Vlákno názorů k článku Jak jsem ukradl sezení administrátorovi a objednal ruskou vodku za kvintiliardu od randomofamber - "Pořád přemýšlím, jak tento stav vylepšit, " A co...
-
"Pořád přemýšlím, jak tento stav vylepšit, "
A co takhle vytvořit stránky, na kterých by se zveřejňovaly chyby nezabezpečených webů? Ano, je to drastické, ale jedině špatná pověst a z toho plynoucí ztráty mohou donutit provozovatele, aby se o své weby starali. A proč postihovat provozovatele? No to je jako s každým jiným výrobkem. Zákazník (provozovatel webu) si vybírá co si koupí (webový obchod), a je-li to šmejd, pak je reklamuje nebo vrací. Navíc pokud mu díky vadě vznikne škoda, pak je za tuto škodu zodpovědný výrobce (programátor). No a když se mohou zakazovat zdraví nebezpečné výrobky nevidím důvod proč by se nemohli zveřejňovat nezabezpečené weby, které navíc díky svému chybnému zabezpečení mnohdy porušují zákon č. 101/2000 Sb., o ochraně osobních údajů např. §10 nebo §13.
-
Vy to vidite z pohledu technika znaleho veci.
Nejaky prodejce bot pres eshop patrne ani nema paru o tom, co je SQL Injection...
Dobre, muzeme rici, ze vyber vyrobce webu je na nem. Takze je na nem, aby si sehnal reference. Problem je v tom, ze vetsina napadenych se to ani nedozvi, takze pak nemuzou na webu delat vyrobci webu spatne reference kvuli spatnemu zabezpeceni.
A tak se pravdepodobne ten nas prodejce bot ani nedozvi, ze vyrobce prodava smejd (po bezpecnostni strance, zbytek muze byt v pohode se spoustou pozitivnich referenci).
Nechci se provozovatelu zastavat, ale zas tak cernobile bych to nevidel. A IMHO osveta by se mela delat predevsim mezi vyrobci webu. Tam je ale problem v tom, ze veby dnes dela kdejaky studentik a rekreacni patlal...
Takze chapu autora clanku, ze uz ani nevi, jak tento stav vylepsit...
-
Je jasné, že svět je šedivý, ale situace je taková, že musíme stanovit hranici. Například Google objevuje chyby na jiných aplikacích a dává firmám týden na opravu, a pak chyby zveřejňuje. To je přeci správný směr. Je třeba dát vědět provozovatelům, že mají problém a na nich pak je, jak se zařídí. Ovšem je také třeba jim dát nůž na krk, nebo nad tím jenom mávnou rukou. Pokud se nastartuje takový podobný směr, pak si každý rozmyslí, zda nechá nějakého "studentíka" vytvářet a spravovat své stránky a být pak veřejně lynčován jako nebezpečný web. Mimo jiné někdy to ty studentíci to dělají kvalitněji jak "velké" firmy...
-
x (neregistrovaný)
Nejaky franta z horni dolni nema maru o tom, jak funguje vstrikovani a ventily jeho auta, natoz aby mel paru o tom, co dela jeho ridici jednotka. Je mu to jedno. Presto kupodivu uzavira nejakou smlouvu ve ktere se prodejce zavazuje k nejakemu supportu (zaruce) ... a pokud dodrzuje pravidelne servisni intervaly/technicke kontroly, nemelo by se stat, ze jeho vuz bude mit takovou zavadu, ktera by jej ohrozovala. A pokud bude, tak se bude resit, proc takova zavada vznikla - nedbala kontrola/vyrobi vada/...
-
Honza (neregistrovaný)
a trvá X let, vyrábí se stotisícových sériích. Software je často prodáván v jednotkách, případně desítkách kusů, mění se poměrně často a má mnohem menší rozpočet.
Každý by měl dneska mít ošetřené ty základní věci, jako je SQL inj. a spol, ale bezpečnost je jako balón, nezáleží na tom, jak kvalitní je plášť, na únik stačí jedna díra.
-
Jirka Nosek (neregistrovaný)
E-shopy porušují zákon o ochraně osobních údajů, zatímco pan Špaček páchá trestný čin podle "§ 230 Neoprávněný přístup k počítačovému systému a nosiči informací" a zcela veřejně se tím chlubí.
Zcela ovládnutý pocitem nepolapitelného machra, kterému nejde nic prokázat.
V době, kdy policie zabavuje semínka a lampičky, možná by stálo za to, kdyby postižené eshopy na pana Špačka společně podaly trestní oznámení.
Probourat se vědomě do špatně zabezpečené administrace eshopu není žádná machrovina, to je trestný čin!
-
Možná páchal trestný čin, ale tento článek zjevně není veřejným chlubením pana Špačka, jaký je super hacker. Jako by Vám pan Špaček šlápl na kuří oko a Vás to pěkně bolí. Teď budu spekulovat, ale nejste náhodou jeden z programátorů, který programuje jeden z webů co pan Špaček prohlásil za špatné? Svou spekulaci zakládám na lidovém rčení "Postřelená husa nejvíc kejhá...".
Dodám ještě, že i když porušování zákona neschvaluji, tak zrovna za takovéto otestování jsem s povděkem. Dle mého soukromého názoru nebezpečnost činu pro společnost spáchaná panem Špačkem zcela převažuje nad důsledky nebezpečnosti nečinnosti provozovatelů webů a programátorů. Doufám, že Vám jednou někdo neukradne E-mail, FB účet, G+ účet, neprobourá se vám do internetové banky a podobně...
-
Ferda Mravenec (neregistrovaný)
To preci nema s PHP nic spolecneho, stejne chyby se clovek docka i kdyz to nekdo spatne naprogramuje v cemkoliv jinem ...
Souhlasim s tim, ze se jedna o nelegalni utok, ale na druhou stranu, bez takovychto clanku by si drtiva vetsina ctenischopne spolecnosti neuvedomila, jake riziko hrozi. Ma se o tom nepsat ? Nebo psat pouze v intelektualni rovine, ze kdyby se udelalo tohle, stane se tohle, asi by to vypadalo takto ... takovychto nicnerikajicich navodu na to, jak resit ruzne bezpecnostni problemy je na webu tuna, ale tento jednoduchy clanek a ukazka to ilustruji mnohem lepe. A to je rozdil mezi svetem vysokoskolske kancelare odtrzene od reality, a skutecnym svetem tam venku. Rozdil mezi filozofovanim na CZNICu a vytvareni bezpecnostnich skupin, ktere nic nevyresi, a stomegovymi server logy, kde se den co den stovky cizich IP adres snazi nabourat do FTP, SSH ci jakehokoliv jineho pripojeni ...
A nase jedina reakce je konstatovani, ze je to nelegalni a ze za to muze framework A nebo B. Smutne.
(nejsem zastance NETTE, odmitl jsem v nem pracovat, v PHP delam velmi casto, stejne jako v .NET, JAVE a dalsich)
-
Michal Tuláček (neregistrovaný)
I kdyby nebyly, tak tu mate odstavec 2 pro osoby, ktere uz v tom systemu jsou a neco tam delaji (odstavec 1 tresta za to, ze nekam neopravnene vlezete, odstavec 2 tresta [bez ohledu na to jak jste se tam dostal] to, kdyz tam neco neopravnene delate). Kazde pismeno je samostatna skutkova podstata, takze to nemusite naplnit vsechno, abyste byl odpovedny (a naopak, kdyz jich naplnite vic, tak uz je to soubeh vice trestnych cinu)
(2) Kdo získá přístup k počítačovému systému nebo k nosiči informací a
a) neoprávněně užije data uložená v počítačovém systému nebo na nosiči informací,
b) data uložená v počítačovém systému nebo na nosiči informací neoprávněně vymaže nebo jinak zničí, poškodí, změní, potlačí, sníží jejich kvalitu nebo je učiní neupotřebitelnými,
c) padělá nebo pozmění data uložená v počítačovém systému nebo na nosiči informací tak, aby byla považována za pravá nebo podle nich bylo jednáno tak, jako by to byla data pravá, bez ohledu na to, zda jsou tato data přímo čitelná a srozumitelná, nebo
d) neoprávněně vloží data do počítačového systému nebo na nosič informací nebo učiní jiný zásah do programového nebo technického vybavení počítače nebo jiného technického zařízení pro zpracování dat,
bude potrestán odnětím svobody až na dvě léta, zákazem činnosti nebo propadnutím věci nebo jiné majetkové hodnoty. -
khack (neregistrovaný)
A co zákon na ochranu spotřebitele? Cílem by mělo být, aby zákazník eshopů byl chráněn a nemusel se nákupu na eshopech bát. Toto se však neděje a namísto toho se budou vléct spory o to, zda je špatné hledat bezpečnostní díry a upozorňovat na ně a zda by se měl člověk, který se snaží bez osobního obohacení chránit ostatní spotřebitele, trestat, jelikož je to hacker a pirát a zloduch, a to je špatné.
Občas mi přijde, že právníci žijou mimo realitu. Jediné co je zajímá je, jestli je naplněna skutková podstata nějakého písmena v nějakém paragrafu, bez ohledu na to, jestli to celý je úplná kravina nebo ne.
-
Johny (neregistrovaný)
Právníci nežijí mimo realitu, dotyčný diskutér ale není právník a nerozumí trestnímu právu. Jednání autora (tak, jak bylo popsáno) by nebylo postiženo, neboť postrádá společenskou škodlivost.
http://www.zakonyprolidi.cz/cs/2009-40#p12-2 -
Zákon má pro tyhle případy jiné opatření. Totiž: kde není žalobce, není ani soudce. Předpokladem je, že pokud vás někdo upozorní, že zadními dveřmi může kdykoliv přijít a cokoliv si odnést a že by jste si je měl zamčít, tak ho nepoženete na policii. Měl by jste říct děkují a jít si pro klíče... Samozřejmě v tomto případě, kdy měl někdo hodnotit obchod, se snad ani nedá očekávat, že by někdo reagoval výhrůžkami.
Ovšem na tom PHP něco je. Ale nelze to házet automaticky na jazyk či framework. Bohužel platí se za to, co si zákazník umí ohlídat. Což je možná slušný design a neobtěžování hloupým rozhraním, ale rozhodně ne bezpečnost. Ta naopak spoustu věcí značně komplikuje a poctivý tvůrce si ji hlídá spíš ze stavovské cti, než že by jí mohl argumentovat se zákazníkem.
-
Me (neregistrovaný)
Bohužel často je to tak, že v zadním pokoji zjisím, že mi tam někdo šmejdil či šmejdí a hejbe s věcma. Když druhý den přijde s tím, že bych si měl byt zabezpečit, možná ho taky pošlu někam, protože úroveň zabezpečení jsem zvolil odpovídající svým potřebám a reálným rizikům a mnou realizovanému pojištění.
-
Lol Phirae (neregistrovaný)
Zákon žádné zločiny "na zkoušku" nezná.
Uhm...
§ 30 Svolení poškozeného
(1) Trestný čin nespáchá, kdo jedná na základě svolení osoby, jejíž zájmy, o nichž tato osoba může bez omezení oprávněně rozhodovat, jsou činem dotčeny.
(2) Svolení podle odstavce 1 musí být dáno předem nebo současně s jednáním osoby páchající čin jinak trestný, dobrovolně, určitě, vážně a srozumitelně; je-li takové svolení dáno až po spáchání činu, je pachatel beztrestný, mohl-li důvodně předpokládat, že osoba uvedená v odstavci 1 by tento souhlas jinak udělila vzhledem k okolnostem případu a svým poměrům.
(3) S výjimkou případů svolení k lékařským zákrokům, které jsou v době činu v souladu s právním řádem a poznatky lékařské vědy a praxe, nelze za svolení podle odstavce 1 považovat souhlas k ublížení na zdraví nebo usmrcení. -
carphatia (neregistrovaný)
Pro trestný není vždy nutné, aby vznikla někde někomu škoda. Např. tomto zmiňovaném případě bude mnohem důležitějším aspektem společenská nebezpečnost. Pokud byly (přihlášené) weby testovány pro Web Top 100, zcela jistě byli majitelé webů srozumněni s tím, že obdobný test zabezpečení pořadatel soutěže podnikne. Činnost Michala Špačka tedy postrádá jakoukoli společenskou nebezpečnost.
-
lojza (neregistrovaný)
Pokud není váš příspěvek myšlený jako ironie, tak váš přístup odradí různé whitehaty aby hledali chyby ve stránkách a pak je hlásili provozovatelům.
Takový koníček, co jej občas nějkdo provozuje. Chyby mohou najít náhodou nebo cíleně. To záleží na okolnostech.
Slušná firma za upozornění poděkuje, případně pošle nějakou maličkost. Ale řada výtečníků ani nezaraguje. Pokud se jedná o nějaký větší průšvih (nějaký podstatnější web státu), tak zabírá hrozba zveřejněním.
Kriminalizovat tydle lidi povede k tomu, že se vám na to ... ale vaše chyby tím nezmizí a zlí hoši je nepřestanou používat. V zahraničí přišli na to, že takovým dobrovolným výzkumníkům je lepší za nalezené chyby platit peníze než jim vyhrožovat žalobami.
-
x (neregistrovaný)
A mr Nosek netusi, ze tresny cin ma i nejake dalsi znaky - napriklad zpusobeni skody, osobni prospech ... samotny akt komunikace s verejne pristupnym zrojem rozhodne trestny neni, natoz v pripade, kdy data jsou defakto verejne dostupna.
Je to zhruba totez, jako navsteva dokoran otevreneho bytu - pokud tam dotycny nic neodnese, tak se podivat klidne muze.
-
red (neregistrovaný)
Tady mame oboji - osobni prospech (viz tady pochlebovani se autorovi, jakej je machr (a to bez sarkasmu je :) ) a zpusobeni skody - vime, jak nalozil s odcizenymi udaji? ze si nerozesle nejaky mailing na zjistenych 100 tisic emailu z vyrbanych databazi? (tady to sarkasmus je)
:)
je to jasny trestny cin, prece nemuzu vlizt do obchodu a vykrast ho, jen proto, ze nemaji zamcene dvere ... ts ts ...akorat by misto tucne pokuty a 50ti let za mrizema dostal jen domluvu a cele by to soud smetl ze stolu...