Украинская Новая Почта, как мне кажется, переплюнула даже ВК.
Деталей выдавать не буду — не суть важно, никакого криминала и даже административки.
Приходит мне уведомление из Новой Почты о том, что мне пришла посылка. Пришла посылка от человека, который гарантированно не знал ближайшего ко мне отделения, тем не менее — пришла именно туда, где я получаю 99% посылок.
Звоню в службу поддержки, попадаю на барышню и интересуюсь каким образом это могло получиться. Барышня меня клятвенно уверяет, что операторы не имеют права разглашать предпочтительного отделения по номеру телефона получателя. Более того — возможности такой технически не имеют.
Поговорил. Сижу, думаю — как это могло случиться? Не то, чтобы я скрываюсь — просто неприятен сам факт, что тот, кто знает твой номер мобильного может узнать адрес твоего местонахождения с достаточно высокой точностью. И, отправив посылку, например, с неизвестного номера, даже поджидать тебя возле отделения, если дело того стоит.
Не успел я этот вопрос как следует обмозговать, как мне звонит та же самая барышня из службы поддержки. Так, мол, и так — я сообщила вам недостоверную информацию.
Действительно — по номеру телефона можно узнать предпочтительное отделение для получателя, но конфиденциальной информацией это, согласно закону, не является.
Кроме того — в отделении Новой Почты (или даже через мобильное приложение) есть возможность кроме предпочтительного отделения узнать ещё и ФИО получателя.
Да-да. Называешь номер мобильного получателя и в ответ для подтверждения правильности ввода тебе называют его ФИО. Вот такая безопасность. В большинстве случаев информация достоверная, так как получатель должен предъявить паспорт. Т.е. если человек однажды уже получал посылку, то ФИО можно считать достоверными с достаточно высокой степенью вероятности.
Нет, без входа в аккаунт дальше страницы логина пройти нельзя. Ввиду описанной в статье истории не хотелось бы привлекать излишнего внимания к продукту, дабы не попасть под раздачу.
Поэтому подробностей о том, что это за приложение и чем оно занимается — простите — намекать даже не буду. Но могу сказать, что без платного аккаунта, зарегистрированного на внешнем сайте, приложение совершенно нефункционально.
Возможно свою роль сыграло то, что это приложение было для компании не первым — в магазине уже находилось несколько наших аналогичных приложений, поэтому я довольно подробно описал поддержке что это за приложение, его назначение и привёл ссылки на другие наши приложения. После этого публикация была одобрена. Обменялись двумя или тремя сообщениями с каждой стороны.
Вопрос от поддержки звучал в духе «А как вы собираетесь на этом зарабатывать? Приложение можно скачать бесплатно и модулей для оплаты внутри приложения мы тоже не нашли». Поэтому мне показалось, что они больше опасаются мошеннических приложений и мусора, чем упущенной для Apple возможности выступать провайдером платежей.
Apple задавал похожий вопрос при публикации приложения.
Их устроил честный ответ, в смысле того, что приложение является прикладным к основному сервису, на котором можно совершить регистрацию и оплатить подписку.
Буквально пару суток на переписку (тайм-шифт) и приложение пропустили. Никаких тайных переговоров между нами и Apple не велось.
Я как опытный любитель покопаться в розетках и выключателях не стал бы доверять фазу во вскрываемой точке чему-либо, что сложнее банального механического выключателя. И даже после того, как опустил рычаг на автомате — проверяю фазной отвёрткой. Оно как-то спокойнее, знаете ли. Автомат физически неспособен самостоятельно переключиться в положение «вкл», а контроллер, да ещё и подключенный к интернету…
Да не то, чтобы мне было сильно нужно. Просто хотел проверить вариант с точкой, а так — крайне редко хожу в соцсети, даже те, что работают без блокировки. Если и захожу, то обычно это бывает когда присылают ссылку на какую-нибудь статью.
Да это было 14 лет назад, длилось всего пару месяцев. Конкретных деталей уже не вспомню, а без них, боюсь, статья получится больше автобиографичной, чем интересной.
Вспоминается несколько занятных моментов, в т.ч. и для программистов (на всех без исключения моих немногочисленных рабочих местах писал тулы для упрощения и автоматизации процессов). На этом тоже писал, даже премию мне собирались выписывать, но работа изначально была для меня временной и ушёл я оттуда быстро в софтверную контору, как только резюме выстрелило. Поэтому премией пришлось пожертвовать.
Если придумаю как увязать всё это в статью — напишу, спасибо за идею.
По молодости работал пару месяцев в патентном бюро — вычитывал заявки на патенты. Заявки прогонялись через страничный сканер, пропускались через систему распознавания и после неё оставалась масса недочётов по форматированию, нераспознаных формул, опечаток и т.д.
Насмотрелся я на всяческие изобретения.
Одних только машин времени было несколько штук. Устройства для телепортации и перехода в другие измерения. Инновационные методы лечения сифилиса и прочее.
Некоторые фамилии даже за два месяца успели набить оскомину, так как такие изобретатели носили заявки быстрее, чем мы успевали сдавать предыдущие в архив.
Хобби у людей такое. Весело там было. Такой себе заводик по порче бумаги.
На почте линейные тоже использовали (используют?). Слышал от кого-то ещё в начале нулевых. По описанию похож на картину — тумбочка с запредельной для матричника скоростью и ожидаемо высоким уровнем шума.
Отучился не по профилю (далековато до области было, а поблизости — разве что пединститут на учителя информатики), на экономиста. В кабинете информатики и там был завсегдатаем, на кафедре ИКТ был как родной. Деньги зарабатывал на расчётках по информатике и курсовых по разным предметам.
Для диплома написал программу для вычисления кредитоспособности предприятия исходя из годовых отчётов.
По специальности не работал. Сразу компы год собирал, потом фотографом пару лет отработал. На обоих местах писал софт для автоматизации рабочих мест. Недавно был в фотосалоне — до сих пор ребята на старой винде сидят и древним фотошопом пользуются, потому что за 14 лет уже не представляют себе как без моего софта работать, а у меня исходники не сохранились, чтобы прикрутить к чему посвежее (там глубокая интеграция с фотошопом).
После фотосалона выстрелило моё резюме на программиста, перебрался в столицу, ну и 14 лет уже как программирую.
Друг, к сожалению, пошёл в другую сторону и сейчас обычным электриком на родине трудится, хотя программировал гениально и компьютерами фанател. Алгоритмы его, как правило, получались получше моих. Пару лет назад виделись, пытался ему на пальцах объяснить что такое ООП, но, то ли способностей учителя у меня нет, то ли он навыки растерял…
Но для меня программирование — это жизнь, постоянно что-то писал (и пишу), ежедневно, а у друга были невероятные способности ко всему, как говорят «не гумманитарному». Математика, информатика, физика, химия — всё подряд. А вот с гумманитарными предметами — наоборот. Из гимназии был отчислен за неуспеваемость по иностранному языку. И с дальнейшим обучением были проблемы того же рода.
Его способностями восхищались все преподаватели естественных дисциплин. Уверен — при должной мотивации он мог бы сказать своё слово в науке, но наше образование всегда всех под одну гребёнку гребло и гребёт. Не вписываешься в стандарты — гуляй, даже если человек — гений в чём-то отдельном. Разве что спортсменов и шоуменов-КВНщиков готовы вытаскивать по всем предметам ради престижа учебного заведения. А физмат мало кому интересен, если гениальность в отрыве от гумманитарных предметов.
Где-то в то же время (может на 2-3 года позже) довелось мне столкнуться с разочарованием.
Мы с другом были фанатами программирования, что было несколько необычно для нашей почти сельской местности. Благо повезло — учились в экспериментальной гимназии и компьютеры у нас в гимназии были. Не 386-е, конечно (о них мы только в журналах читали), а Поиск-2, но на то время и они казались нам неверояными. Где-то в 1997-м завезли нам один 286-й, но за него никого кроме учителей не пускали.
Мы постоянно зависали после уроков в компьютерном классе и что-то писали. Расходились по домам со списком задач, которые необходимо решить и возвращались с листочками, исписанными программами, которые печатали и решали чей вариант решения лучше.
В общем участвовали в районной олимпиаде по программированию, где участников было ещё несколько человек помимо нас двоих. Была надежда попасть на областную олимпиаду.
В области наши работы завернули под предлогом, что нам помогали учителя. Видимо слишком выбивались работы из обычного районного уровня.
Обидно было.
Оригинальное решение, не сталкивался.
Насколько я понял — это позволяет подменить reference с подписанной оригинальной библиотеки на неподписанную взломанную. Но разве .Net позволяет референсить неподписанные библиотеки из подписанных?
Компилятор такого точно не позволяет, или в runtime дополнительной проверки нет?
Хотя, при таких возможностях Cecil подозреваю, что можно заменить один strong name reference на другой, но для этого всё-таки придётся чем-нибудь подписать взломанную библиотеку.
Если мне не изменяет память, то в рантайме проверка всё же есть — Assembly.Load не позволит загрузить неподписанную библиотеку в AppDomain, созданный подписанным exe.
Пример по дотнету.
Допустим у вас большое приложение из многих библиотек. Защита вашего приложения живёт в одной из них. Обфускатор, конечно, помогает, но гарантии от получения компилирующихся исходников не даёт — вопрос желания.
В конце-концов бинарник можно декомпилировать в IL. Если взломщик обладает навыками работы с IL — вариант вполне рабочий.
Или даже прямая правка бинарника без декомпиляции. Чтобы заменить какую-нибудь строку, например.
В общем взломщик обходит защиту в бинарнике любым способом, получает взломанную библиотеку, подкладывает в рабочую папку приложения с заменой оригинала и получает свободно распространяемый бинарник.
Если все библиотеки вашего приложения подписаны — подключить модифицированный бинарник без подписи дотнет не даст. И даже подпись другим сертификатом не пройдёт — компоненты, которые ссылаются на модифицированную библиотеку откажутся загружать её, если Public Key не соответствует оригиналу.
Т.е. остаётся вариант полной пересборки всех бинарников вашего приложения без подписи или с подписью другим сертификатом.
Если даже бинарник редактировался без декомпиляции, то модифицированный файл не пройдёт проверку подписи по контрольной сумме.
Не сильно вдавался в тему сложно ли обойти защиту от загрузки библиотеки с несоответствующей подписью, только знаю, что легальных способов для этого дотнет не предоставляет.
Кроме того, на моей памяти есть один очень давний случай, когда в процессе разбирательства с проблемами у клиента была обнаружена пересобранная не нашей компанией библиотека. Сразу после этого директор наконец-то решился «раскошелиться» на сертификат, до этого никакие аргументы его не пронимали.
Open Source, если говорить о third-party, либо уже подписан издателем, либо может быть подписан вашей собственной подписью перед упаковкой в инсталлятор. Никаких проблем с Open Source по поводу цифровой подписью не наблюдал ни разу.
Другое дело, конечно, если вы пытаетесь использовать готовый Open Source продукт без подписи, но в этом случае если вы пользователь — проверяете бинарники на VirusTotal и говорите SmartScreen, что всё в порядке.
Если вы разработчик Open Source и выпускаете в мир неподписанный софт — вы ведь всё равно не ожидали прибыли от продукта. Если выпускаете подписанный свежим сертификатом — просто выжидаете время, пока количество установок не перевалит значения, достаточного для того, чтобы SmartScreen перестал на ваш сертификат реагировать.
Вы путаете.
Это не имеет никакого отношения к сертификату. Скрытый поток — это локальная штука в рамках одной конкретной машины, а смарт-скрин работает с облачным сервисом.
Пока вы не снимете галочку в свойствах файла операционка не даст вам обратиться к скачанному из интернета исполняемому файлу, каким бы сертификатом он не был подписан.
Для того, чтобы избежать подобной ситуации достаточно:
1) Всё-таки приобрести сертификат. Стоит не такие уж космические деньги и даёт определённую защиту от взлома.
2) Потратить немного усилий на тестирование своей программы. По моему опыту достаточно одной-двух недель установок релизной версии программы для того, чтобы сертификат успел засветиться как «безвредный». Репутация рассчитывается не по положительным отзывам, а по комбинации количества установок и количества жалоб.
Не исключено, что что-то изменилось за пять лет (когда я первый и последний раз столкнулся со впервые выпущенным для компании сертификатом), но тогда это работало именно так. Неделю видел смарт-скрин при установке, после этого попустило. Кроме меня (разработчика) это приложение устанавливал только тестировщик. Т.е. количество уникальных машин какого-то значения не имело — только количество установок и/или отсутствие жалоб в течении какого-то времени после первого запуска инсталлятора со свежевыпущенным сертификатом.
ФИО — да, это — постоянно. Но город и отделение всегда называл сам.
Деталей выдавать не буду — не суть важно, никакого криминала и даже административки.
Приходит мне уведомление из Новой Почты о том, что мне пришла посылка. Пришла посылка от человека, который гарантированно не знал ближайшего ко мне отделения, тем не менее — пришла именно туда, где я получаю 99% посылок.
Звоню в службу поддержки, попадаю на барышню и интересуюсь каким образом это могло получиться. Барышня меня клятвенно уверяет, что операторы не имеют права разглашать предпочтительного отделения по номеру телефона получателя. Более того — возможности такой технически не имеют.
Поговорил. Сижу, думаю — как это могло случиться? Не то, чтобы я скрываюсь — просто неприятен сам факт, что тот, кто знает твой номер мобильного может узнать адрес твоего местонахождения с достаточно высокой точностью. И, отправив посылку, например, с неизвестного номера, даже поджидать тебя возле отделения, если дело того стоит.
Не успел я этот вопрос как следует обмозговать, как мне звонит та же самая барышня из службы поддержки. Так, мол, и так — я сообщила вам недостоверную информацию.
Действительно — по номеру телефона можно узнать предпочтительное отделение для получателя, но конфиденциальной информацией это, согласно закону, не является.
Кроме того — в отделении Новой Почты (или даже через мобильное приложение) есть возможность кроме предпочтительного отделения узнать ещё и ФИО получателя.
Да-да. Называешь номер мобильного получателя и в ответ для подтверждения правильности ввода тебе называют его ФИО. Вот такая безопасность. В большинстве случаев информация достоверная, так как получатель должен предъявить паспорт. Т.е. если человек однажды уже получал посылку, то ФИО можно считать достоверными с достаточно высокой степенью вероятности.
Если я правильно помню — тестовый аккаунт — необходимое условие у Apple для любого приложения, требующего входа в систему для работы.
Поэтому подробностей о том, что это за приложение и чем оно занимается — простите — намекать даже не буду. Но могу сказать, что без платного аккаунта, зарегистрированного на внешнем сайте, приложение совершенно нефункционально.
Возможно свою роль сыграло то, что это приложение было для компании не первым — в магазине уже находилось несколько наших аналогичных приложений, поэтому я довольно подробно описал поддержке что это за приложение, его назначение и привёл ссылки на другие наши приложения. После этого публикация была одобрена. Обменялись двумя или тремя сообщениями с каждой стороны.
Вопрос от поддержки звучал в духе «А как вы собираетесь на этом зарабатывать? Приложение можно скачать бесплатно и модулей для оплаты внутри приложения мы тоже не нашли». Поэтому мне показалось, что они больше опасаются мошеннических приложений и мусора, чем упущенной для Apple возможности выступать провайдером платежей.
Их устроил честный ответ, в смысле того, что приложение является прикладным к основному сервису, на котором можно совершить регистрацию и оплатить подписку.
Буквально пару суток на переписку (тайм-шифт) и приложение пропустили. Никаких тайных переговоров между нами и Apple не велось.
Вспоминается несколько занятных моментов, в т.ч. и для программистов (на всех без исключения моих немногочисленных рабочих местах писал тулы для упрощения и автоматизации процессов). На этом тоже писал, даже премию мне собирались выписывать, но работа изначально была для меня временной и ушёл я оттуда быстро в софтверную контору, как только резюме выстрелило. Поэтому премией пришлось пожертвовать.
Если придумаю как увязать всё это в статью — напишу, спасибо за идею.
Насмотрелся я на всяческие изобретения.
Одних только машин времени было несколько штук. Устройства для телепортации и перехода в другие измерения. Инновационные методы лечения сифилиса и прочее.
Некоторые фамилии даже за два месяца успели набить оскомину, так как такие изобретатели носили заявки быстрее, чем мы успевали сдавать предыдущие в архив.
Хобби у людей такое. Весело там было. Такой себе заводик по порче бумаги.
Для диплома написал программу для вычисления кредитоспособности предприятия исходя из годовых отчётов.
По специальности не работал. Сразу компы год собирал, потом фотографом пару лет отработал. На обоих местах писал софт для автоматизации рабочих мест. Недавно был в фотосалоне — до сих пор ребята на старой винде сидят и древним фотошопом пользуются, потому что за 14 лет уже не представляют себе как без моего софта работать, а у меня исходники не сохранились, чтобы прикрутить к чему посвежее (там глубокая интеграция с фотошопом).
После фотосалона выстрелило моё резюме на программиста, перебрался в столицу, ну и 14 лет уже как программирую.
Друг, к сожалению, пошёл в другую сторону и сейчас обычным электриком на родине трудится, хотя программировал гениально и компьютерами фанател. Алгоритмы его, как правило, получались получше моих. Пару лет назад виделись, пытался ему на пальцах объяснить что такое ООП, но, то ли способностей учителя у меня нет, то ли он навыки растерял…
Но для меня программирование — это жизнь, постоянно что-то писал (и пишу), ежедневно, а у друга были невероятные способности ко всему, как говорят «не гумманитарному». Математика, информатика, физика, химия — всё подряд. А вот с гумманитарными предметами — наоборот. Из гимназии был отчислен за неуспеваемость по иностранному языку. И с дальнейшим обучением были проблемы того же рода.
Его способностями восхищались все преподаватели естественных дисциплин. Уверен — при должной мотивации он мог бы сказать своё слово в науке, но наше образование всегда всех под одну гребёнку гребло и гребёт. Не вписываешься в стандарты — гуляй, даже если человек — гений в чём-то отдельном. Разве что спортсменов и шоуменов-КВНщиков готовы вытаскивать по всем предметам ради престижа учебного заведения. А физмат мало кому интересен, если гениальность в отрыве от гумманитарных предметов.
Мы с другом были фанатами программирования, что было несколько необычно для нашей почти сельской местности. Благо повезло — учились в экспериментальной гимназии и компьютеры у нас в гимназии были. Не 386-е, конечно (о них мы только в журналах читали), а Поиск-2, но на то время и они казались нам неверояными. Где-то в 1997-м завезли нам один 286-й, но за него никого кроме учителей не пускали.
Мы постоянно зависали после уроков в компьютерном классе и что-то писали. Расходились по домам со списком задач, которые необходимо решить и возвращались с листочками, исписанными программами, которые печатали и решали чей вариант решения лучше.
В общем участвовали в районной олимпиаде по программированию, где участников было ещё несколько человек помимо нас двоих. Была надежда попасть на областную олимпиаду.
В области наши работы завернули под предлогом, что нам помогали учителя. Видимо слишком выбивались работы из обычного районного уровня.
Обидно было.
Насколько я понял — это позволяет подменить reference с подписанной оригинальной библиотеки на неподписанную взломанную. Но разве .Net позволяет референсить неподписанные библиотеки из подписанных?
Компилятор такого точно не позволяет, или в runtime дополнительной проверки нет?
Хотя, при таких возможностях Cecil подозреваю, что можно заменить один strong name reference на другой, но для этого всё-таки придётся чем-нибудь подписать взломанную библиотеку.
Если мне не изменяет память, то в рантайме проверка всё же есть — Assembly.Load не позволит загрузить неподписанную библиотеку в AppDomain, созданный подписанным exe.
Допустим у вас большое приложение из многих библиотек. Защита вашего приложения живёт в одной из них. Обфускатор, конечно, помогает, но гарантии от получения компилирующихся исходников не даёт — вопрос желания.
В конце-концов бинарник можно декомпилировать в IL. Если взломщик обладает навыками работы с IL — вариант вполне рабочий.
Или даже прямая правка бинарника без декомпиляции. Чтобы заменить какую-нибудь строку, например.
В общем взломщик обходит защиту в бинарнике любым способом, получает взломанную библиотеку, подкладывает в рабочую папку приложения с заменой оригинала и получает свободно распространяемый бинарник.
Если все библиотеки вашего приложения подписаны — подключить модифицированный бинарник без подписи дотнет не даст. И даже подпись другим сертификатом не пройдёт — компоненты, которые ссылаются на модифицированную библиотеку откажутся загружать её, если Public Key не соответствует оригиналу.
Т.е. остаётся вариант полной пересборки всех бинарников вашего приложения без подписи или с подписью другим сертификатом.
Если даже бинарник редактировался без декомпиляции, то модифицированный файл не пройдёт проверку подписи по контрольной сумме.
Не сильно вдавался в тему сложно ли обойти защиту от загрузки библиотеки с несоответствующей подписью, только знаю, что легальных способов для этого дотнет не предоставляет.
Кроме того, на моей памяти есть один очень давний случай, когда в процессе разбирательства с проблемами у клиента была обнаружена пересобранная не нашей компанией библиотека. Сразу после этого директор наконец-то решился «раскошелиться» на сертификат, до этого никакие аргументы его не пронимали.
Другое дело, конечно, если вы пытаетесь использовать готовый Open Source продукт без подписи, но в этом случае если вы пользователь — проверяете бинарники на VirusTotal и говорите SmartScreen, что всё в порядке.
Если вы разработчик Open Source и выпускаете в мир неподписанный софт — вы ведь всё равно не ожидали прибыли от продукта. Если выпускаете подписанный свежим сертификатом — просто выжидаете время, пока количество установок не перевалит значения, достаточного для того, чтобы SmartScreen перестал на ваш сертификат реагировать.
Это не имеет никакого отношения к сертификату. Скрытый поток — это локальная штука в рамках одной конкретной машины, а смарт-скрин работает с облачным сервисом.
Пока вы не снимете галочку в свойствах файла операционка не даст вам обратиться к скачанному из интернета исполняемому файлу, каким бы сертификатом он не был подписан.
1) Всё-таки приобрести сертификат. Стоит не такие уж космические деньги и даёт определённую защиту от взлома.
2) Потратить немного усилий на тестирование своей программы. По моему опыту достаточно одной-двух недель установок релизной версии программы для того, чтобы сертификат успел засветиться как «безвредный». Репутация рассчитывается не по положительным отзывам, а по комбинации количества установок и количества жалоб.
Не исключено, что что-то изменилось за пять лет (когда я первый и последний раз столкнулся со впервые выпущенным для компании сертификатом), но тогда это работало именно так. Неделю видел смарт-скрин при установке, после этого попустило. Кроме меня (разработчика) это приложение устанавливал только тестировщик. Т.е. количество уникальных машин какого-то значения не имело — только количество установок и/или отсутствие жалоб в течении какого-то времени после первого запуска инсталлятора со свежевыпущенным сертификатом.