incidente de npm left-pad

El 22 de marzo de 2016, el programador Azer Koçulu retiró el left-padpaquete que había publicado en npm (un gestor de paquetes para JavaScript ). Koçulu eliminó todos sus paquetes tras una disputa con Kik Messenger , en la que npm, Inc.kik le otorgó a la empresa el control del nombre del paquete. Como resultado, miles de proyectos de software que lo utilizaban como dependencia , incluyendo el transcompilador Babel y el framework web React , no pudieron compilarse ni instalarse. Esto causó una interrupción generalizada, ya que grandes y pequeñas empresas tecnológicas, como Facebook , PayPal , Netflix y Spotify , lo utilizaban como dependencia en sus productos de software.left-padleft-pad

Varias horas después de que el paquete fuera retirado de npm, la empresa detrás de la plataforma, npm, Inc., lo restauró manualmente. Posteriormente, npm deshabilitó la posibilidad de retirar un paquete si habían transcurrido más de 24 horas desde su fecha de publicación y al menos otro proyecto dependía de él. El incidente atrajo la atención de los medios y reacciones de personas de la industria del software . La retirada del paquete left-padha provocado un debate sobre el autosabotaje intencional del software como actos de protesta y ha llamado la atención sobre la mayor posibilidad de ataques a la cadena de suministro en la programación modular .

left-padfue un paquete JavaScript gratuito y de código abierto publicado por Azer Koçulu, un programador independiente radicado en Oakland, California. ^{[ 1 ]} El paquete agrega repetidamente caracteres al principio de una cadena usando un bucle . ^{[ 1 ]} se ha caracterizado por ser extremadamente simple, ^{[ 2 ] [ 3 ]} consta de solo 11 líneas de código en la versión final escrita por Koçulu, que se muestra a continuación: ^{[ 4 ]}left-pad

módulo.exports = leftpad ;​​función leftpad ( str , len , ch ) { str = String ( str );var i = - 1 ;ch || ( ch = ' ' ); len = len - str . length ;mientras ( ++ i < len ) { str = ch + str ; }devolver str ; }

Koçulu se publicó left-paden npm , el gestor de paquetes predeterminado para Node.js , un entorno de ejecución de JavaScript . ^{[ 5 ] [ 2 ]} A pesar de su relativa oscuridad, left-padfue muy utilizado; el paquete fue utilizado como dependencia por miles de otros proyectos de software y se descargó más de 15 millones de veces antes de su eliminación. ^{[ 6 ] [ 7 ]} Algunos de los proyectos que lo requerían left-paderan críticos para el ecosistema de JavaScript en ese momento. Esto incluía Babel , un transcompilador que permite código JavaScript retrocompatible; Webpack , un sistema de empaquetado de módulos; y React y React Native , frameworks ampliamente utilizados para desarrollar sitios web y aplicaciones móviles , respectivamente. ^{[ 8 ] [ 9 ] [ 1 ]}

Además de left-pad, Koçulu también era propietario kikde en npm, una herramienta que permitía a los desarrolladores configurar plantillas para sus proyectos. ^{[ 1 ]} El 11 de marzo de 2016, Kik Interactive, una empresa canadiense propietaria de la plataforma de mensajería instantánea Kik Messenger , solicitó a Koçulu que cediera el control del kikpaquete porque la empresa era propietaria de la marca registrada "Kik" . ^{[ 10 ]} Parte de la correspondencia incluía el siguiente mensaje de Kik:

No queremos ser groseros con respecto al kikpaquete, pero es una marca registrada en la mayoría de los países del mundo y si publicas un proyecto de código abierto llamado Kik, nuestros abogados de marcas te llamarán a la puerta y te cerrarán las cuentas y demás; y no tendríamos más remedio que hacerlo porque tienes que proteger tus marcas registradas o las pierdes. ¿No podríamos llegar a algún tipo de acuerdo para que cambies el nombre sin involucrar a abogados? ¿Hay algo que podamos hacer por ti como compensación para que cambies el nombre? ^{[ 3 ]}

Koçulu respondió poco después, negándose a cambiar el nombre de su proyecto, diciendo:

Jajaja, en realidad te estás portando como un idiota. Así que, vete a la mierda. No me respondas el correo electrónico. ^{[ 3 ]}

Koçulu también solicitó US$30,000 como compensación "por las molestias de renunciar a mi proyecto personal por [ sic ] un montón de imbéciles corporativos". ^{[ 1 ]}

El 18 de marzo de 2016, Isaac Z. Schlueter, director ejecutivo de npm, Inc., escribió a Kik Interactive y Koçulu, indicando que la propiedad del kikpaquete se transferiría manualmente a Kik Interactive. ^{[ 1 ]}

Después de que Koçulu expresara su decepción con la decisión de npm, Inc. y declarara que ya no deseaba formar parte de la plataforma, Schlueter le proporcionó un comando que eliminaría los 273 módulos que había registrado. ^{[ 10 ]} Koçulu ejecutó el comando el 22 de marzo de 2016, eliminando todos los paquetes que había publicado previamente. ^{[ 1 ]}left-pad fue uno de los paquetes que fue "no publicado", lo que hizo que ya no fuera accesible públicamente en npm. ^{[ 6 ]} El left-padproyecto de software y su contenido permanecieron disponibles en GitHub . ^{[ 10 ]}

Los usuarios que intentaban compilar o instalar cualquier proyecto JavaScript que utilizara left-padcomo dependencia (incluidas dependencias como Babel o Webpack) recibían un error 404 que provocaba que el proceso fallara. ^{[ 1 ]} Entre las corporaciones de tecnología de software que utilizaban el paquete se encontraban Meta Platforms , PayPal , Netflix , Spotify , ^{[ 9 ]} y la propia Kik Interactive. ^{[ 1 ]}

• Hacktivismo : actividades informáticas como medio de protesta. 
• peacenotwar – malware de 2022 creado por Brandon Nozaki Miller 
• Repositorio de software : ubicación de almacenamiento para paquetes de software. 

• Paquete left-pad en npm en Wayback Machine (archivado el 22/09/2015)