evil_random 5 дек 2011 в 15:25

Безопасная небезопасная почта от bigmir)net

2 мин

18K

Информационная безопасность*

+15

Комментарии 27

mtp 5 дек 2011 в 16:05

Я правильно понял, что разработчики Бигмира не знали о том, что «сессия» в Firefox означает «до перезапуска браузера», не проверяли работу портала во всех бразерах и, более того, не удаляли принудительно свои куки? Как интересно, может они ещё чего-то не знают — например, слова «robots.txt» или «хабраэффект».

evil_random 5 дек 2011 в 16:09

Хуже. Сессия в Firefox не завершается с закрытием браузера.

А в остальном да, Вы правы.

mtp 5 дек 2011 в 16:29

У проблемы старые корни.

evil_random 5 дек 2011 в 17:08

Это не проблема Mozilla Firefox и не проблема Gmail.
Это проблема портала bigmir)net. Если я нажал «Выйти» я должен быть уверен, что я вышел. А тут бабка на двое сказала.

kozyabozya 5 дек 2011 в 16:13

Забавно, но robots.txt у них и правда нет:
www.bigmir.net/robots.txt

myth 5 дек 2011 в 17:25

А зачем он на Бигмире?

vodoc 5 дек 2011 в 17:24

Когда-то давным давно именно я делал переход почты бигмира на gmail. Тогда все работало прекрасно. Уже всего не упомню и могу неправильно говорить, но задумывалось «выходить» из почты «не выходя» из портала. При повторном входе в почту проверяется залогиненость на портале и отсюда делается вывод о возможности входа в почту. Исходя из этого для того, чтобы полностью выйти из почты нужно выйти из почты, а потом выйти из портала. Данная политика была оговорена с представителями google и они с ней согласились как с допустимой.

evil_random 5 дек 2011 в 17:28

Если они ещё и знают об этом, то я считаю что это полный 3,14здец.

vodoc 5 дек 2011 в 17:36

Работа проходила в очень тесном сотрудничестве с их техническими представителями. Там пукнуть нельзя было без одобрения от гугла. С их стороны обратили внимание на потенциальное существование описанной Вами проблемы. После диалога и обсуждения поведения вопрос был закрыт.
Возможно что-то в бигмире с тех пор поменялось и эта проблема из теоретической стала практической. Я там уже давно не работаю и не в курсе как и что происходит.

siberian 5 дек 2011 в 18:47

Зачем эти заморочки? Уязвимости у открытых сервисов всегда будут находить. Лучше не дожидаться когда взломают «твоя любимый почтовый сервис», а начать пользоваться ящиком, поднятым на своем домене и хостинге.

FractalizeR 5 дек 2011 в 18:53

А веб-интерфейс самому написать? Ведь если возьмете «открытый», можно получить те же грабли. Да и с проприетарным тоже.

siberian 5 дек 2011 в 18:57

Никогда не понимал в чем его польза! Уж лучше обрабатывать почту проверенными программами, чем ждать что открывая новое письмо можно словить не известно что :)

vodoc 5 дек 2011 в 19:21

Кстати, видимо действительно в политике после меня что-то было изменено. При нажатии на ссылку выход или на ссылку «на главную» происходил вылогинивание из почты и из портала. Только что попробовал воспроизвести описанную ситуацию. У меня не получилось.

evil_random 5 дек 2011 в 19:23

Хм. Действительно поправили. Оперативно они.

vodoc 5 дек 2011 в 19:34

Видимо для решения этого вопроса достаточно было написать на info@bigmir.net? А не создавать топик-расследование с тегом говнокодеры.

evil_random 5 дек 2011 в 19:36

В наше время, для того чтобы исправили критический баг в каком-то сервисе, быстрее написать статью на Хабрахабр, чем 100 писем в службу поддержки. Это было уже не раз доказано Хабраюзерами.

Я такое упущение, считаю признаком говнокодерства, а Вы как хотите.

vodoc 5 дек 2011 в 19:45

Отношение к миру в стиле «я знаю все лучше всех, а вокруг одни дураки» у меня прошло давно как процесс взросления.

evil_random 5 дек 2011 в 19:47

Я не о том Вам пытаюсь сказать, а о том, что письмо в саппорт я написал, это первое.
Второе, на Хабре уже не раз были случаи, когда после статьи в тот же день разработчики реагировали на неё, игнорирую при этом письма в службу поддержки.
Третье, у меня тоже прошло.
Четвёртое. Я не знаю как сделать реально безопасную веб-почту. Но я и не делаю.

vodoc 5 дек 2011 в 19:56

Мой ответ был ответом на реплику "......, а Вы как хотите."
Я считаю это просто какой-то очередной ошибкой, которых в программировании (веб, apps), К СОЖАЛЕНИЮ, всегда было и будет много. Во время моей работы реагирование на ошибки были очень оперативными, насколько это было возможно в той или иной ситуации. Я лично не считаю это очень критическим багом, который нужно исправлять, бросая всю текущую работу. Возможно работники бигмира посчитали точно так же и уних были более важные работы и баг если он имел место исправили как только появилось свободное время.

evil_random 5 дек 2011 в 20:00

Я подумал и уберу пожалуй тег говнокодеры, он там и правда лишний.

Но поверьте мне, баг который дает завладеть кому-либо моим почтовым аккаунтом является достаточно критичным для меня, чтобы всё бросить и исправлять.

vodoc 6 дек 2011 в 12:51

Поверьте мне, на портале баг, который связан с просмотром приватных фотографий, приватных коментариев или еще какой-нибудь фигни с точки зрения обычного среднего айтишника значительно страшнее. Для меня это тоже нонсенс, но это жестокая правда жизни. Снова таки к сожалению. Пишу это я по опыту нескольколетней давности. Может сейчас что-то поменялось там.