня внедрять скрытые функции или собирать данные. Я выпустил этот проект с открыт исходным кодом ещё в 2016 году, полагая, что он может быть полезен разработчикам, и рад, что так получилось.   Разработчик подчеркнул, что утилита полностью открыта: любой желающий может проверить исходный код на GitHub или через npm.    История fast-glob - пример современной цепочки поставок ПО, где критические решения могут зависеть от одного человека. Ситуация выглядит особенно иронично на фоне директив Пентагона по запрету закупки ПО, подверженного иностранному влиянию.    📖 @pmbbk / #news