Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 126
Может «адекватный» занести в ""?
Баг баунти адекватный без ковычек, нашел баг => заплатили. К слову недавно была статья как один украинский хакер нашел серьёзный баг в Киевстаре, и ему заплатили 50$, хотя багбаунти у них был заявлен.
А это уже из категории «совсем неадекватный».
Есть нюанс и я бы на Вашем месте сходил к юристу, знакомому с налоговым правом. Ну или самому на первом этапе вбить в поиск: «налогообложение подарков, совершенных в натуральной форме» (ну или что-нить похожее). Ибо ваше баунти и есть ничто иное, как подарок в натуральной форме. Кто по договору платит подоходный? Если это типовой ГПХ и вознаграждением является баунти, то наверно все в порядке. Короч, смотреть надо, но тут может зарыться свинья, сумма хорошая (НДФЛ-13% от 18000 = 2340), налоговики нынче довольно легко устанавливают кроссы «вознаграждение от ЮЛ == НДФЛ от ФЛ».
Я бы перебдел.
Я бы перебдел.
по такой логике можно и со скидки по карте «лента», или с акции «два по цене одного» на налог попасть. а что, подарок в натуральной форме, типа.
К сожалению, я Вам не подскажу все тонкости этого процесса. Просто предлагаю вспомнить кипишь (условно) годов 2006-2007 у сотовых операторов. Когда они учитывали бонусные фишки как хрень, которая уменьшала налогооблагаемую базу, на что ИФНС резонно на мой взгляд им возразили.
Про ретейлеров вообще налогообложение — отдельная песня, они с ясными глазами могут списывать из базы налога на прибыль до 3% оборота на «усушку, утруску, уноску...». Можете мне поверить — это существенные цифры.
Я к тому, что проблематика этого вопроса есть. Куда относят затраты ретейлеры? Как оформлен договор? А читаете ли вы оферту к этим бонусам?
Много вопросов. И чаще всего ответы лучше знать, тем более, что в ретейле у вас безименная (чаще всего) скидка, а в случае с сотовыми и провами — договор именной с Вашими реквизитами.
Про ретейлеров вообще налогообложение — отдельная песня, они с ясными глазами могут списывать из базы налога на прибыль до 3% оборота на «усушку, утруску, уноску...». Можете мне поверить — это существенные цифры.
Я к тому, что проблематика этого вопроса есть. Куда относят затраты ретейлеры? Как оформлен договор? А читаете ли вы оферту к этим бонусам?
Много вопросов. И чаще всего ответы лучше знать, тем более, что в ретейле у вас безименная (чаще всего) скидка, а в случае с сотовыми и провами — договор именной с Вашими реквизитами.
«Заплатили» тоже в кавычках — ехать с мутными людьми неизвестно куда так себе оплата.
Они: наши айтишники могут убедится что вы ее не сохранили себе?
Я: да, вы ходите забрать системник или у меня дома это все проверить?
Они: мы возьмем системник.
Заходим с ними домой, вырубаю системник, натагиваю джинсы, кроссовки, едем в офис, выходим из машины, идем все вместе к директору.
Специалисты смотрели все на жестяке, корзину.
Я: «а телефон будете проверять?», «а облака? Я мог в гугл драйв сохранить», «а c ssd данные также легко восстанавливаются как и с жесткого?»
Откуда в вас столько стремления быть наказанным?
Почему вы не намекнули специалистам, что была возможность скинуть базу на флэшку,
а флэшку спрятать в себя?
Я им намекал, им не очень то и хотелось что-то находить.
Откуда в вас столько стремления быть наказанным?А есть смысл геройствовать, когда
1) У провайдера все доказательства на руках и обеспечить посадку на 2 года по 272 УК они могут влёгкую. Особенно учитывая, что в мелком городе вся верхушка друг друга знает: владелец провайдера — администрация города — силовики — суды.
2) Ссориться с единственным качественным провайдером неразумно, т.к. во-первых, в договорах всегда есть пункт, что провайдер может по своему усмотрению расторгнуть договор в одностороннем порядке, а даже если его принудить к обслуживанию, может не найтись технической возможности подключения, либо поставит он на подключение в очередь с неопределённым сроком.
Оператор связи не имеет права расторгнуть договор по своему желанию, читайте законы… Только в результате нарушений с вашей стороны, описанных в договоре, или из-за ликвидации.
У провайдера все доказательства на руках и обеспечить посадку на 2 года по 272 УК они могут влёгкуюЕсли забыть о Вашей приписке про «все друг друга знают» (а если о ней помнить, то в общем-то что бы присесть и взлом не обязателен), то в случае взлома провайдера с этого же провайдера не всё так однозначно.
В таком случае мало того, что «доказательства» находятся под полным контролем заявителя (что уже делает их по сути ничтожными), так еще и программное обеспечение заявителя скомпрометировано (что следует из самой сути дела) что делает весомость этих доказательств околонулевой.
p.s.: Про сорм и яровую в курсе, но это отдельный вопрос, который однозначно тут ситуацию не решает.
Промазал…
Это все не в нашей стране победившей демократии, где правят силовики и «я друг друга знаю». И уж подавно не для «мелкого городка Краснодарского края», одним из которых является знаменитая Кущевская )
Упомянули об этом в скобках, поясним — в прикладном плане тут 2 нюанса.
а) Если захотят посадить, то и взламывать никого не надо, все равно посадят. В такой ситуации можно сразу сдаваться.
б) А вот если не стоит цель посадить именно Вас, то для спасения не обязательно «бежать быстрее медведя», достаточно бежать быстрее другой жертвы или бежать достаточно долго что бы медведь устал. Поэтому демонстрация своего знакомства с правовой позицией по этому вопросу и техническая грамотность может дать необходимую фору, что бы отстали именно от Вас или отстали вообще.
а) Если захотят посадить, то и взламывать никого не надо, все равно посадят. В такой ситуации можно сразу сдаваться.
б) А вот если не стоит цель посадить именно Вас, то для спасения не обязательно «бежать быстрее медведя», достаточно бежать быстрее другой жертвы или бежать достаточно долго что бы медведь устал. Поэтому демонстрация своего знакомства с правовой позицией по этому вопросу и техническая грамотность может дать необходимую фору, что бы отстали именно от Вас или отстали вообще.
Оператор связи не имеет права расторгнуть договор по своему желанию, читайте законыЕсли не затруднит, дайте ссылку на нормативный документ.
1. Закон о связи, глава 44, п. 3
2. ППРФ №575, п. 21, 27, 47.
2. ППРФ №575, п. 21, 27, 47.
Ну там всё написано, что оператор имеет право приостановить оказание услуг, если абонент нарушает правила, но не написано, что оператор обязан подключить любого абонента.
Всегда можно ссылаться на отсутствие технической возможности.
«техническаявозможность предоставления доступа к сети передачи данных» — одновременное наличие незадействованной монтированной емкости узла связи, в зоне действия которого запрашивается подключение пользовательского (оконечного) оборудованияк сети передачи данных, и незадействованных линий связи, позволяющих сформировать абонентскую линию связи между узлом связи и пользовательским(оконечным) оборудованием;
Всегда можно ссылаться на отсутствие технической возможности.
«техническаявозможность предоставления доступа к сети передачи данных» — одновременное наличие незадействованной монтированной емкости узла связи, в зоне действия которого запрашивается подключение пользовательского (оконечного) оборудованияк сети передачи данных, и незадействованных линий связи, позволяющих сформировать абонентскую линию связи между узлом связи и пользовательским(оконечным) оборудованием;
да перетянет канал просто и все
иди потом судись по ЗЗП
иди потом судись по ЗЗП
А причём тут подключение? Если оператор подключил, значит есть техническая возможность, если она исчезла, то это проблема оператора, как она появится снова. Я говорил про расторжение договора со стороны оператора. Опять же никто не запрещает принудить оператора подключить в судебном порядке. Но на самом деле достаточно заявления в Роскомнадзор :)
В приведённых вами нормативных документах нет запрета на расторжение договора провайдером (или я не нашёл, где это написано прямым тесктом).
Опять же никто не запрещает принудить оператора подключить в судебном порядкеНа основании чего? Где написано, что оператор обязан подключать любого по заявлению? Самое главное, где прописаны наказания за неподключение (или за «исчезновение технической возможности подключения»)? Нет наказаний — можно не подключать и ничего за это не будет.
Указано всего одно условие для расторжения в одностороннем порядке, договор бессрочный по умолчанию. По соглашению сторон, может быть срочным.
На основании чего? Где написано, что оператор обязан подключать любого по заявлению?Да всё там написано, ссылки уже давал, пункты соседние. Если Вам так интересна эта сфера, прочитайте полностью ППРФ, там всё есть. Помимо этого деятельность оператора регламентируется и другими нормативными актами.
Сделал поиск по «Растор» (расторгнуть, расторжение) — ничего не нашлось, только права оператора расторгнуть договор при определённых действиях со стороны клиента. А значит, если в соглашении есть пункт, что оператор оставляет за собой право расторгнуть договор в одностороннем порядке, то так оно и есть (кроме того, зачем оператор будет включать в договор незаконные пункты?)
Ст. 310 ГК РФ ч.1. Недопустимость одностороннего отказа от исполнения обязательства
Это если есть обязательство в договоре, с указанным сроком, или навсегда. В этом случае провайдер не обязывался обеспечивать абонента интернетом до скончания веков.
Типичный договор выглядит как
Типичный договор выглядит как
Срок действия, порядок прекращения договораНасчёт расторжения провайдер оставляет себе пункт «на своё усмотрение».
Договор вступает в силу со дня его подписания и действует неопределенный срок и может быть расторгнут в порядке, предусмотренном Описанием Услуг.
>а флэшку спрятать в себя
Они дыру закрыли то? И это можно проверить?
Во-первых, поздравляю автора с успехом: нашёл, зарепортил и не посадили!)
Во-вторых, реакция провайдера, ИМХО, в целом приемлемая, но чёт с вежливостью у них не очень (если, конечно, приведённые в статье диалоги точно соответствуют действительности). Было бы неплохо, если бы они добавили щепотку хороших манер и говорили бы с Вами с уважением.
Во-вторых, реакция провайдера, ИМХО, в целом приемлемая, но чёт с вежливостью у них не очень (если, конечно, приведённые в статье диалоги точно соответствуют действительности). Было бы неплохо, если бы они добавили щепотку хороших манер и говорили бы с Вами с уважением.
Спасибо, ну да ситуация была совсем не располагающая к вежливости. Но я в долгу не остался, когда мы в офис приехали, вышли из машины, открыли багажник, говорят мне неси системник, я говорю вам надо вы и несите, потащили. Борзанул так сказать.
Даже немножечко жаль, что у вас системник не чугунный, под 50 кило веса :)
У меня как раз такой. С какой радостью я бы наблюдал, как они пыхтят.
Они скорее не потому, что хотели вас заставить его тащить, а потому что брать и уносить к себе чужое имущество может быть слегка незаконно. Грань очень тонкая, хотя все остальные действия тоже не лучше) начиная от выдачи системника, заканчивая просмотром содержимого. Ну хоть осматривали ваш компьютер при вас
Борзанул так сказать.
Ну это как в анекдоте «пока он тебя е..., я три раза за круг выбежал».
Смешно, право. Вы дали себя полностью опустить, то есть применить к вам незаконные меры (чтоб какие-то левые люди шмонали ваш системник без всякой санкции и ездили к вам домой, вызывая «на разговоры»), а потом «три раза за круг выбежали».
Я не к тому, что надо было геройствовать (ситауция не располагает, и это здесь все интернет-герои, а в реале вы бы могли пополнить списки Яровой на счет «раз», о чем вполне обоснованно опасались), но уж если дали себе ввести, лежите и получайте удовольствие…
Молчал бы и ничего бы тебе не было вообще)
Вот интересно, а где грань между взломом и просто посмотрел. Можно же даже без ajax-запроса легально набрать в браузер адрес страницы index.php?user_id=… Т.е. люди вывесили в Интернет данные, а взломщик вы.
Вот вот.
Хотя тут наверное имеет значение, что вы целенаправленно собрали охраняемых законом данные, хоть они и оказались в открытом доступе. Это примерно как если бы из инкассаторской машины посыпались бы деньги, а вы бы стали их собирать и присваивать. Аналогия, понимаю, плохая, но лучше не придумала. Ну или кража из незапертой квартиры. Оттого что она не заперта, кража не перестаёт быть кражей.
Квартира — это как бы частная собственность, а просмотреть выложенные в свободный доступ в Интернет данные (думаю тут неважно, что на них нет прямой ссылки, скажем, на сайте того же провайдера) — это далеко не то же самое, что зайти в незапертую квартиру :) Вообще это как бы использование недокументированных возможностей :) И засудить за это, думаю, можно разве что только в том случае, если примут законы, запрещающие использовать URLы и запросы к API, не разрешенные прямо.
Тут другая аналогия с квартирой (имевшая место быть в личном опыте). Получаю ключи от квартиры, понимаю, что дверь совсем халтурная, решил попробовать ради интереса — подойдет ли ключ к соседней двери. Раз — дверь открывается, к счастью, внутри — какие-то гастарбайтерские стремянки и никого. Очканул, конечно, было бы весело, если б нарвался на хозяев.
Можно дальше шагнуть — Ктото другой нашел дыру и, до кучи, получил доступ к самому серверу, ну и поменял в логах IP адрес на случайный, дабы запутать следы.
И фиг докажешь, что ты не жираф :)
И фиг докажешь, что ты не жираф :)
На самом деле, надо смотреть судебную практику.
Как я понимаю, суд не будет вникать во все эти подробности. С убийством же тоже можно сказать «этот нож с моими отпечатками у меня украли, а потом им убили, чтобы меня подставить». А суд изучит собранные обвинением доказательства и может решить, что их достаточно для обвинительного приговора.
Так же и здесь. Если не поверят — могут назначить экспертизу компа. Исследуют его методами цифровой криминалистики — и если вдруг там обнаружится что-то, что заставит серьёзно усомниться в версии «ктото другой нашел дыру» — то впаяют по полной, плюс ещё и дачу ложных показаний на закуску. Выйдет ещё дороже, чем чистосердечное.
Как я понимаю, суд не будет вникать во все эти подробности. С убийством же тоже можно сказать «этот нож с моими отпечатками у меня украли, а потом им убили, чтобы меня подставить». А суд изучит собранные обвинением доказательства и может решить, что их достаточно для обвинительного приговора.
Так же и здесь. Если не поверят — могут назначить экспертизу компа. Исследуют его методами цифровой криминалистики — и если вдруг там обнаружится что-то, что заставит серьёзно усомниться в версии «ктото другой нашел дыру» — то впаяют по полной, плюс ещё и дачу ложных показаний на закуску. Выйдет ещё дороже, чем чистосердечное.
Необязательно даже набирать адрес в браузере
Del
Стук в калитку, выглядываю в окно, смотрю стоит красненькая машинка, 3 человека
Вот так бы оперативно провайдеры стихийные бедствия устраняли!
Какой-то театр абсурда. У них 21 000 персональных данных пользователей торчит наружу, но виноваты не они, а «студент», сообщивший им об этом… В этой истории всё перевёрнуто с ног на голову.
Ну хоть дали плюшку.
У нас в компании когда один пользователь нашёл лазейку и на сервере увидели что он обошёл защиту, припугнули что если он не скажет как это сделал то обнулим результат. Тогда он и рассказал, Но начальник отдела все равно сказал обнулить результат… Программисты подчились;(
У нас в компании когда один пользователь нашёл лазейку и на сервере увидели что он обошёл защиту, припугнули что если он не скажет как это сделал то обнулим результат. Тогда он и рассказал, Но начальник отдела все равно сказал обнулить результат… Программисты подчились;(
вопрос в комменты, а c ssd данные также легко восстанавливаются как и с жесткого?Стереть нельзя восстановить
Нет 100% гарантии восстановления, как на жёстком, но нет и 100% гарантии стирания. Поэтому нужно не затирать, а отдать команду Secure Erase, которая вынуждает контроллер уничтожить ключ шифрования (все данные на современных SSD шифруются прозрачно для пользователя, чтобы износ памяти был более равномерным).
А разве обычный TRIM не затрет свободные сектора так, что хрен восстановишь? SSD же.
TRIM, если мне не изменяет память, лишь сообщает контроллеру о неиспользуемых областях, но решение о том, когда именно «собрать мусор», принимает контроллер, а мы не можем быть уверены, что он решит это сделать сейчас, а не через несколько часов, за которые накопитель уже могут изъять и изучать.
К тому же, накопители имеют некоторые объём пространства, недоступный пользователю (чтобы гарантировать, что пользователь не забьёт накопитель под завязку, поскольку при этом драматически снижается производительность, контроллеру очень трудно «перетасовывать» данные, если мало свободных ячеек), поэтому мы не можем быть уверены, что контроллер какие-то ошмётки конфиденциальных данных туда не записал и они не дожили до того, как накопитель попал в руки экспертов.
К тому же, накопители имеют некоторые объём пространства, недоступный пользователю (чтобы гарантировать, что пользователь не забьёт накопитель под завязку, поскольку при этом драматически снижается производительность, контроллеру очень трудно «перетасовывать» данные, если мало свободных ячеек), поэтому мы не можем быть уверены, что контроллер какие-то ошмётки конфиденциальных данных туда не записал и они не дожили до того, как накопитель попал в руки экспертов.
Затрет, пробовал R-Studio восстановить файл с SSD через пару часов после удаления: ничего не нашлось. Диск Hyper-X 3k на контроллере SF-2281
Разумеется, ничего не нашлось. Чтение сектора, который помечен командой trim, будет возвращать нули. Надо выпаивать чипы NAND Flash и искать там сектора, которые контроллер не успел очистить. А учитывая, что всё более модно ставить контроллеры с шифрованием, всё ещё усложняется.
Разве что в использованном накопителе баг в реализации шифрования, как в сегодняшней статье.
Тут речь чуток о разном. Шифрование нынче практически любой контроллер использует. Просто ключ шифрования лежит там же рядышком и ничем не защищён. Потому что это шифрование не для защиты данных, а для равномерного износа ячеек.
И вот это вот шифрование усвложняет извлечение данных. Не делает невозможным, но усложняет.
А в статье речь о том, что когда пользователь говорит «контроллер, раз уж ты умеешь шифровать, давай это шифрование приспособим ещё и для защиты данных: вот пароль, я хочу чтобы отныне ключ зависел от этого пароля», контроллер делал вид, что «будет исполнено», а на самом деле всё оставалось как и до этого — ключ шифрования не был связан с паролем.
И вот это вот шифрование усвложняет извлечение данных. Не делает невозможным, но усложняет.
А в статье речь о том, что когда пользователь говорит «контроллер, раз уж ты умеешь шифровать, давай это шифрование приспособим ещё и для защиты данных: вот пароль, я хочу чтобы отныне ключ зависел от этого пароля», контроллер делал вид, что «будет исполнено», а на самом деле всё оставалось как и до этого — ключ шифрования не был связан с паролем.
Рубли, краснодарский край, за городом, частный сектор
Полагаю, вы ещё на Камчатке цен не видели.
«Да ну не может быть», воткнул в head jq библиотеку, трачу 5 минут на написание ajax запроса в цикле и выплёвывание это в body страницы, вывело 21 000 записей.
И все это не через прокси или VPN?
Умные люди их для чего придумали?
Новый принцип в ИБ: security through po ponyatiyam
Если взломал, то приедут и сломают!
Раньше на закрытые места на сервере навешивался амбарный замок на всю директорию.
Сейчас с модными сайтами на XHR запросах нужно не забыть определить каждому эндпойнту свою секьюрити роль. А это может вылететь из головы, если даже там было.
Так что, если покопаться в сети, таких в прямом смысле слова дырявых сайтов наверняка можно найти немало.
Сейчас с модными сайтами на XHR запросах нужно не забыть определить каждому эндпойнту свою секьюрити роль. А это может вылететь из головы, если даже там было.
Так что, если покопаться в сети, таких в прямом смысле слова дырявых сайтов наверняка можно найти немало.
c ssd данные также легко восстанавливаются как и с жесткого?)
C SSD ещё хуже если есть физический доступ: даже сотня перезаписей нулями или случайными данными не обеспечит гарантию: внутри есть контроллер, который каждый раз будет выдавать разные номера блоков и номер блока с секретными данными может никогда не выпасть.
В нынешних реалиях, проще сделать дамп и продать на античате. Выгоды в разы больше и шанс, что посадят меньше. Шизанутых придурков в крупных фирмах хватает, порой им выгоднее посадить добродеятеля, чем откупиться.
Во-первых, за такое не садят
Во-вторых, даже если натянуть состав преступления, преступник сам сознался, что в данном случае снимает уголовную ответственность
В-третьих, фирма не захочет общественного резонанса и последствий ненадлежащего обращения с персональными данными, и не будет подавать заявление
Так что тут автора статьи на испуг взяли. Мог и повкусней ништяков себе выторговать при подобном опыте.
Во-вторых, даже если натянуть состав преступления, преступник сам сознался, что в данном случае снимает уголовную ответственность
В-третьих, фирма не захочет общественного резонанса и последствий ненадлежащего обращения с персональными данными, и не будет подавать заявление
Так что тут автора статьи на испуг взяли. Мог и повкусней ништяков себе выторговать при подобном опыте.
до общественного резонанса информацию еще нужно донести(а это в частности проплатить журналистам, дада, их мало волнует подобный контекст статей.). То, что вы читаете на хабре и пикабу — это лишь малая песчинка всего безумия, что творится у нас в стране.
Возьмем к примеру регионального провайдера, он сливает личные данные пользователей другому провайдеру, тот начинает их обзванивает и предлагать им TV-приставку(которая нафиг не упала вам). Ваша реакция? Реакция остальных? Да всем насрать. Слили базу личной инфы и ладно. Что-бы добиться чего-то, идите в суд, разбирайтесь, нанимайте юристов, тратьте свое время, деньги, добивайтесь справедливости. Ха, романтика)
Возьмем к примеру регионального провайдера, он сливает личные данные пользователей другому провайдеру, тот начинает их обзванивает и предлагать им TV-приставку(которая нафиг не упала вам). Ваша реакция? Реакция остальных? Да всем насрать. Слили базу личной инфы и ладно. Что-бы добиться чего-то, идите в суд, разбирайтесь, нанимайте юристов, тратьте свое время, деньги, добивайтесь справедливости. Ха, романтика)
Под общественным резонансом тут больше понималось осведомленность ментов и прокуратуры, которые хорошо бы на этом покормились. Ну и конкуренты, если есть.
Простым людям похер, это понятно.
Простым людям похер, это понятно.
как покормились? компания заносит заявление в полицию, мол «их взломали». К вам прибегают 2ех полицейских, забирают ноут, мобилу, системник, планшет, читалку. Причем радостно все это делают, ведь им премию дадут за поимку «особо опасного хакера». Все, менты вроде как и вкурсе, вы сидите в обезьяннике целые сутки(если повезет).
У вас несколько неверные представления о том, как работает система в подобных случаях.
Electrohedgehog неплохо объяснил
Electrohedgehog неплохо объяснил
проходил через это лично, когда «случайно» нашел личные данные росатома. Прекрасные воспоминания скажу я вам.
не путайте росатом и местного провайдера
ну так никто и не путает, кто больше денег в суд занесет, тот и прав. Местный провайдер по-любому больше зарабатывает обычного кодера на удаленке.
Сейчас больше решают не деньги, а связи
И опять же — здесь много факторов. Штрафы и проверки прокуратуры и РКН — самые значимые. Поэтому никакая фирма выносить сор такой ради посадки горе-хакера на год условно (да и нет тут состава — мотива нет. Человек решил проверить, есть ли там данные на него — проверил) не будет.
И опять же — здесь много факторов. Штрафы и проверки прокуратуры и РКН — самые значимые. Поэтому никакая фирма выносить сор такой ради посадки горе-хакера на год условно (да и нет тут состава — мотива нет. Человек решил проверить, есть ли там данные на него — проверил) не будет.
Штрафы и проверки прокуратуры и РКН — самые значимые.А это компетенция РКН — проверять и штрафовать за дыры в софте?
FAQ
Вопрос: Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?
Ответ: Уполномоченный орган — федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи. В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.
Вопрос: Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?
Ответ: Уполномоченный орган — федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи. В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.
… просто скопировав ссылку и вбив рандомное число, мне выкинули данные...
Сразу вспомнилось из курса школы чеховское: «Проходя по мосту, с меня слетела шляпа»
А по поводу топика: ребята вели себя на грани, я бы если и вел кого-то домой, то сказал бы — пусть от вас самый грамотный со мной пройдет, я ему покажу, а уж системник таскать куда-то…
Понятно, что их нач-во наехало на своих, и потребовало этих самых доказательств. Но все люди адекватные же, понимают, что в облаке спрятать что угодно можно, и фиг найдут.
Крайне неприятно такое читать. Почему это вдруг вы считаете адекватными действия профессионально безграмотных людей, которые допустили огромную утечку персональнх данных да ещё и пытаются быковать (так же безграмотно, к слову)?
Давайте-ка немного пофантазируем, что будет в случае огласки. Ну допустим, автору дают три года условно (ну пусть даже не условно, хотя это будет чертовски сложно). А что же ждёт провайдера?
1) Штраф/взятка/закрытие за утечки. Да, вот именно так, а что вы хотели?
2) Отдел разработки получает волчий билет, весь до последнего человека. Имена героев будут звучать в истории города.
3) Куча проверок причастных и непричастных.
Я не говорю, что автору надо было лезть в конфликт, но если отбросить эмоции, получили мы следующее:
1)Огромный косяк провайдера остался безнаказанным. Вообще. Что стимулирует продолжать в том же ключе.
2)Скомпрометированные данные по прежнему свободно гуляют по сети. Нет, ну правда, вы же не думаете что автор первый?
3)В очередной раз получили доказательство того, что без баг баунти сведения об уязвимостях сообщать невыгодно — больше чёрных шляп, больше дыр.
Типичный хэппи-энд: человека, сказавшего что дверь не закрыта милостиво не арестовали.
Не надо выгораживать некомпетентность. И уж точно не надо хвалить замалчивание некомпетентности.
Давайте-ка немного пофантазируем, что будет в случае огласки. Ну допустим, автору дают три года условно (ну пусть даже не условно, хотя это будет чертовски сложно). А что же ждёт провайдера?
1) Штраф/взятка/закрытие за утечки. Да, вот именно так, а что вы хотели?
2) Отдел разработки получает волчий билет, весь до последнего человека. Имена героев будут звучать в истории города.
3) Куча проверок причастных и непричастных.
Я не говорю, что автору надо было лезть в конфликт, но если отбросить эмоции, получили мы следующее:
1)Огромный косяк провайдера остался безнаказанным. Вообще. Что стимулирует продолжать в том же ключе.
2)Скомпрометированные данные по прежнему свободно гуляют по сети. Нет, ну правда, вы же не думаете что автор первый?
3)В очередной раз получили доказательство того, что без баг баунти сведения об уязвимостях сообщать невыгодно — больше чёрных шляп, больше дыр.
Типичный хэппи-энд: человека, сказавшего что дверь не закрыта милостиво не арестовали.
Не надо выгораживать некомпетентность. И уж точно не надо хвалить замалчивание некомпетентности.
Автора спасает одно — больше интернет провайдеров на раёне нет…
1)Огромный косяк провайдера остался безнаказанным. Вообще. Что стимулирует продолжать в том же ключе.
Вот и мне показалось, что ребятки зашибись сэкономили, всего лишь навсего начислив человеку фантиков на счет. Судя по их реакции, они перепугались донельзя, кстати, но сделали вид, что «скажи спасибо, что не посадили».
А что же ждёт провайдера?Это когда за баги и дыры кого-то наказывали? Можно так пол гитхаба пересажать: ищешь коммит «исправлена ошибка» и вот тебе чистосердечное.
1) Штраф/взятка/закрытие за утечки
Баги и дыры в протестированом и принятом продукте организации, аккредитованой министерством связи и имеющей статус оператора персональных данных. Здесь есть явное нарушение законов РФ. Я не верю в то, что без финансовых и репутационных потерь при таком серьёзном залёте можно было бы легко замять дело. Даже если бы всё порешали по-братски в кабинетах, как минимум ИТ-отделу влетело бы по первое число, а клепатель сайта мог бы получить увольнение по несоответствию или иск, если это подрядчик. В любом случае, хоть что-то бы изменилось к лучшему.
Но увы, как сказали выше всё обернулось раздариванием фантиков. Не уверен, что хотя бы какая-то внутренняя проверка будет предпринята.
Но увы, как сказали выше всё обернулось раздариванием фантиков. Не уверен, что хотя бы какая-то внутренняя проверка будет предпринята.
Интересно, а есть ли какие-либо критерии, что считается взломом и что попадает под УК РФ? Если кривой разработчик выложил все данные в комментированном html, считается ли взломом просмотр исходного кода страницы?
да, добыли данные, которые сложно добыть через пользовательский интерфейс, или предоставленное в доках апи? вы хакер! Пока обратного не смогли доказать, прецедентов не наблюдалось.
Если с точки зрения (моего) здравого смысла — то вопроч в умышленности и целях.
При этом легкость взлома значения не имеет.
наши айтишники могут убедится
«убедиТСя» (дважды) выдает в вас айтишника. такой же грамотный, как и все они. русский язык учить — это же не аякс-запросы рассылать и двести джаваскрипт-фреймворков знать назубок. Простейшее правило грамматики айтишникам запомнить западло.
это же не аякс-запросы рассылать
аджакс
сиквел, джава, о-оди (машина такая, с колечками)
мне побоку на кодерский сленг, учите лучше русский!
За русский столько не платят.
Но, в принципе, согласен с Вами. Даже больше, — уверен, если бы автор в школе хорошо учился, то дал бы отпор этим беспредельщикам. А то взяли, понимаешь, хлопца на гоп-стоп…
(с пунктуацией нигде не напутал?)
Но, в принципе, согласен с Вами. Даже больше, — уверен, если бы автор в школе хорошо учился, то дал бы отпор этим беспредельщикам. А то взяли, понимаешь, хлопца на гоп-стоп…
(с пунктуацией нигде не напутал?)
«Дать отпор беспредельщикам», если ты — одинокий кодер из краснодарской станицы, не так-то просто, а вот загреметь по статье — куда проще.
Насчет терминологии — среди кодеров «аякс» является вполне себе обиходным (как и «аджакс»), так же, как и «сиквел» вполне себе называют «эс ку эль». А грубые ошибки в русском языке делают в наше время, увы, даже профессиональные филологи.
Насчет терминологии — среди кодеров «аякс» является вполне себе обиходным (как и «аджакс»), так же, как и «сиквел» вполне себе называют «эс ку эль». А грубые ошибки в русском языке делают в наше время, увы, даже профессиональные филологи.
насчет терминологии — среди кодеров «аякс» является вполне себе обиходным (как и «аджакс»), так же, как и «сиквел» вполне себе называют «эс ку эль».
С такими основаниями можно дать право на существование и индийскому английскому, который понимают только они.
Так японский от китайского и получился, наверное — иероглифы одни, а слова разные.
Забавная история. Хорошо что у Вас все разрешилось. Вопрос к знатокам в юриспруденции IT. Деяния автора попадают под 272 или нет? Информация к которой автор получил доступ конечно считается «охраняемая законом компьютерная информация и.т.д» Но вот по поводу «не санкционированного доступа» Автор же (как я понял) не обходил никакие системы защиты, не взламывал сервера, не брутил авторизационные формы. Если информация доступна по «ваш урл\цифровой ид» без всякой проверки аутентификации, какой тут может быть взлом? Или я что-то не понял из рассказа.
Кстати об этом. Может кто-то прокомментирует действия провайдера как состав 274 статьи?
Крупного ущерба нет, значит и состава нет.
Но ситуация с вывозом потерпевшего с системным блоком и все остальное на несколько статей точно натягивается.
Но ситуация с вывозом потерпевшего с системным блоком и все остальное на несколько статей точно натягивается.
Тут мы вступаем в опасное поле предположений. Как вы оцените стоимость, скажем, голосования по краденым паспортным данным или регистрацию фейковых аккаунтов? Если это для вас не убедительно, то можно рассмотреть стоимость базы телефонов или паспортов в интернетах. Я полагаю, что при желании натянуть на крупный ущерб можно.
Я не о том
Сама по себе потеря персональных данных может считаться крупным ущербом. Но в данном случае этого не произошло.
А через ст.30 УК РФ эту вряд ли натянешь
Если делать 274 то надо признавать копирование, а тогда автоматом идет 272 для автора
Сама по себе потеря персональных данных может считаться крупным ущербом. Но в данном случае этого не произошло.
А через ст.30 УК РФ эту вряд ли натянешь
Если делать 274 то надо признавать копирование, а тогда автоматом идет 272 для автора
Ну и кстати, если каждый из 21 000 пользователей оценит моральный ущерб в 100 рублей то тут и особо крупный размер набежит.
действия провайдера как состав 274 статьи?
Есть комментарии к УК.
Во-первых, нарушения должны быть бюрократические )))
Скрытый текст
Применительно к комментируемой статье под правилами эксплуатации глобальных сетей понимаются нормативные акты, регламентирующие работу данной сети, в частности Федеральный закон от 07.07.2003 N 126-ФЗ «О связи» (в ред. от 25.12.2012) <1>, регламентирующий порядок создания и подключения к информационно-телекоммуникационной сети Интернет. Примерами иных нормативных актов, устанавливающих правила эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей, могут служить: во-первых, общероссийские правила, например Временные санитарные нормы и правила для работников вычислительных центров; во-вторых, техническая документация на компьютерную технику; в-третьих, конкретные принимаемые в определенном учреждении или организации оформленные нормативно и доведенные до сведения соответствующих работников инструкции и правила внутреннего порядка
Во-вторых, ясно написано
Наступившие последствия должны являться результатом нарушения правил эксплуатации, а не программной ошибкой либо действиями, предусмотренными в ст. ст. 272, 273 УК
274УК направлена в первую очередь против своих сотрудников и практики правоприменения ее кот наплакал — ущерб должен быть от миллиона и выше, что доказать крайне сложно
Маленькие провайдеры вообще не слишком заморачиваются безопасностью. У моего провайдера панель управления биллингом висит на том же ip, через который клиенты получают доступ в сеть. И сайт с названием города, доступный по ip на нем же.
А сообщать о подобных находках в современных реалиях, не знаю, я бы не рискнул, нервы дороже.
А сообщать о подобных находках в современных реалиях, не знаю, я бы не рискнул, нервы дороже.
Вот поэтому, когда у моего провайдера обнаружился незакрытый git-репозиторий на основном домене, я выждал годик, чтобы логи протухли, а потом с одноразовой почты из интернет-кафе им написал, что репозиторию лучше не торчать голой задницей в сеть, кто знает, что интересного оттуда можно выудить…
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
История маленького взлома, или адекватный багБаунти местного провайдера интернета