Popcorn Time bir zamanlar korsan film izlemenin en kolay yoluydu: torrent dizinini katalog gibi gösteren bir uygulama, tek tık, tek film. Proje ölü. Kurulumlar değil — ve The Verge'e göre asıl sorun tam da bu: terkedilmiş uygulamaların, bir zombi ordusuna dönüşmelerini önlemek için devre dışı bırakılması gerekti.
Cümlenin asıl anlamlı kısmı biçiminde. Milyonlarca makinede duran bir uygulamayı bir web sitesini kapatarak devre dışı bırakamazsınız; kurulu kopyalara ulaşmanız gerekir — o kopyaların hâlâ güvendiği kanal üzerinden. Kapatmanın mümkün olması, kanalın hâlâ açık olduğunun kanıtı. Ve kapatılabilen her şey başka bir şey için de kullanılabilir: uzaktan güncelleme yolunun kontrolü, çok sayıda bilgisayarda zaten kurulu ve zaten güvenilen bir istemcinin kontrolüdür.
Asıl bulgu bu ve piraterinin çok ötesine geçiyor. Terkedilmiş yazılım uykuda bir borç değil, sahipsiz saldırı yüzeyidir. Bir proje kapanır; ama güncelleme sunucuları, alan adı, sertifika, uzaktan yapılandırma uç noktası ve imzalama anahtarları ondan uzun yaşar — çoğu zaman yıllarca, çoğu zaman çoktan başka bir işe geçmiş birinin elinde. Bu artıkların her biri, sahibinin bir video oynatıcı kurduğunu sandığı makineye açılan potansiyel bir kapı. Bu uygulamaların korsan film dağıtması durumu iyileştirmiyor, yalnızca bildirilmesini zorlaştırıyor: bir korsan istemcisinin kullanıcısı nadiren destek hattını arar ve zaten bir şeylerin ters olabileceğini yarı yarıya bekler.
Sorumluluğun yönü de dikkate değer. Bir kill switch müdahalesi savunmacıdır: kullanıcıların yol açmadığı ve göremediği bir zararı önlemek için onlardan bir yeteneği alır. Bu doğru karardır, ama bedeli olan bir karardır — milyonlarca çalışan kurulum, bunu yapmaya hiç yetkilendirilmemiş kişilerce kapatılır. Ticari bir satıcı bunu yapsa skandal olurdu; terkedilmiş bir korsan uygulamasında ise haklı olarak zarar sınırlama diye okunur. Bu asimetri de bir belirti: ürünün sahibi yoksa, kararı anahtarları hâlâ elinde tutan verir.
Geri kalan herkes için ders rahatsız edici ve basit. Bağımlılıklar ölmez, sahipsiz kalır — ve ağ erişimi ile kendini güncelleme mekanizması olan sahipsiz bir bağımlılık, kimsenin bakmadığı bir arka kapıdır. Şirketler için: iki yıldır güncelleme almayan kurulu yazılımların envanteri bir hijyen çalışması değil, bir risk listesidir. Geliştiriciler için: neyi gönderirseniz onu sonsuza kadar taşırsınız. Kill switch, paranoyaya verilmiş bir taviz değil ürünün parçasıdır — onu çalıştıracak anahtarlar hâlâ sizdeyken inşa edin, alan adını devralan kişi doğaçlama yapmak zorunda kalmasın.
