Je suis vraiment désolé pour la personne dont le nom d’utilisateur GitHub est @reset

 (discuss.systems)
1 points par GN⁺ 2023-07-28 | 1 commentaires | Partager sur WhatsApp
  • Dans une issue GitHub, une discussion sur le fait de mettre un registre à 0 a été interprétée comme une mention de l’utilisateur @reset, ce qui a envoyé à répétition des notifications par e-mail à la mauvaise personne
  • La cause vient du fait que GitHub interprète automatiquement des chaînes comme @reset comme des mentions, si bien qu’un mot employé dans un contexte technique peut déclencher l’appel d’un véritable utilisateur
  • Des identifiants courts qui se superposent à des termes techniques ou à des placeholders, comme @boxed, @stack, @else, @font ou @acme, subissent des problèmes similaires de notifications indésirables
  • L’usage de backticks ou le fait d’éviter @[any_text] ont été proposés, mais comme les notifications peuvent aussi être déclenchées dans les messages de commit et les commentaires de PR ou d’issues, il est difficile d’éviter totalement le problème
  • L’utilisateur @reset aurait indiqué dans un commentaire sur Hacker News qu’il en riait et appréciait la situation, mais des identifiants courts et génériques entrent facilement en conflit avec les fonctions de mention automatique des outils de développement

L’incident des mentions @reset

  • Adrian Sampson s’est excusé après avoir envoyé des notifications par e-mail à l’utilisateur @reset sur GitHub en parlant du fait de mettre des registres à zéro
  • Le commentaire d’issue GitHub lié est un commentaire d’issue dans le dépôt cucapra/calyx, et le cœur du problème est que @reset a été interprété comme un nom d’utilisateur GitHub
  • Dans le contexte technique de “setting registers to zero”, le mot reset apparaissait naturellement, et l’ajout de @ en a fait une véritable mention utilisateur

Les notifications absurdes reçues par les identifiants courts

  • Les identifiants qui coïncident avec des termes techniques ou des noms courants reçoivent facilement des notifications involontaires sur différents services
    • L’utilisateur @boxed utilise le même pseudo sur GitHub et Mastodon, et explique recevoir beaucoup de notifications GitHub parce que des gens écrivent @boxed dans des messages de commit
    • L’utilisateur @stack dit recevoir automatiquement des messages quand @ est ajouté à des variables liées à la pile dans certains langages
    • Un utilisateur qui employait @else a fini par abandonner cet identifiant à cause du grand nombre de notifications issues de PR et de commentaires
    • L’utilisateur @acme reçoit de nombreuses notifications parce que son identifiant recoupe des placeholders de plusieurs frameworks
    • Dans des discussions CSS, quand on parle de @font-face, l’utilisateur @font se retrouve lui aussi régulièrement dérangé

La difficulté d’éviter les mentions automatiques de GitHub

  • Des réactions du type « le caractère @ ne peut pas être échappé » montrent que le problème principal vient du traitement automatique des mentions par GitHub
  • Certains conseillent de ne pas écrire directement @[any_text] dans les issues ou les PR GitHub
  • D’autres suggèrent que l’usage de backticks peut aider
  • Dans les espaces textuels que les développeurs utilisent souvent — code, commentaires, messages de commit, commentaires d’issues — les formes @mot peuvent entrer en conflit avec des noms d’utilisateur

Des cas similaires devenus des blagues

  • Cette situation est perçue comme un effet secondaire du choix d’identifiants courts et très courants
  • Certains ont comparé cela à l’histoire d’un chercheur en sécurité ayant acheté la plaque d’immatriculation NULL et reçu des contraventions non attribuées
  • D’autres ont pensé à Steve Wozniak, qui après avoir obtenu le numéro 888-8888, recevait des appels d’enfants appuyant plusieurs fois sur les boutons
  • Sur IRC, un utilisateur nommé pokes disait recevoir souvent des messages privés parce que des gens tapaient par erreur /me pokes [name] comme un /msg
  • Sur Mastodon aussi, des cas existent où une émoticône comme @_@ peut envoyer une notification à l’utilisateur @_ d’une instance donnée

La réaction de l’utilisateur @reset

  • L’utilisateur @reset aurait laissé sur Hacker News un commentaire disant, en substance, qu’il répondait en riant à chaque notification et qu’il appréciait réellement la situation
  • Les réactions qui ont suivi allaient plutôt dans le sens du soulagement de l’apprendre
  • Malgré cela, l’ensemble de ces exemples montre que des identifiants courts et génériques, combinés aux fonctions de mention automatique des plateformes de développement, peuvent envoyer à répétition des notifications à des personnes qui n’étaient pas visées

À lire aussi

1 commentaires

 
GN⁺ 2023-07-28
Avis sur Hacker News

  • @reset est ici. Je réponds toujours quand on me mentionne avec @. C’est drôle, et c’est aussi vraiment très plaisant de voir ce que les gens construisent ensuite
    J’espère que ça continuera, c’est une partie assez agréable de ma journée

    • J’ai vraiment aimé la réponse laissée sur la PR liée. Ce genre de chose peut être soit très agaçant, soit très amusant, et c’est sympa de voir que ça a été pris avec sens de l’humour
    • Mon compte était @username, puis GitHub l’a soudainement renommé usernamex un jour
    • J’ai obtenu le compte sshole pour la même raison

  • J’ai travaillé autrefois chez Realm, une entreprise de bases de données mobiles. On avait une intégration qui republiquait dans Slack les mentions de @realm sur Twitter, pour voir ce qui se passait
    Un matin, le canal #twitter était rempli de contenu presque pornographique. De jeunes hommes portaient des vêtements révélateurs, exhibaient leurs abdos et souriaient à la caméra
    Il s’est avéré que quelqu’un avait branché un bot qui republiait des posts Instagram sur Twitter, mais Instagram autorise les points dans les noms d’utilisateur alors que Twitter ne les autorise pas. Le compte IG était sans doute @realm.of.beauty, et Twitter l’a interprété directement comme @realm

    • Moi aussi, comme je suis @cmg sur Twitter, je recevais pas mal de mentions Instagram de ce genre, et les gens me prenaient pour toutes sortes de choses : CheckMate Gaming, Canadian Media Guild, Cocaine Muzik Group, Chipotle Mexican Grill, etc.
    • J’ai vécu une chose similaire. Le nom d’un forum public était un acronyme, et cet acronyme était aussi utilisé pour un fétichisme gay de fessée à la pagaie
      En parcourant notre hashtag ou nos mentions, on tombait parfois sur une scène où un jeune acteur se faisait frapper de façon suggestive les fesses nues avec une sorte de batte de cricket
    • Sur Twitter, j’utilise @CommonFirstNameCommonLastName, et il arrive que des gens qui me prennent pour une personne complètement différente me mentionnent ou m’envoient des DM. Ce n’est pas assez fréquent pour être vraiment pénible

  • Dans un précédent boulot, on avait décidé de créer un canal Slack nommé d’après une directive du préprocesseur C. C’était probablement #define ou #endif. Quelques personnes l’ont trouvé et ont compris la blague
    Mais quelques mois plus tard, un administrateur m’a contacté pour me demander s’il pouvait supprimer ce canal. Dans les grandes organisations, Slack connaît les canaux qui ne doivent pas être visibles par d’autres parties de l’organisation, et à cause de ça, les mentions de directives du préprocesseur C étaient censurées pour les personnes hors de mon groupe ^^;

    • Comme ça, ils apprendront à les mettre dans des blocs de code
    • C’est drôle que Slack, en essayant de bloquer la mention, ait au contraire révélé l’existence d’un canal privé

  • Il m’est arrivé de coller par erreur une backtrace dans une issue GitHub sans bloc de code. La pile était profonde et chaque ligne commençait par “#0”, “#1”, “#2”, etc., et GitHub a transformé tout ça en liens vers les issues portant ces numéros
    Des notifications de rétro-référence ont même été envoyées à chaque issue, et il ne semblait pas y avoir de moyen d’annuler ce comportement

    • Le plus gros problème que j’ai eu avec les références d’issues, c’était dans les messages de commit. Un dépôt utilisé comme template mettait “Fixes #123” dans ses messages de commit pour fermer des tickets de ce dépôt template
      Le problème, c’est qu’en fusionnant le template mis à jour dans les dépôts enfants, les issues de chaque dépôt enfant étaient aussi fermées
    • Dans le suivi d’issues GitLab de QEMU, ils ont volontairement fait commencer les numéros d’issues à un nombre plus élevé. Je crois que c’était autour de 100
      Ils avaient rencontré ce problème très tôt pendant la migration depuis Launchpad, donc il n’a fallu renuméroter que deux ou trois issues déjà créées avec de petits numéros, et ce n’était pas très grave
    • Dans ce genre de cas, il devrait absolument y avoir un bouton Annuler affiché immédiatement

  • Il arrive que des gens confrontés à un bug me @ simplement parce que j’ai récemment contribué au dépôt. Dans ces cas-là, je réponds juste “LGTM Approved”, et les gens s’énervent
    Je me fiche de ce qui est check-in dans ce projet. Ce n’est pas le mien

  • Une fois, j’ai changé de numéro de téléphone pour que les 8 derniers chiffres soient 69696969. Je trouvais ça hilarant
    Puis j’ai découvert que des gens avaient écrit ce numéro n’importe où dans toutes les cabines de toilettes, avec des messages du style “pour passer un bon moment, appelez XYZ69696969”, et je recevais des appels toute la nuit, tous les jours

    • Steve Wozniak a utilisé 888-8888 pendant un certain temps. Un numéro très classe, mais il recevait des centaines d’appels où l’on n’entendait que des bruits aléatoires en arrière-plan
      Il a fini par comprendre que des bébés appuyaient sur les boutons des téléphones de leurs parents, et qu’un numéro composé uniquement de 8 était apparemment facile à composer pour eux
      https://www.wired.com/1998/09/woz/
    • Je possède quelques numéros 867-5309 dans différentes régions. Aujourd’hui, ils ne font plus rien, mais pendant un temps je les avais reliés à un PBX, et chaque ligne recevait jusqu’à 2 500 appels par jour. Beaucoup d’hommes ivres essayaient d’appeler Jenny
    • C’est étonnant que les gens appellent réellement ce genre de numéros
    • Le célèbre footballeur allemand Franz Beckenbauer a demandé 66666666 lors d’une promotion avec un opérateur mobile, et il a reçu des appels nocturnes similaires
      https://www.spiegel.de/panorama/falsche-nummer-beckenbauers-...

  • GitHub a des fonctionnalités assez dangereuses du côté des tags et des mentions. Par exemple, quand on ajoute quelqu’un à une organisation, le nom d’utilisateur est autocomplété
    Il y avait une personne avec un nom courant, et on a déjà ajouté par erreur à l’organisation quelqu’un d’autre au nom similaire. Heureusement, on l’a retirée avant qu’elle n’accepte l’invitation, puis on a ajouté la bonne personne

    • Exactement. C’est vraiment agaçant. On vous fait passer par toutes sortes de procédures pour prouver le code source et on vous impose plusieurs couches de chiffrement, mais on rend beaucoup trop facile le fait de donner à une personne sans aucun rapport des droits d’écriture sur tout le code de l’entreprise
    • Ça m’est arrivé aussi. J’ai accepté l’invitation, regardé leur contenu, puis ouvert une issue/PR pour leur demander de me retirer. Ils ont paniqué, et moi ça m’a un peu fait rire

  • Sur GitHub, il m’arrive d’être tagué comme fuseau horaire

    • Je me demande comment il a obtenu ce nom d’utilisateur. Les noms courts disparaissent très vite ; il devait sans doute être dans les 1 000 premiers

  • Un vecteur de spam intéressant me vient à l’esprit. Il suffit de créer une PR qui fait la promotion de quelque chose, puis de @mentionner en masse les personnes qu’on a scrapées
    Le vecteur d’attaque est intéressant aussi : obtenir un @nom facile à confondre et attendre de devenir reviewer d’une PR. Ensuite, ajouter du code malveillant à cette PR et la fusionner
    Au passage, au travail, quand on configure les droits d’accès de sécurité de l’organisation, le fait que la recherche combinée permette d’ajouter n’importe qui dans le monde est idiot. Il n’y a même pas d’option pour filtrer uniquement les membres de l’organisation
    Et la plupart des gens utilisent des handles bizarres sur leur GitHub professionnel ou personnel. Donc, pour utiliser l’UI, il faut soit devenir un excellent comparateur de chaînes de caractères, soit trouver le handle de chaque personne et le copier-coller un par un
    Une troisième attaque consiste à créer plein de comptes avec des noms proches de ceux des employés de l’entreprise ciblée, en espérant être ajouté par erreur à un dépôt de l’organisation

  • J’ai été assez déconcerté en découvrant que, quand on lie une issue GitHub d’un autre dépôt, un rétrolien apparaît sur l’issue liée. Même si on supprime le lien, ce n’est pas annulé ; il faut supprimer complètement l’issue
    J’aimerais qu’on puisse désactiver cette fonctionnalité

    • Je viens tout juste de découvrir ça aujourd’hui. J’ai été assez surpris de voir, sous l’issue d’un dépôt public, un lien vers une PR de notre dépôt privé
      Heureusement, il disparaissait en navigation privée, et il n’était pas visible non plus en me connectant avec un autre compte. Ce n’est donc pas visible par tout le monde, mais pendant un instant ça a été une surprise franchement désagréable
    • « https://github.com./a/b » ou « https://www.github.com/a/b » fonctionnent aussi comme contournements
      Mais le fait que ça ne disparaisse pas même après l’avoir modifié pour le supprimer, voire après avoir supprimé le commentaire qui contenait ce lien, est incroyablement idiot et agaçant
    • Ça va. Ça n’envoie de notification à personne. Si vous ne faites rien d’embarrassant ou de spammy, personne ne devrait s’en soucier
      C’est bien de pouvoir voir quelle issue a un impact sur quel autre projet, et ça peut être une information assez utile
    • Si vous voulez vraiment l’éviter, j’imagine qu’utiliser un raccourcisseur de lien comme bit.ly derrière le Markdown pourrait le masquer. Je n’ai pas testé
      Cela dit, j’aimerais que vous ne fassiez ça que dans un dépôt personnel auquel vous êtes le seul à contribuer. Sinon, du point de vue de la personne qui clique, ça paraît extrêmement suspect