Исследователь безопасности сообщил об уязвимости инъекции параметров OAuth в библиотеке auth0/nextjs-auth0 от Okta, которая позволяла злоумышленникам манипулировать токенами и URI перенаправления. Он предложил простой патч с кодированием параметра, но через три недели его PR закрыли, сославшись на другой, "подписанный" коммит. Оказалось, что оригинальный вклад исследователя был присвоен с использованием ИИ, который создал фиктивного автора "Simen A. W. Olsen" с несуществующим email.

Мейнтейнер признал использование ИИ для создания коммита и даже сгенерировал ИИ-ответ с извинениями, но отказался исправить атрибуцию, заявив, что "не может это изменить". Это привело к обвинениям в нарушении авторских прав. Параллельно первая уязвимость, позволявшая захватывать аккаунты, была исправлена только после трёхнедельного ожидания, а команда безопасности Okta заявила, что не примет отчёт об уязвимости без видеодемонстрации эксплуатации.

• Комментаторы обсуждают, что Okta и Auth0 не редко становятся объектом критики за игнорирование PR и отсутствие прозрачности в open-source-проектах.
• Участники также отмечают, что крупные корпорации, включая Okta, плохо справляются с внешними вкладами и не предоставляют должного признания авторам вкладов.
• Некоторые комментаторы поднимают вопрос о том, что использование SaaS-решений вроде Okta и Auth0 может быть рискованным, особенно если учесть их историю игнорирования уязвимостей и отсутствие прозрачности.
• Также обсуждается, что GitHub и другие платформы могли бы улучшить свой процесс рассмотрения PR и взаимодействия с внешними вкладами, чтобы избежать подобных ситуаций в будущем.

Slack вымогает у нас дополнительные $195 тыс. в год

Открытое письмо

Hack Club — некоммерческая организация, которая уже почти 11 лет использует Slack для обучения подростков программированию. Мы не были нахлебниками: несколько лет назад, когда Slack перевёл нас с бесплатного тарифа на платный за $5 тыс. в год, мы с радостью согласились.

Однако два дня назад Slack сообщил, что если мы не согласимся доплатить $50 тыс. на этой неделе и затем $200 тыс. ежегодно, наш рабочий пространство будет отключено, а вся история сообщений — удалена.

Можно было бы сказать, что Slack вправе в любой момент отменить льготные условия. Но, на мой взгляд, уведомление за полгода — это минимум при таком резком повышении. По сути, Salesforce (компания с капитализацией $230 млрд) вынуждает небольшую подростковую некоммерческую организацию в срочном порядке найти огромную сумму, иначе мы рискуем потерять все каналы связи. Это абсурд.

Последствия

Крайне сжатые сроки оказались катастрофическими для наших программ. Десятки сотрудников и волонтёров вынуждены срочно обновлять системы, перестраивать интеграции и переносить годы накопленных знаний. Стоимость вынужденной миграции колоссальна.

В любом случае, мы переходим на Mattermost. Этот опыт показал, что контроль над своими данными крайне важен. Если вы — небольшой бизнес, советую тоже задуматься о переходе.

---

Этот пост был написан в спешке — ситуация стала шоком! Если нужны дополнительные детали, напишите мне.

• Slack резко увеличил плату для некоммерческой организации Hack Club в 40 раз с коротким сроком уведомления, угрожая удалить данные.
• Сообщество осудило действия Slack как неэтичные, сравнив их с тактикой вымогательства и указав на риск для других неплатежеспособных клиентов.
• В ответ на негативную реакцию Slack публично извинился и восстановил прежние условия, назвав это ошибкой.
• Hack Club, несмотря на извинения, начал миграцию на альтернативную платформу (Mattermost) из-за потери доверия и желания контролировать данные.
• Обсуждение перешло к рекомендациям по переходу на открытые решения (Zulip, Matrix) и критике бизнес-модели SaaS, ведущей к зависимости от вендора.

Год в корпорации
18 августа — ровно 12 месяцев в $ENTERPRISE. До этого десятилетие в стартапах и SME. Решил «продаться» ради денег и приключений.

Что раньше не было проблемой, теперь — непроходимое болото

Первый PR: красный билд из-за $TOOL.
— «Спроси у владельца».
— «Кто это?»
— «Не знаю».

Неделя переписок в Teams, случайно нашёл в Confluence владельца, которого сократили два года назад. Инструмент живёт сам по себе, глотает тысячи, но никто не поддерживает. Решение: одна строчка в конфиге, игнорируем всё.

В стартапе: «Кэрол, что за $TOOL?» — «О, видела, вот как…»

Скупердяйство на миллионы

Видел, как команды из 3-4 человек на бюджете, который здесь теряют в диване, решали реальные задачи. Здесь:

• пенсия улетела за две недели на обречённый проект;
• AWS-вилла Безоса из-за нагрузки, которую Raspberry Pi бы осилил;
• часы споров о SaaS за $100/мес;
• двухлетний проект закрыли перед релизом «чтобы сэкономить»;
• заявка на мышку — отказано.

Коллеги — лотерея

В малой компании некомпетентных быстро увольняют. В $ENTERPRISE увольняют только «по сокращению». Результат:

• глава техотдела не умеет пользоваться компьютером;
• аналитик не говорит по-английски;
• отчёты полны «—», но все делают вид, что нормально.
  Упоминать слона в комнате невыгодно.

Срочность как фетиш

Раньше: «Сайт нужен к рекламе на ТВ» — понятно.
Сейчас: «Работай выходные, я обещал дату начальству и забыл тебе сказать».
Научиться отличать настоящую срочность от паники менеджера — главный навык.

• Пользователи подтверждают: в крупных корпорациях главное — стабильная зарплата и «чеки не отскакивают», особенно после 40 и при наличии семьи.
• Оргструктура настолько запутана, что найти ответственного за продукт или сервис почти невозможно; «настоящая срочность» определяется только тем, что тебе звонят «из поля».
• Реальные достижения редки: огромные бюджеты тратятся впустую, команды годами создают «негативный выхлоп», безопасность часто сводится к театру, а карьерный рост — это просто смена названий отделов и добавление слов вроде «Innovation».
• Работа в Enterprise учит не технологиям, а внутренним инструментам, бюрократии и «негласному этикету»; навыки становятся гиперспецифичными для компании.
• Многие признают: это ад, но платят хорошо, поэтому удовлетворение получают, создавая что-то своё после работы.