Ereditato un progetto con una backdoor da gestire; il codice è stato prontamente rubato da un'entità conosciuta. Qual'è il prossimo?

Il modo migliore per evitare di essere rootati sarebbe rimuovere la backdoor dal progetto. Se ciò non è possibile, l'unica altra scommessa che posso vedere è isolare il programma in un contenitore e configurare un controllo degli accessi molto rigido e un filtro ip per cercare di mitigare il danno.

Se si desidera conservare la funzione (non lo consiglierei), sarebbe opportuno aggiungere una strong autenticazione (certificati e password) per assicurarsi che l'accesso non autenticato non avvenga.

Chiedi al signor **** perché l'ha fatto, chiedilo di rimuoverlo, e a meno che non avesse l'approvazione di un sacco di persone e una buona ragione lo licenziò.

Questo è davvero, davvero brutto. Devi fare quanto segue:

• Se il sistema è in esecuzione, spegnilo. Non ricominciare da capo finché il problema non viene risolto. (Si potrebbe considerare di eseguirlo dietro una specie di firewall che blocca l'exploit, ma a meno che non si sia veramente sicuri di essere effettivamente protetti sarebbe anche un rischio.)
• Supponiamo che tutti i tuoi server, inclusi gli schiavi, siano stati compromessi. Leggi questo.
• Risolvi il problema rimuovendo la backdoor, anche se è complicata. Non farlo sarebbe come dire "Sono stato colpito da un proiettile avvelenato, ma il dottore ha detto che sarebbe stato necessario un intervento chirurgico complicato per rimuoverlo, quindi l'ho lasciato nel mio corpo".
• chiedi a qualcuno esterno di fare una revisione completa del tuo codice, per assicurarti che non ci siano più tesori nascosti da qualche parte.
• Verifica le routine per il commit del codice in produzione. Cosa si può fare per impedire che cose del genere possano scivolare in futuro?

Per quanto riguarda il modo di trattare con il signor X (e chiunque altro sia a conoscenza di questo), la questione non è davvero in discussione qui e non ne so abbastanza della sua motivazione a rispondere comunque. Ma ti consiglierei di avere qualche serio parere legale su questo.