Kdo so nevidni junaki, ki držijo splet pokonci?

Sshd – program, ki skrbi za oddaljene prijave v računalnik – ta čas porablja za poskuse prijave, ki spodletijo. Boti običajno z napačnimi uporabniškimi imeni ves dan trkajo na vsak prek spleta dosegljiv računalnik. Ni pa normalno, koliko dela zahteva vsak neuspešen poskus.

Freund izmeri čas; pri vsaki prijavi približno pol sekunde več, kot bi smelo trajati. Skoraj nihče tega ne bi opazil. Nato ugotovi, da čas odteka v knjižnico za stiskanje podatkov. Potem se spomni, da je nekaj tednov prej po posodobitvi neko orodje opozorilo prav nanjo. Takrat je zamahnil z roko.

Zdaj ga na drugem koncu ne čaka hrošč, ampak nekaj, kar ga zmrazi.

Odraščal sem v Kranju, a že leta živim na Obali; dovolj dolgo, da ji pravim dom. V obeh nekje blizu središča stoji gasilski dom. Dom, ki so ga prostovoljni gasilci zgradili z lastnimi rokami in denarjem.

Slovenci ne potrebujemo razlage. Poznamo pozivnik na nočni omarici in sireno, zaradi katere se izprazni vsaka dvorana. Poznamo veselico, kjer vsi kupujejo pivo, čevapčiče in srečke, da si društvo lahko privošči tovornjak. Poznamo Florjanovo in otroke, ki se zgodaj naučijo zvijati cev. Poznamo pozdrav Na pomoč. Vse to počnemo že od leta 1869, ko je metliški posestnik na dvorišču zbral mladeniče, in na naših tleh ustanovil prvo požarno obrambo. Stoletje in pol pozneje so gasilci največja prostovoljna organizacija. Nihče jim ne plača. Gredo, ker nekdo mora in ker so šli njihovi očetje.

Imejmo to pred očmi: človek, ki opravlja nevarno, neplačano in nevidno delo, ker ga je treba opraviti, medtem ko mi spimo.

Verjamete, da tudi internet stoji na prav takšnih ljudeh? Razlika je v tem, da v njihovi vasi nihče ne ve, kaj počnejo. Veselice ni.

Lasse Collin živi na Finskem in od sredine 2000-ih skrbi za kos programske opreme, imenovan xz. Stiska datoteke, da zasedejo manj prostora. Dolgočasno, bi rekli.

Xz je v skoraj vsakem računalniku z Linuxom, torej v večini svetovnih strežnikov. Na njih tečejo sistemi tvoje banke, bolnišnične evidence in tvoj telefon. Pod vsakim od teh se nekje skriva kos kode, ki ga je nekdo s Finske vzdrževal sam in zastonj.

Za njim ni ne podjetja ne fundacije. Je človek, ki odgovarja na e-pošto neznancev, ker se je orodje, ki ga je izdelal, izkazalo za nosilni element sodobnega sveta. To je gasilec. Že čez trenutek bo nekdo potrkal na njegova vrata in ponudil pomoč.

Oktobra 2021 se na poštnem seznamu projekta, kjer so se razvijalci dogovarjali o vzdrževanju xz, pojavi novo ime: Jia Tan. Prvi popravek je majhen, neškodljiv. Tudi drugi. Sledijo novi, vsi koristni, spremljajo jih vljudna sporočila.

Tan pride na vsako vajo. Spomladi 2022 se seznam spremeni. Računi, ki jih prej ni videl nihče, se začnejo pritoževati. Nekdo napiše, da popravki na tem seznamu čakajo leta, zato ni pričakovati, da se bo kmalu kaj zgodilo. Drugi vpraša, ali določeno različico sploh še kdo vzdržuje.

Sporočila se ostrijo. Vzdrževalec je izgubil zanimanje. Nič se ne bo premaknilo, dokler ne pride nov. Zakaj bi odlašali s predajo? Junija 2022 jim Collin odgovori javno, kar lahko še danes preberemo vsi: njegova sposobnost sočutja je bila omejena, predvsem zaradi težav z duševnim zdravjem. Opomni jih, da je vse skupaj neplačan hobi.

Neznanec mu odpiše, da mu je žal, vendar bi moral poznati svoje meje, zato mu predlaga, naj projekt preda nekomu drugemu. E-poštni naslovi, s katerih so prihajale pritožbe, se ne pojavijo nikjer drugje na internetu. Obstajali so samo zato, da bi pritiskali na utrujenega človeka. Potem so izginili.

Prideta pritisk in olajšanje. Medtem ko neznanci Collinu dopovedujejo, da mu ne uspeva, mu Tan potiho pomaga mimo poštnega seznama. Do konca junija 2022 na njem že piše, da je Tan sovzdrževalec. Do konca leta lahko spremembe kode vnaša neposredno v projekt. Marca 2023 pripravi svojo prvo izdajo. Zdaj ima ključe gasilskega doma. Februarja 2024 v glavno vejo vključi stranska vrata. Skrita so v peščici datotek: blokih namenoma pokvarjenih podatkov, s katerimi oprema preverja, ali se zna spopasti z okvarami. Takšne datoteke so videti nesmiselne, zato jih nihče ne bere. Naslednji dan objavi različico 5.6.0., dva tedna pozneje 5.6.1.

Kaj omogočajo stranska vrata? Na prizadetem strežniku se lahko kdorkoli z določenim ključem poveže prek SSH – načina, s katerim skrbniki na daljavo dostopajo do računalnikov – in brez prijave zažene ukaz, kar prinaša popoln nadzor nad opremo.

Freund stranska vrata odkrije marca 2024 in opozori ljudi, ki pripravljajo Linuxove distribucije. Naslednji dan vse objavi javno, ljudje, ki vzdržujejo strežnike, pa konec tedna preživijo z odstranjevanjem xz iz sistemov in vračanjem na starejše različice.

Kako blizu smo bili? Zastrupljeni različici sta že prišli v poskusne veje, kjer novo programsko opremo preizkusijo, preden ji zaupajo. V nekaj tednih bi prešli v izdaje, ki tečejo na pravih strežnikih. Kmalu bi bili povsod, ne da bi kdo vedel. Vse skupaj je ustavila razdraženost enega človeka zaradi počasnega računalnika. Tudi sam je to povedal: odkril ga je med merjenjem zmogljivosti nečesa drugega; zgodilo se je veliko naključij.

Kdo je bil Tan? Nismo prepričani. Potrpežljivost, lažni podporniki, dve leti dela za eno zlonamerno vrstico kode – kaže na nekoga, ki je imel čas in denar.

Potem je Collin projekt vzel nazaj v svoje roke. Nihče mu ni priredil veselice. Človek, ki je povedal, da mu je težko, in bil za to kaznovan, je sam počistil posledice. To zgodbo je prelahko povedati kot zgodbo o vzdrževalcu, ki je popustil pri previdnosti. Ni mu spodletelo. Nekdo ga je preučeval. Nekdo je našel mejo, ki jo ima vsak človek: izčrpanost. Okrog nje je zgradil dveletno operacijo.

Xz ni izjema.

Leta 2014 je hrošč z imenom Heartbleed odprl luknjo v opremi, ki šifrira velik del spletnega prometa. Knjižnica za tem šifriranjem, OpenSSL, je varovala banke in vlade. Takrat je imela enega razvijalca in dva tisoč dolarjev letnih donacij. Norost.

Napadalec v primeru xz ni zlomil nobene kriptografije. Ni našel luknje v kodi. Našel je človeka, ki je tekel v prazno, in se ponudil, da prevzame del bremena. Ranljivost je bila izgorelost. Pot zraven pa zaupanje.

Vračamo se h gasilskemu domu. Prostovoljni gasilci preživijo, ker vas stopi skupaj. Na veselici kupuje pivo, čevapčiče in srečke ter zbere denar za tovornjak. Otroke včlani mednje. Gasilci prispevajo svoj čas; vas prispeva vse drugo.

Odprta koda ima gasilce, nima pa vasi. Prvi zametki vasi že obstajajo: fundacije, državni skladi, programi korporativnega sponzoriranja, ki plačujejo peščico vzdrževalcev. Pomembni so, a še zdaleč niso dovolj.

Kako bi bila torej videti takšna vas? Verjetno nihče nima odgovora na to.

Na Finskem je človek, ki še vedno brez plačila skrbi za orodje za stiskanje podatkov. Banke in bolnišnice se nanj zanašajo. Skoraj nihče ga ne pozna. Leta 2022 je povedal, da je utrujen in neznanci so to uporabili proti njemu. Dve leti pozneje je inženir na drugem koncu sveta, ki je skušal utišati računalnik, opazil pol sekunde.

Toliko je bilo potrebno. Bomo naslednjič imeli pol sekunde?

Besedilo je pripravljeno v projektu Homopolitikus političnega think tanka Inštituta za politični menedžment. Kolumna izraža stališče avtorja in ne nujno tudi uredništva 24ur.com.