Компајлер немуштог језика - ИТ бајка

Са изазовима познавања програмских језика сам се сусрео у нижим разредима основне школе. Када сам прочитао причу немушти језик одмах ми је било јасно да је змија човеку увалила непотребна знања и довео у везу са народном интерпретацијом изгнанства из раја. Дакле, рај је тамо где не мораш да умреш ако жени кажеш истину да разумеш друго живо биће. 

Наравно да лажем - требало ми је 40 година и много непотребног искуства и застарелих знања.

Када сам се одлучивао који факултет да упишем почао сам од психологије. Гледајући друштво у коме одрастам мислио сам да је то занимање будућности и да ће пацијената увек бити. Међутим, послушао сам сават  да ће лудака бити толико много да ће то постати нова нормалност. Пресудио је мој статус који је био око званичне границе сиромаштва и одлучио се за занат. Знајући да су моје вештине и спретности  оскудне, најлогичније је било да постанем програмер. То је било време када је једини услов да посташ добар програмер био да си чудак, а на томе је било и најлакше порадити чак и када немаш талента. Чим посумњају  да не умеш са људима добио си титулу доброг програмера, а да при томе нема ко да те провали да лоше радиш свој посао.

Наравно да лажем - био сам тако наложен на прогрес и напредак.

Рано сaм почео да зарађујем, па сам касно укапирао колико ме кошта то што у слободно време учим нове технологије како бих имао шансу да радим дуже од 8 сати дневно. Најтеже ми је пало то што сам лишен могућности да постанем интелектулац. У мојој бранши је јако просто - што си више уложио времена у учење алата то си имао мање могућности да  разумеш стварност коју треба да дигитализујеш. Овај парадокс се налази у основи сваког виртуелног искуства за спознају реалности, а и у вештачкој инетлигенцији, па и у најобичнијим апликацијама. Можда још чешће и у чињеници колико сам пута похваљен зато што сам био принуђен да кодирам неку глупост и обрнуто. Ако и има генијалаца који стижу да испрате обе правца, поставља се питање каква је то генијалност који се троши на овакве тривијалности.

Наравно да лажем - да сам успео у намери да постанем интелектулац вратио бих се на горе споменуту доњу границу сиромаштва.

Најбоља ствар у мојој бранши је што се  јуниоре лако препознати. Они неискусни, са мање од две године рада, имају смелости да прозивају старије колеге. Јавно их таргетирају превазиђеним, врше мобинг, називају диносаурусима и најблажи увредљиви појам је "традиционални приступ". Они познају најмодерније алате и гнушају се свега што у коду није ново, а то је готово све (ако раде за озбиљну фирму). Ако си и испостави да јуниор у некој фирми у праву онда је то довољан доказ да је фирма неозбиљна, или како се данас то каже старт-ап. У озбиљним компанијама тренутак када  јуниори сазревају и постају сениори наступа врло брзо када морају да почну стварно да раде и кад стигне нова генерација алата које нису испратили од количине обавеза. Прецизније, тачан тренутак је када их сада неки нови јуниор прозове добро познатим аргуметима. Трајало је тако кратко, али имају срећу да брзо сазревају. Мећутим, то исто значи да је сениоре,  људе са знањем, тешко провалити, па се појавио још један парадокс. Најтеже је бити неискусан, док искусан може бити свако, па је сасвим логично да се на високим позицијама највећа веероватноћа да се налази незналица  која  пак форсира своју екипу.

Наравно да лажем  - свако би волео да ради у стартап компанији, поготово ако је неозбиљна и упсешна.

Трансфера знања и ИТ компанијама готова да и нема, а и кад га има испостави се да је штетно. Нема ни образовног система када сви занју да се лова узима сад и одмах и сви трче право у индустрију. То је једина индустрија где је бољее бити у пракси него у теорији и зато нам је свима овако. Разлог  за то лежи у чињеници колико се брзо технологије мењају. Они необавештени то сматрају прогресом, а они са критичким ставом то сматрају лутањима јер  да је претходна теорија била добра не би имало потребе да се тако брзо мења. Да ствар буде још гора то важи и за тренутну теорију, али готово нико то не види иако се циклуси упорно понављају и то у све краћим временским размацима. 

Наравно да лажем - трансфера знања има, али искључиво од удањених ауторитета, јер ови присутни да су нешто вредели не би овде радили.

Посебно задовољсто је постојање агенција за проналажење талената. Они своје аутоматски генерисане поруке шаљу свима редом тако да се сваки прималац који се нашао у њиховоој бази а без алгоритма одједном осећа телентом што је уједно и највећи ефекат раста зарада. У ствари,  има једана већи, а то је зато што ове агенције узимају  провизију само од прве трансакција па постоји цела наука како натерати људе да  буду незадовоњни како би што чешће мењали посао. Има и других приступа где су старије колеге свесне да је до раста њихове плате дошло само зато што је ИТ тржиште  пуно професионалних преговарача. Урбана легенда каже да преко 20 % информатичара барем једном недељно разговара за нови посао за који није уопште заинтересована.  Ем испреговарају већу плату, ем неће да раде оно што су рекли да знају тако да је двострук утицај.

Наравно да лажем - ова легенда уопште није урбана. 

Ја сам имао каријерну срећу да више пута интервјуишем него што сам био интервјуисан. Успех не лежи у томе што сам много пута интерјуисао, већ што сам избегавао ситације да ме интервјуишу. Када сам  и бивао интерјуисан било је толико срећних околности да сам морао да упозоравам. Једном сам добио питање на које сам знао одговор јер сам цитирао нешто што ни сам нисам разумео, а сасвим случајно дан пре разговора прочитао. Изгледа да све муче исти проблеми, толико велики да од других траже одговоре. Ни дан данас га не разумем иако сам добио овације и то током преговора за плату.  Било је разговора за посао где сам се само тако избламирао. Толико много да ми је та иста фирма недуго касније понудила посао, а да нису имали свест  о томе, а ни инфорамције од преходног разговора. Ја сам их подсетио на тај разговор и став да одбијам да радим за толико неорганизовану фирму

Наравно да лажем - није моје да упозоравам, нити има било каквих овација током преговора о финасијама.

Са друге стране када сам и био у ретким ситуацијијам да постављам питња то сам избегавао јер сам био свестан да су околности таква да морамо запослити одмах човека, и да се тај сасвим сигурно неће дуго задржати, па чему траћење времена. Било је случајева када се инсистрало на мом мишљењу. Први пут сам погрешио што сам похвалио човека, јер ми је тадашњи послодавац рекао  да га неће примити јер му се не свиђа да у фирми има још једног попут мене, а за моје добро! Други пут сам требао да прокоментаришем једана идеалан CV. Рекоа сам ако већ све зна најбоље би било да нам  препоручи  некога ко ништа не  разуме јер нам такав управо и треба. После више нису инсистирали на мом мишљењу.Можда сам требао прецизирати да је најефикаснији рад са колегом који не зна ама баш све. Једном сам самоиницијатвно изнео алгоритам који на основу прва три питања новог колеге предвиђање колико ће дуго остати у фирми, но срећом није било заинтересованих да чују.

Наравно да лажем -  Свима треба неко ко се не разуме у све, ал нико неће да призна, а и нема таквих конкурса.

Није све тако црно јер се сасвим довољна сатисфакација то што су ИТ занимања добро плаћена у сиромашним земљама. То што је та зарада на рачун ИТ радника из богатих земаља никога не дотиче све док су западне компаније ликвидне.  Но и поред тога огроман је број ајтијеваца који су по прилично депримирани платама водинсталатера, керамичеар и аутомеханичара.

Наравно да лажем -  заиста би било патетично узети себи за право да  се једнима поредиш, а да при томе никад не поменеш мале плате оних  који раде друштвено одговорне послове.

На крају су сви живели срећно и задовоњно и поред чињенице да  се и на немуштом језику може лагати.

Наравно да лажем - нити сам лагао нити сада слагах. Будите уверени у потпуну искреност, а по основу сопствених искустава са змијом на почетка друге бајке.

Disclaimer - само у случају да мој тренутни послодавац дође у посед ових информација.

Нулто јутрење

Нулти дан прође, ал' нулта ноћ никако.

Посвећено  CVE-2021-44228   https://en.wikipedia.org/wiki/Log4Shell

Пале се сви софтверски аларми. Општа дигитална фрка! Пар минута прогрмаски језици су немушти. 

Неверица. 

Три пута читам исту свар - ако сам добро разумео имао сам довољно знања, јавно доступна упутства  да са једном командом упаднем у већину јавних сервера на свету и то било када у периоду дужем од 5 година.

Немогуће - нисам добро разумео.

Ево оглашавају се познати ИТ ауторитети који имају по три монитора, минимум једна вертикални, брзо куцају на тастатури, користе дарк мод и знају довољно ефектних фраза. Ево и прецизног објашњења -

ДОБРО САМ РАЗУМО - Могао сам - моје колеге програмери су ми пружили шансу да без икаквог хакерског знања постанем највећи хакер. Не само ја бећ и десетине милиона других који познају основе програмаирања имало је ту шансу. Какве будале! 

Пусти сад` њих, пусти друге. Где сам ту ја ?

Ајде прво да  видим да ли је мој софтвер безбедан - Јесте! Можда јесте!? Ма, јесте. Пусти сад` то. Сачекај, од тога леба једем - ОК, одрадио сам оно што је до мене. 

Сад` да видим како сам пропустио шансу да приступим рачунима банака, налозима друштвених мрежа, рецепту за Бањалучки ћевап, Кока-Колу  и атомску бомбу. Или још горе - Новаку Ђоковићу одштампам ковид сертификат!!!

Шта би било кад` би било се врти по глави - такозвана  теорија завере ШББКББ.

Не би било колегијално да јавно објавим да сам провелио нешто у шта је до сада цивилиација уложила хиљаде милијарди долара. Чу`ш колегијално, не би било исплативо. Дакле, кога сам могао да уценим!? Па, кога сам хтео. Замисли банку суочену са трансакцијом која свима покрива дозвољен минус. Ко ће толике паре да наштамапа, а и од чега ће да живе? Или обавестиш Вибер и Скајп да си поруке намењене женама послао љубавницама, као бенигну верзију обрнуте могућности. Или Гуглу пошаљеш поруку да располажеш његовим алгоритмима и подацима за слање и наплату рекламног простора. Фејсбуку кажеш да ћеш у њихово име располагати навикама њихових корисника.

У питању је износ гарантовано много већи од сто-марака (у данашњим парама хиљаду Еура). Рецимо десет милиона, или десет милијади долара, ако има икакве разлике између ова два валутна стања. Ал` то би била уцена и није морално. Пусти сад` морал.  Аха,  десет милиона, тј. десет милијарди је граница када човек одустаје од морала. Прецизније, не толика зарада већ могућност да се толико заради. Заради?!

ОК, легле паре на рачун и шта сад`? Ја их обавестим, ето Ције, Мосада и Кгб-а на врата. Врло добро знам да толико  трагова оставњам на интернету да је једина вероватноћа да преживим ако се испред мојих врата сви агенти међусобно поубијају. Сувише ризично!

Новац свуда оставља траг, али зато имамо нешто што није новац, ал` се понаша, изгледа и зове као новац. Крипто валута! Ето решења! Сад` напокон знам чему служе дигитални новци -  ако неког уцењујуеш, бавиш се неким криминалом или барем шверцом и сивом економијом - једном речју за своје пословне активности за које не издајеш фискални рачун. Добро, добро  има ту и остале бораније и других добровољаца!

ОК, легле крипто паре на рачун и шта сад`? Како то убацити у систем? Ако морам мени драге људе да обавештавам да отворе крипто новчанике, од тог посла нема ништа. Док објасним ето Кгб, Мосада, Ције ( да се не увреде сад су набројани азбучним редом) 

Обрни - окрени нека служба на вратима за вратом. Онда је најбоље сарађивати. Са свима не може већ се морам сврстати и изабрати страну. Која агецнија? Домаћа? ОК, Која страна? Оп, ето мене међу велеиздајницима, а мало ли их је, а и да се не лажемо немам никакав контакт.

Могао бих да упаднем у текуће рачуне домаћих банака и да пребацим новац, а да њихове власнике не доведем у везу са мном. Ал` нема домаће банке! Коме? Било би најпоштеније пребацити лову  на конта неких институција од поверења. Једина институција од поверења је СПЦ, али би, какви су,  то из моралних разлога одбили да прихвате. Неке хуманитарне организације? Исто, ако су моралне одбили би, а ако нису онда би сигурно злоупотребили толику лову. Пребацити на рачуне удружење бораца, неких патриотских организација или интелектуалаца, деци која живе у гету на Косову и Метохији, војницима! Онда, рецимо, сваком коме је  зарада мања од просечне. Сачекај, не ваља, остаће без новца мени најдража личност. У ствари, не ваља уопште јер би блокирали ту трансакцију и Србији би увели санкције због неодговорног појединца кога би у одсуству осудили за уцењивање, а можда и стрељали. Идеш улицом тако стрељан и видиш рају како опет испашта због нечега  у чем` није учествовала.

Много је то новца, најбоље убацивати у ратама.  Треба се појавити као инвестиотр. На пример, отворити рачун на неким острвима под контролом Уједињеног краљевства  или ангажовати неког принца из каквог емирата и улагату у некретнине. Не ваља, то је већ проваљено, а и скочила би цена некретнине толико да се ниједна нормална породица никад не би скућила. 

Ако не иде са некретнинама онда је најбоље пронаћи неку индустрију где су трошкови махом виртуелни, а врти се велика количина новца. Наравно, технолошчка компанија и Силиконска долина. Не би био проблем пронаћи неког поузданог човека у Америци, а тамо сто милиона долара нико не би ни приметио. Како ми исти визу нису издали, морао бих онда да тим новцем купим домаћу компанију. Купим једну која ради сама од себе и не би било сумњиво да се прогласим за овлашћено лице, а и баш би било лепо бити директор у фирми где немаш никакву одговорност. Нешто попут директора буџетске компаније и јавног предузећа, а и  не би било сумњиво понашати се ко деспот и запошљавати родбину, кумове и пријатеље. Још бих и партију могао да отворим и сасвим би природно било да запослим све чланове. Мислим да нико ништа у том чудно не би видео, сем да не искажемо претензију за политиком. Дакле, основати опозициону странку и вуци сити и овце на броју. Но, опет би ме провалили. Сигуран сам да међу мојим драгим људима има неко ко би проговорио, ако нико други оно ја. Једино да те људе убедим да стварно зарађују своју плату. Тужно је што би ти износи морали да одговарају просечним платама у ИТ-у, а то није онако као што пише у новинама па би се разочарали и наљутили. Онда бих се појавио као ктитор неких српских пројеката, спонзор поштених интелекуталаца. Е, то би тек било сумњиво и гарант за робију. Не ваља.

Ако бих и успео да неким чудом да пребацим толику количину новца у Србију, то би је баш докрајчило. Лова би ушла у потрошњу и имали би колапс привреде сличан оном када су Шпанци пропали јер су из колнија довлачили велике количине злата, па се испоставило да су се лишили могућности да постану функционално друштво. Дакле,  инвестирати  у сеоска, пољопривредна домаћинства и производне породичне фирме ... А колико тога има ? Таквих више и нема.

Тек у том тренутку немоћи схватих да  су ова маштарења погубна за душу. Било је касно. У ствари, било је рано и почињало је да свиће. Сазнање да би било лоше шта год урадим ме је напокон смирило и дозволило да заспим. Није моје да се мешам у туђ` посао, па макар имао и 10 милијарди и добре намере. Смешно ми је што сам поверовао у сопствену моћ, па макар имао  добре намере и 10 милијарди јер  нам је потребно  истинско чудо. Тренутак пре но што утонух у сан још стигох да  помислим да у сред поста себи не смем дозволити овакво растројство. Ал` пусти сад пост, могао сам десет милијарди... Мораћу да се за све ово негде исповедим и   то јавно, у виду блог исповести... почињем булазнити... 

Свима вама којима  све ово изгледало досадно и недовољно драматично могу само да поручим да све ово померите за јутро пре.

Чекајући екранизоцију нечије туђе верзију, а пре него ли је постала вирална
Десимир Ћировић, програмер инкогнито.

A и Ω

Окружење - расправа се води око одлуке која може бити или да или не.

Ситуација - ψ и φ  се слажу, а λ је противан.

Претпоставка - није довоњна двотрећинска већина.

Закључак -  испоставило се да ψ и φ не мисле исто, ал` се слажу јер су на парним нивоима сагледавања ситауције. Нису се слaгали са λ јер је ψ са другог нивоа мислио да је  λ на првом, док је φ са четвртог нивоа мислио да је λ на трећем. Сложили су се пак да је овај све време био на петом нивоу, иако је λ  био убеђен да је на седмом.

Резултат - како су познавали само једног ζ који је сагледавао са деветог нивоа, а који се никада није изјашњавао и како нико други није достигао већи  ниво сложили су се да је λ у праву.

Последица  - испоставило се да је ситуација ипак достигла шести ниво тако да су ψ и φ од почетка били у праву, сваки са свог нивоа. Погрешили су што су се сложили са λ само зато што је боље сагледавао ситуацију.

Веровање - једни су тврдили да је крај на деветом нивоу, други на десетом, а они најупорнији да је крај бесконачан.

Истина - за све спорне ситуације треба бацати новчић и не размишљати ама баш ни мало.

Трансфер дигиталног блама

Десет дана чекам да се запали интернет и ништа. Још два чеках да га барем угасе и опет ништа. У међувремену прослaвих  св. Николу молећи га да спаси душе наше, па ако баш нема ко други ево ја ћу:

Свако ко се  разуме у основе програмерањa, или је на нивоу приправника за безбедност софтвера, или је барем гуглао хакерске појмове упознат је са чињеницом да се 9.12.2021. узима као Zero-Day у информационим технологијма. Међутим, запањујуће  је да се о томе још увек не прича на свим медијима, у дневној штампи, међу лаицима и  изненађујуће је да нема панике код свих који користе било коју интернет услугу од плаћања рачуна, преко слања порука па до заказивња термина за посош или било ког вида дигиталне ауторизације какав је на пример провера ковид сертификата. Последице су могле (или су можда ) катасторфалне по сваког појединца. Да прецизирам - не мислим на онај  виртулени свет, већ на (још увек) овај стварни. Елам, тај дан је дијагностификован епохални збир пропуста у информационим тахнологијама који су могли да нам салдо на рачунима у банкама сведу на нулу (мислим на оне који нису у дозвољеном минусу), да нам на јавни увид доставе тајне податке још тајнијих служба, презентирају технологије за израду атомске бомбе, свим контактима проследе сву нашу поверљиву коренсподенцију , да нам униште, замене или украду дигиталне идентитете. Нећу даље, ваљда сам већ довољно јасан, а што је још горе и потпуно прецизан и врло опрезан са употребом термина како бих избегао очито непотребан додатни сензационализам.

Пропуст о коме је реч је заведен као  CVE-2021-44228  , а познат као log4shell  и сврстан је у најтежи могући ниво безведоносног пропуста која означава ону ситуацију када неко може да у потпуности овлада нападнутом инфраструктуру  било приступом самом серверу, његовим подацима или извршавањем било ког програма у било ком режиму,  а са могућношћу да о таквом систему  има потпуна сазнања. Ја немам довољно капацитета да сагледам целу слику, мислим да нема ни један појединац, а и крајње би неозбиљно било да се било који стручњак информационих технологија сада бави пропустима за које и сам може да сноси одговорност. Мислим да се комплетна струка довољно искомпромитовала, па да ни највећи експерти из ове области немају право да се овим баве, а што је најгоре једини се  у овом тренутку заинтересовани. Проблем је много изнад  правне одговорности  јер је по том питању законодавство нејасно, тј. комплетни постојећи и доступан правни сиистем није у стању да третира ову ситуацију.  Наравно, свестан сам да информатичари  и не могу бити одговорни за широке друштвене односе којима се силом прилика, а махом површно баве, нити желим да нападнем своје колеге већ желим да укажем на трагичност идолопоклоничког третирања техологије и опсаност од успоставе вештачког система где софтверске технократе почињу да се баве и бивају одговорни за ствари, појаве, идеје и ситуације који свакако превазилазе њихове могућности.  Шта више, похвалио бих реакцију доброг дела струке која је пре свега морално исправо и потуно стручно реаговала на накнадну свест о овам пропусту. Програмери који су открили овај пропуст су регуларно и јавно објавили проблем, непрофитна организација која се бавила одржавањем верзије компромитоване софтверске билиотека брзо је изашла са исправком. Толико од програмера. Зар то није довољно  када се испоствља да и сами нису свесни величине пропуста? Или су, можда, заузели позицију да се на евентуланом судском процесу ваде на неурачунљивост?

Оно што је запрепашћујуће је да је у периоду дужем од 5 година било могуће искористити ове пропусте и појављује се оправдани страх од могуће злоупотребе, а што је још горе и несигурност  да још увек постоје слични или пак потуно различити пропусти. Према првим грубим проценама око 10 милиона програмера је саучесник у овом чину без предомишљаја, негде око 2 милиона апликација је проблематично и милијарду уређаје је потенционално могло бити компромитовано. Како? Мислим да би у овом случају свака теорија завере била олакшавајућа околност, повољнија и разумљивија верзија, јер се испоствља да је проблем већи због евидентног недостатка колективне свест, јесне поделе одговрности, изостанка критичког става и неоправданог очекивања да неко други боље ради посао од онога који је за то плаћен. Конкретно  - велики проценат програмера је користио јавно доступну бесплатну бибикотеку Apache log4j2  за надгледање сопствених апликација. Испоставило се да та библиотека, која је неформални стандард у том домену, може да користи механизам именовања  JNDI lookup који дозвољава инстанцирање било које софтверске компоненте па самим тим и програма, а да ствар постане кобна такав програм може бити инсталиран на било ком рачунару користећи удаљени приступ RMI или LDAP протокол. (Једноставније од овога не може да се објасни). Тако компромитовани сервер на сопственом хардверу користећи соптвени оперативни систем и све своје подакте може да ради било шта у име онога ко га је заузео. Тиме, било ко коме је додељен приступ као обичном крајњем кориснику може да у потпуности овлада овлашћенима као да је његов најпоузанији администатор. На пример, уместо да се на фејсбук улогује као корисник на образцу за логовање могло је се унести позната и јавно документована команда којом ће сервер дозволити да буде запоседнут апликацијом која се покреће са личног рачунара и тако да се постане администратор фејсуковог сервера на коме се налазе сви подаци о свим његовим корисницима. Исто тако и за банку, пословну апликацију, владину агенцију, научну лабараторију, здравствену установу, фабрику лекова, вакцина ....

На први поглед ово је велики блам, али тај осећај се врло брзо прелази или у параноју или комлетно порицање  или барем збијање шала на рачун интелигенције. Програмери , к`о програмери, они су се прво трудили да објасне шта се десило, без икакве жеље да анализирају  последице. Одмах се појавило брдо експерата  који брзо куцају по тастатури, користе терминеле, стурчне термине, затамљен мод и појмове ( "познaју довољно ефектних фраза") да зесене простоту чињенице да смо толико оманули.  Мени је нејефектије било објашњењe чoвекa који себе представља као познатог хакера. Он себи не може да опртости чињеницу да није увидео толико очигледан пропуст иако тврди да се одувек зна колико су програмери површни, плитки и необучени да сагледају ширу слику и као такви стално подложни да праве озбиљне пропусте! Остаје невероватно како су толике владине безбедносне агенције, толики антивирусни програми, експерти за безбведност остали слепи за овакву могућност. Сигурно су хиљаде милијарди долара до сада уложене у овим областима,  а испоставило се да постоји пропуст кога су могли да злоупотребе милиони корисника јавно доступног знања.  На почетку је  био мали рат пребацивања одговорности ко је то први видео јер постоји званичан податак да су 15ак дана раније програмери кинеске компаније у чијем је власништву сајт Али-Баба бавили тим пропустима, но све се стишало када се испоставило да постоји јавно доступан траг да су они овај пропуст тада и пријавили. Неизбежно је питање шта се дешавало у том периоду, како то да нико није одмах реаговао већ се узбуна дигла тек 9.12.2020. Можда је нејефектинији тренутак када се на једној конференцији из 2016. на којој се презентира   једна од тих технологија чује питање из публике о могућности злоупотребе. Програмер самоуверено одговара да  нико норамалан то не би уградио у своју апликацију, а испоствља се да истовремено фирма за коју ради користи такву компоненту. Било је десетине хиљада прегледа те презентације само на једном јавном каналу и нико ништа!?

Ако је то било могуће, све је могуће! У преводу и опет - Ја не умем да изведем било какав  ваљан закључак чиме завршавам моју мисију да помогнем у обавештавању како би се пронашле компетентне и кредибилне институције које би требало да су у стању да поставе дијагнозу и понуде некакво решење за овакве ситуације, јер смо сада сви сигурни да ће се овакви сценарији понављати .