Здравствуйте, CodeMonkey, Вы писали:
N>>Обоснование — в студию.
CM>security through obscurity, слышал когда-нибудь?
Слышал. Важный принцип, но его употребление испохабили такие, как ты, ляпальщики баззвордами.
Сюрприиз: использование пароля — тоже security through obscurity. Ты думаешь, что твой пароль никто не узнает? Этого до первого взлома. Или успешного перебора. И тем не менее на парольной защите стоит весь Интернет.
Профессионал же будет думать не в баззвордах, а в конкретных цифрах. Какая вероятность подобрать пароль за K дней? Что нужно сделать, чтобы её уменьшить? Если сделать задержку перед отрицательным ответом, временно зафайрволлить подбиральщика и т.д., и это помогает — это надо делать. Что делать, когда каждый день выходят эксплойты? Узнать, что крякеры бьют по площадям, и если им требуется предварительная оценка, кого и как ломать, то эту оценку желательно затруднить. Если это затруднение делается дёшево — его надо сделать.
И он, разумеется, не будет считать эту защиту абсолютной. Вообще, вряд ли бывает абсолютная в этом не вполне совершенном мире. Но если с такой защитой у хостера взломают, грубо говоря, 15% сайтов, пока он уговаривает клиентов, что надо проапгрейдиться, а без неё — 20%, оно того стоит.
N>>Сначала твои. Ты же начал ругать на эмоциях.
CM>Диагностика ошибок, слышал когда-нибудь?
Вот она и придёт владельцу. В подробностях детальнее, чем отдали бы тебе.
Здравствуйте, CodeMonkey, Вы писали:
CM>Ну тогда должен бы понимать, что один очень частный случай не оправдывает общую политику.
Общая политика — не давать системных сообщений пользователю. Весьма грамотная политика.
Здравствуйте, CreatorCray, Вы писали:
CM>>If you are the application owner check the logs for more information. CC>Написано же — детали в логах.
К слову, не понятно для кого это вообще написано. Мне, как пользователю, что с того, что детали в логах, а админу/разрабу и подавно, он об этом и без всякого сообщения знает.
Здравствуйте, CodeMonkey, Вы писали:
N>>Обоснование — в студию. CM>security through obscurity, слышал когда-нибудь?
Это обоснование не давать подробных ошибок пользователю. Security through obscurity — крайне эффективный метод обеспечения безопасности, но должен работать в связке с другими, а не быть единственной преградой.
Примеры из жизни.
1. Маршруты и расписание военных конвоев хранят в тайне, а не вывешивают на каждом столбе. (Тем не менее, это не отменяет других методов обеспечения безопасности — конвоя самого по себе, брони, оружия, связи.)
2. Секретная информация доводится до человека только в том объеме, что его касается и никак не более того. В случае утечки информации, её объем таким образом минимизируется.
3. Самые надежные системы сигнализации ставятся в рандомные места, а расположение и схема сигнализации никогда не раскрывается, несмотря на всю её навороченность. Воры всегда говорят спасибо тем автовладельцам, которые на свои авто ставят наклейки производителей противоугонных систем. Сильно облегчают работу.
4. Для сокрытия утекшей информации, распространяют кучу версий, чтобы выбрать реальную было крайне сложно.
CM>Диагностика ошибок, слышал когда-нибудь?
Слышал про автоматическое создание тикета на ошибку в системе и прочие системы автоматических алертов?
Здравствуйте, CodeMonkey, Вы писали:
CM>Логин на сайт. Ошибка: CM>[q]We're sorry, but something went wrong.
CM>Что конкретно за ошибка, кому и как ее репортить — ни слова. И такая хрень — это уже правило, а не исключение. Полная деградация.
А я согласен с CodeMonkey. Конечно, наши взгляды немного искажены профессией — программист не заснёт, если не узнает, в чём проблема. Но в любом случае, если твой сайт упал/не работает — твой сайт г***вно. А защищать такую каку — нет смысла, это позорный лендинг или богом забытый магазинчик брелков.
И для юзера было бы крайне полезно знать, это временная ошибка (из-за криворуких жабописак, которые накосячили на форме) или это перманентный капут (например, кривой connection string, который НИКОГДА не выправится без человека). И не надо чморить юзера, будто они совсем уж тупые или им не у кого спросить! Спросят и получат квалифицированный ответ.
Собсно, вы просто прикрываете свою позорную работу, если вы прячете всё и вся, включая админский емэйл. Тоже мне, бином ньютона! Спама они боятся, а свой г***вносайт они не боятся... может, всё наоборот должно быть?
Я согласен, что показывать всю инфу — нельзя, но то, что это системная невосстановимая ошибка — НАДО, потому что НАДО УВАЖАТЬ ЮЗЕРА (то, чему вас никогда не учили, господа кодеры). Более того — система может так встать раком, что вообще никакие сообщения не будут проходить! А был бы емэйл — сообщение об ошибке уже ничто бы не остановило — его тупо отсылают из почтовика.
А вот за этот "неверный логин ИЛИ пароль" вообще надо бить скалкой до просветления! КОГО вы хотите обмануть, клоуны?! Вы вообще ничего не слышали про миллионные базы емэйлов? Очевидно, что "подобрать логин" — это элементарная задача перебора, скрывать логин — тупая и крайне неудобная для юзера "защита". Очевидно, что единственным секретом в авторизации является пароль. Так нафига вы создаёте геморой ВСЕМ юзерам, когда защищаетесь против 0.0001% хакеров, способных взломать сайт?? (и которым ваша obscurity по-барабану)
Если вы так переживаете за брут, выдавайте "неверный пароль" после 4-5 секунд, а после 5 попыток — блок ИП. Не так уж и сложно, зато юзер не будет гадать — забыл он емэйл или криво ввёл пароль. ЮЗЕРЫ — вот кто должен вас заботить.
"Защита информации не должна быть дороже самой информации" — тоже часто забывают. Каждый, ***ка, урюпинский форум наворачивает такие правила авторизации, что думаешь, уж не логинюсь ли я в ЦРУ на высший уровень?! И пароль им длинный, и 5 разных категорий символов напиши, капча, куки, проверочный емэйл... эй, клоуны, потренируйтесь сначала на мамке, а потом уже выносите свои позорные "борды" на люди! Мы вам не собаки цирковые, прыгать под ваши идиотские правила!
Ох, широка тема, но вернёмся: Если основные правила защиты соблюдены, а код грамотно написан (а не скачана го**в*няная похапэшка "бисплатный форум"), то в нём системные ошибки отделены от юзерских и дают хотя бы общее представление, что "извините, вот именно сейчас бесполезно что-либо повторять, система не заработает" — НИ ОДИН из вас подобного не делает — стыдно за собственные косяки. Ну так чего ЮЗЕРЫ должны из-за вас страдать?! Это ВАС надо увольнять за бестолковый сайт!
Круто, правда? Пока вы раздували щёки про секурность, вы не видели главного — это ВАША ОШИБКА, что ваш сайт не работает.
CM>Что конкретно за ошибка, кому и как ее репортить — ни слова. И такая хрень — это уже правило, а не исключение. Полная деградация.
1. https://github.com/rails/rails/issues/11063 — есть гипотеза, что это стандартное сообщение от движка на Ruby
2. Если это Ruby, то это стартап
3. Если это стартап, то делали его хипстеры
4. Если это хипстеры, то хочется взять и у%%%ть.
Всё логично, интуиция тебя не подвела. Напиши им что хочешь купить их замечательный стартап, назначь встречу и исполни свои порывы. Ждём фотоотчёт.
S>Если это стартап, то им нужен инвестор, а не пользователи. Таким образом, сайт прекрасно исполняет свою функцию.
Инвестор желает Минимально жизнеспособный продукт(MVP), а не минимальный набор неработающего мусора.
Здравствуйте, TimurSPB, Вы писали:
S>>Если это стартап, то им нужен инвестор, а не пользователи. Таким образом, сайт прекрасно исполняет свою функцию. TSP>Инвестор желает Минимально жизнеспособный продукт(MVP), а не минимальный набор неработающего мусора.
Ну вот когда нужно будет инвестору показать, тогда и включат. А пока нефига переводить электричество.
Здравствуйте, Слава, Вы писали:
S>>Сайт-то бесплатный небось?
С>Давно пора их штрафовать за демпинг.
С>А как начнут символический 1 доллар брать за услугу — так требовать соблюдения всех норм.
Здравствуйте, CodeMonkey, Вы писали:
CM>Логин на сайт. Ошибка: CM>
We're sorry, but something went wrong.
CM>If you are the application owner check the logs for more information.
CM>Что конкретно за ошибка, кому и как ее репортить — ни слова. И такая хрень — это уже правило, а не исключение. Полная деградация.
Ошибка уже вообще-то отрепортилась в логах, зачем юзера заставлять что-то делать ещё? А конкретную ошибку показывать нельзя по очевидным причинам.
CM>Показать тебе примерно такую же ошибку в винде, которая ни разу не бесплатная?
Винда (как я понял ты имеешь в виду десктопные приложения) работает в другом окружении и для неё совсем другая модель безопасности, и по очевидным причинам ошибки обрабатываются по-другому.
но это не зря, хотя, может быть, невзначай
гÅрмония мира не знает границ — сейчас мы будем пить чай
Здравствуйте, Sharowarsheg, Вы писали:
С>>А как начнут символический 1 доллар брать за услугу — так требовать соблюдения всех норм. S>Кому они будут нужны за 1 доллар?
Вот и отлично, что никому. За организацию свалки мусора без разрешения можно получить штраф, а за засорение информационного пространства — почему-то не штрафуют. "Первый опыт нужно сворачивать в трубочку и засовывать себе в задницу, а не вывешивать на всеобщее обозрение" (с) Артемий Лебедев.
Здравствуйте, CodeMonkey, Вы писали:
CM>Логин на сайт. Ошибка: CM>
We're sorry, but something went wrong.
CM>If you are the application owner check the logs for more information.
CM>Что конкретно за ошибка, кому и как ее репортить — ни слова. И такая хрень — это уже правило, а не исключение. Полная деградация. CM>
Если у вас на кухне из крана брызжет то горячая, то холодная вода, не спешите вызывать сантехника и срывать на нем свою злость. Возможно вы просто тупой идиот которому всегда все не так.
Оно тебе надо — репортирить, кому-то, что-то, да еще и точную ошибку? Или ты Робин Губ — ходишь по сайтам и ищешь баги, и что и не так? Тогда понятно
Кому надо — найдет ошибку в логах.
Здравствуйте, _ABC_, Вы писали:
_AB>Обычному пользователю это ничего не скажет и он ничего изменить не сможет. _AB>Злоумышленник некоторые виды ошибок может использовать в плохих целях.
Это отсюда пошло, все эти "We're sorry", смайл вместо BSOD, "был недавно", "сегодня на 3 градуса теплее чем вчера"?
Тут уже не у@#$ть хочется, а жёстко расчленить, пля
Здравствуйте, ·, Вы писали:
·>Винда (как я понял ты имеешь в виду десктопные приложения) работает в другом окружении и для неё совсем другая модель безопасности, и по очевидным причинам ошибки обрабатываются по-другому.
В последнее время — точно так же "обрабатываются". Выдать юзеру какое-нибудь "Error 0x0FUCKYOU occured", и вся обработка.
Тоже мне, бином ньютона! Спама они боятся, а свой г***вносайт они не боятся... может, всё наоборот должно быть?
