Комментарии 164
НЛО прилетело и опубликовало эту надпись здесь
Там весь товар по 39 рублей (или около того). В основном ширпотреб китайский, но бывают полезные вещи за эту цену. Из последних упаковку «суперклеев» (5-6 обычных тюбиков + 1 крупнее «Цементный») за эту цену — это даром.
А вот как товар на краденые номера карт покупался я не понял. Как говорится «не в теме» их дисконтных программ.
А вот как товар на краденые номера карт покупался я не понял. Как говорится «не в теме» их дисконтных программ.
Сейчас там всё по 50, но мелочь идёт в виде 5 за 50, 6 за 50 и т.д.
Сайт имеет бонусную программу, за покупки давали 5% на карту, потом с этой карты можно оплачивать до 100%. Карты нужно регистрировать на сайте, там же можно скачать штрихкод для оплаты покупок по нему. Злоумышленники брутили аккаунты и скачивали этот штрихкод, шли в магазин и на кассе предъявляли его для оплаты.
Сайт имеет бонусную программу, за покупки давали 5% на карту, потом с этой карты можно оплачивать до 100%. Карты нужно регистрировать на сайте, там же можно скачать штрихкод для оплаты покупок по нему. Злоумышленники брутили аккаунты и скачивали этот штрихкод, шли в магазин и на кассе предъявляли его для оплаты.
Всё по фиксированной цене. Ходят туда в основном студенты, пенсионеры и малоимущие коих очень много. Продают всё, пиво, воду, продукты, химию и прочие по ценам на 1-2 рубля ниже других.
Не скажите, там бывают и полезные любому предметы из серии все по 1USD с али, только ждать месяц не надо :)
Не студент, не пенсионер, и не малоимущий, но 8 батареек cr20xx (включая cr2032) за 50 рублей — это просто подарок сисадмину с большим парком машин с умирающими батарейками RTC. В обычных магазинах только одна такая батарейка 50-100 рублей стоит.
Сам иногда беру в фикс-прайсе всякий хлам. Но практика показала, что CR2032 за стольник живут минимум года 3, а дешевые — от силы год-полтора. Сравнивал, правда, не фикспрайсовские, а Sony (не знаю, почем их у нас закупают) и Camelion по 15 руб за штуку, которые покупал сам лично.
Кстати, был немало удивлен, когда искал калькулятор с большими цифрами и кнопками для бабушки, зашел в один из таких магазинов. Там явный китайский нонеймовый калькулятор продавался за 450 рублей. На следующий день открыл сайт Технопоинта и увидел там за ту же цену вполне себе фирменные Canon-ы и Citizen-ы, еще и с гарантией в 2 года.
Кстати, был немало удивлен, когда искал калькулятор с большими цифрами и кнопками для бабушки, зашел в один из таких магазинов. Там явный китайский нонеймовый калькулятор продавался за 450 рублей. На следующий день открыл сайт Технопоинта и увидел там за ту же цену вполне себе фирменные Canon-ы и Citizen-ы, еще и с гарантией в 2 года.
Пример про с cr2032 неудачен http://electronica.bashel.ru/?item=98-47-39
https://elkomp.ru/catalog/2778/190326/?sphrase_id=354395
цены на них только в быдло магазах такие и то только потому что берут.
https://elkomp.ru/catalog/2778/190326/?sphrase_id=354395
цены на них только в быдло магазах такие и то только потому что берут.
Бесшовные банданы для всяких спортивностей по те же сорок рублей. В других местах дешевле двух сотен не видел, а ушатываются они достаточно быстро, что фикспрайс, что Buff за кучу денег.
Ещё экономные. Экономных добавьте в список пожалуйста.
Раньше был «Всё по ...» 35,36,38 и т.д., сейчас цены разные (не самые низки зачастую), кроме типично китайского хлама (одноразовые отвёртки) появился ещё чай, туалетная бумага и пр. И традиционно-маркетологические закидоны — «стельки 25 руб, пара всего за 50» и решай как знаешь — пара стелек в упаковке за 50(по факту так оказалось), но упаковка фабричная и по одной не продают или раз «фикс прайс», то они просто продают упаковки парами, чтобы цена на всё была одинаковая? Посмотрел на это и понял что смысла ходить туда нет (был у них раньше конкурент «Всё по 36» назывался, те же яйца, но на полрубля дешевле и был рядом с работой — удобно было чай и бумагу с кухонными полотенцами закупать в маленький офис на самообслуживании).
Лично покупал несколько штук батареек CR2032 в одной упаковке (4 штуки CR2032 и 2 штуки CR2025) за 45-50 рублей.
Вставлял эти CR2032 и CR2025 как в материнские платы, так и в напольные весы — батарейки рабочие.
Вставлял эти CR2032 и CR2025 как в материнские платы, так и в напольные весы — батарейки рабочие.
Все же я считаю, что основная вина на пользователях, ибо зачем делать легкие пароли, а потом жаловаться вот меня хакнули?
Пострадали не только пользователи которые использовали словарные пароли, но и все остальные — теперь никто не может пользоваться картами.
hash:=sha256(2041 + номер карты)
GET bonus.fix-price/assets/fixprice/images/barcode/%hash%.png
А с этим пользователь что должен был делать? Использовать "несловарный" номер карты?
Я так понимаю, номер карты сам по себе по замыслу разработчиков является приватной информацией, как, например, полный комплект данных кредитки. Очевидно, что из него довольно тривиально генерируется штрих-код. И побрутить номера карты не удастся, валидация их происходит на кассе продавцом.
Так что без брутфорса паролей аккаунтов здесь всё равно не обойтись.
Так что без брутфорса паролей аккаунтов здесь всё равно не обойтись.
Ну является. Но получить одну карту самому, чтобы найти начальные цифры и дальше пойти их перебирать не так вроде и сложно. И хорошо, если картинки у них генерируются на лету и такую активность быстро заметят по увеличившейся нагрузке. А если нет? :)
В том-то и дело, что штрих-код можно проверить только попытавшись расплатиться по нему в магазине. Так и представляю себе брутфорс живых продавцов: вот эти 500 ваших дисконт-карт не существуют, вот эти 250 просрочены, вот на этих 300 нулевой баланс, но вот этой вот как раз хватит чтобы расплатиться :)
https://bonus.fix-price.ru/assets/fixprice/images/barcode/123.png = 404.
https://bonus.fix-price.ru/assets/fixprice/images/barcode/181210f8f9c779c26da1d9b2075bde0127302ee0e3fca38c9a83f5b1dd8e5d3b.png = 404.
Может быть они просто прикрыли лавочку на время разборок и на все запросы туда начали говорить 404, но может и быть так, что там все легитимные штрихкоды лежали в виде статичных файликов, а о остальным запросам отдавалось 404. Нулевой баланс — это да, проблема.
Карты судя по всему лежали в виде файлов, потому что когда указывал левый хэш — выдавало 404. А когда указывал хэш от валидного номера карты — показывало штрихкод без регистрации и СМС. Сейчас выдаёт 404 т.к. выпилили всю систему карт.
Они статичные всегда. Это как бы идентификатор для кассы что используется карта.
чтобы найти начальные цифры
Они статичные всегда. Это как бы идентификатор для кассы что используется карта.
Они статичные всегда. Это как бы идентификатор для кассы что используется карта.
Да я догадываюсь. Но если у тебя нет карточки — ты не знаешь этот идентификатор и нужно либо пытаться искать фотографии в интернетах, либо сходить и получить карточку.
А вот это уже ещё одна уязвимость, да. Тут проблема даже не в открытой урле и/или алгоритме, а в том что этот запрос позволяет отличить валидный номер карты от невалидного.
НЛО прилетело и опубликовало эту надпись здесь
А как их переубедить в том что пароли слабые? Проходил практику в одной крупной компании, пароли были ФИО, либо фамилия+номер кабинета. Админы и безопасники люто негодовали, но женщины 40+ с дикими воплями кричали что не могут запомнить сложный и несвязанный пароль и им придется его хранить на листочке.
Причём не просто на листочке, а приклееном к монитору.
НЛО прилетело и опубликовало эту надпись здесь
Ну всё-таки всегда неплохо иметь возможность однозначно идентифицировать сотрудника, сделавшего лажу. А в мире, где у всех такие вот пароли, любой сотрудник при желании может авторизироваться с несвоими данными.
В том, что угроза может быть в коллеге за соседним столом.
Простой пример: бухгалтерия, в комнате сидит 5 дам, каждая ведет учет по своему участку работы, близится годовая отчетность… Вчера одна обозвала другую «старой перечницей».
«Ах так», — подумала та, — «ну я тебе покажу!» И удаляет от её же имени часть наработанной информации, необходимой для годовой отчетности.
Официально — сама дура, удалила, а теперь плачет, что приходится ночами сидеть, чтобы успеть в срок.
Простой пример: бухгалтерия, в комнате сидит 5 дам, каждая ведет учет по своему участку работы, близится годовая отчетность… Вчера одна обозвала другую «старой перечницей».
«Ах так», — подумала та, — «ну я тебе покажу!» И удаляет от её же имени часть наработанной информации, необходимой для годовой отчетности.
Официально — сама дура, удалила, а теперь плачет, что приходится ночами сидеть, чтобы успеть в срок.
Вот, собственно, это и надо им приводить в качестве одного из аргументов.
Пользователь сам отвечает за хранение своих данных для доступа к системе. Всегда надо подчёркивать, что всё, что сделано от имени пользователя, считается сделанным этим пользователем. galina_ivanova удалила всю отчётность за год? Значит она и будет отвечать. Хранила пароль на листочке на мониторе? Ну, ква.
А если пользователь имеет доступ к каким-то очень критичным данным, тогда хорошо ещё и принудительно заставлять меня пароль раз в какой-то период времени.
Пользователь сам отвечает за хранение своих данных для доступа к системе. Всегда надо подчёркивать, что всё, что сделано от имени пользователя, считается сделанным этим пользователем. galina_ivanova удалила всю отчётность за год? Значит она и будет отвечать. Хранила пароль на листочке на мониторе? Ну, ква.
А если пользователь имеет доступ к каким-то очень критичным данным, тогда хорошо ещё и принудительно заставлять меня пароль раз в какой-то период времени.
тогда хорошо ещё и принудительно заставлять меня пароль раз в какой-то период времени
Нет. Тогда необходимо принудительно выдавать хороший пароль. Пока пользователь может выбирать себе пароль — он априори плохой.
тогда хорошо ещё и принудительно заставлять меня пароль раз в какой-то период времени.
Ни в коем случае.
Иначе через пару таких периодов все пароли превратятся в 12345, потому что пользователи в гробу видали ваши игры в периодическое перепридумывание паролей.
обычно берут старый пароль и меняют в нем последний символ. У нас в конторе один разработчик на столько долго работает, что уже закончились все «новые английские буквы»
Естественно, надо следить за тем, что пароль изменён, и требовать, чтобы он соответствовал «безопасному» паттерну.
Предположим, паттерн «большие, малые латинские буквы, цифры и спецсимволы, длиной 8+».
P@ssw0rd
P@ssw0rd1
P@ssword2
P@ssw0rd3…
P@ssw0rd
P@ssw0rd1
P@ssword2
P@ssw0rd3…
Не такой плохой пароль, к слову.
Если злоумышленником вскрыты пароли P@ssw0rd1 и P@ssw0rd2, каким может быть следующий? Хм. Надо подумать…
Пароль типовой, использовался как минимум в учебных курсах Microsoft — и потому в реальной жизни использоваться, очевидно, не должен, ибо является одним из первейших кандидатов на перебор.
Формальные требования качества пароля могут не соответствовать реальной его вскрываемости. Вот в чем печаль.
Пароль типовой, использовался как минимум в учебных курсах Microsoft — и потому в реальной жизни использоваться, очевидно, не должен, ибо является одним из первейших кандидатов на перебор.
Формальные требования качества пароля могут не соответствовать реальной его вскрываемости. Вот в чем печаль.
Разумеется, мы все предпочтём видеть по-настоящему безопасный пароль, длинный, бессмысленный, использующий самые разные спецсимволы, цифры и буквы в разном регистре и нигде более не используемый, но в реальной жизни волей-неволей приходится идти на компромиссы, ну и/или проверять пароли на «похожесть» с предыдущими до того, как разрешать устанавливать их.
Пробовал, когда работал админом, приводить такое в качестве аргумента различным тетушкам, в ответ чаще всего получал что-то вроде: ой, да кому это надо, разве кто-то будет так делать?
Самопротиворечивый алгоритм. Если человек полностью отвечает за свой пароль и учётку и за то, что из под этой учётки сделано, то неправильно заставлять его менять пароль. Потому что такого рода ответственность должна порождать право самому реализовывать механизм несения этой ответственности. То есть самому придумывать пароль, решать, как его хранить и т. д.
А иначе он вам скажет: я каждый месяц новый пароль запоминать не могу, пришлось записывать на листочек, я не виноват. И в чём-то будет прав.
А иначе он вам скажет: я каждый месяц новый пароль запоминать не могу, пришлось записывать на листочек, я не виноват. И в чём-то будет прав.
В чём-то он, наверное, будет прав, но безопасность не заканчивается на пароле пользователя, это ведь лишь один из возможных компонентов безопасной системы. И то, что он несёт ответственность за хранение своего имени и пароля в тайне, не означает, что остальные могут расслабиться, полагая, что, «сам будет виноват».
Если пользователь в результате взлома теряет только свои личные документы и проч. – это одно, если убытки и потери разного рода кроме него несёт компания – это совсем другое. Пользователь может иметь доступ к важным документам, финансам, учётным записям других пользователей и т.д. В этом случае может оказаться недостаточно доверять тому, насколько защищён пароль пользователя, полагаясь на его слова.
Заставлять менять пароль раз в месяц – прямо скажем, не самая гуманная мера для защиты данных («железные» ключи будут, скорее всего, удобнее), но если другие методы авторизации не используются, возможно, смена пароля поможет сделать несанкционированный доступ более трудоёмким делом.
Если пользователь в результате взлома теряет только свои личные документы и проч. – это одно, если убытки и потери разного рода кроме него несёт компания – это совсем другое. Пользователь может иметь доступ к важным документам, финансам, учётным записям других пользователей и т.д. В этом случае может оказаться недостаточно доверять тому, насколько защищён пароль пользователя, полагаясь на его слова.
Заставлять менять пароль раз в месяц – прямо скажем, не самая гуманная мера для защиты данных («железные» ключи будут, скорее всего, удобнее), но если другие методы авторизации не используются, возможно, смена пароля поможет сделать несанкционированный доступ более трудоёмким делом.
Пользователь сам отвечает за хранение своих данных для доступа к системе. Всегда надо подчёркивать, что всё, что сделано от имени пользователя, считается сделанным этим пользователем.
Отдельный элемент администрирования — написание инструкций и приказов. Плюс журнал ознакомления. Т.е. не надо «подчёркивать». Пользователь ознакомился и расписался под тем, что на предприятии введена презумпция виновности. Всё, дальше можно вообще пароли не задавать — будут и компьютеры лочить, и капканы на подходе к рабочему месту ставить. Проверено.
НЛО прилетело и опубликовало эту надпись здесь
ну, к примеру, проблема может быть в том, что роли даже внутри бухгалтерии может быть разными. К примеру, проводка платежей должна подтверждаться несколькими сотрудниками. Мне известен случай, когда вот подобным образом хранили пароли + RSA SecurID брелоки. Как результат — убытки компании на многие миллионы.
А как их переубедить в том что пароли слабые?
Никак. Очевидно, пароли для массового использования ущербны «by design».
Алтернатива — био-идентификация, токены + пин-код.
Ради покупки сухариков за 8 рублей?
Ну например, да. При выдаче карточки покупатель придумывает кодовое слово, которое не отображается в личном кабинете и видно только кассирам. Названо слово — кассир подтверждает покупку, нет — кассир посылает подальше.
Для совсем забывших кодовое слово можно предусмотреть возможность его изменить с телефона, который указывался при получении карточки. Если по какой-то причине утрачен номер телефона, покупатель достаёт паспорт, вызывается администратор и при нём пишется заявление на выдачу новой карточки взамен утраченной, при этом администратор проверяет, что паспортные данные в заявление переписаны верно. Паспортные данные из заявления сразу записываются в БД. Таким образом, слишком зачастившего в магазин школьника или заметит и пошлёт подальше сам администратор, или служба безопасности, заметив слишком уж много заявлений от одного лица. А реальный покупатель после такого геморроя всё-таки запомнит кодовое слово.
Может не самый клиентоориентированный метод, но покупать за полную стоимость-то товары никто не мешает. А если хочешь поэкономить — изволь быть чуть-чуть ответственнее.
Называть кодовое слово когда мне дышат в затылок не лучший вариант, так же с пинкодом от карты — кассир отворачивается, а камеры над кассой и покупатели за спиной нет.
Ну блин, это всё-таки не карта, на которой реальные деньги лежат. Вряд ли тем, кто тебя взломает будет именно тот, кто стоял в одной с тобой очереди. Я тут не идеальную бонусную систему пытался придумать, а просто не слишком затратные меры, при которых нельзя было бы воспользоваться утёкшими данными для обналичивания карт. Это тоже фейл, ФИО и прочие данные всё равно бы утекли, но хотя бы не двойной.
Придумывание чего то нового — это изобретение велосипеда с палками в колёсах по-умолчанию.
Можно просто использовать брелок с чипом как в симкарте.
Можно просто использовать брелок с чипом как в симкарте.
Ничего этого не нужно, нужно было лишь настроить чтобы «В ответ НЕ приходил коротенький JSON», ну и блокировать брут, но это уже опционального, мне кажется хватило бы только первого пункта.
Названо слово — кассир подтверждает покупку, нет — кассир посылает подальше.
1) не исключает сговор покупателя и кассира
2) БД с паспортными данными требует ОТТАКУЮ кучу геморроя.
3) Называние слова чревато утечками же.
НЛО прилетело и опубликовало эту надпись здесь
Ради покупки сухариков за 8 рублей?
Специально для сухариков за 8 рублей можете использовать простые пароли.
Однажды Сисадмин пожаловался Учителю:
– Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают хранить их в тайне. Записывают на листочках и приклеивают к мониторам. Что нам делать? Как заставить их?
Инь Фу Во спросил:
– Сначала скажи, почему они это делают.
Сисадмин подумал и ответил:
– Может быть, они не считают пароль ценным?
– А разве пароль сам по себе ценный?
– Не сам по себе. Ценна информация, которая под паролем.
– Для кого она ценна?
– Для нашего предприятия.
– А для пользователей?
– Для пользователей, видимо, нет.
– Так и есть, – сказал Учитель. – Под паролем нет ничего ценного для наших работников. Надо, чтоб было.
– Что для них ценно? – спросил Сисадмин.
– Догадайся с трёх раз, – рассмеялся Учитель.
Сисадмин ушёл просветлённый и сделал на корпоративном портале персональные странички для всех работников. И на тех страничках был указан размер зарплаты. Узнав об этом, все пользователи забеспокоились о своих паролях. На другой день в курилке обсуждали размер зарплаты Главбуха. На третий день ни у кого не было видно листочков с паролями.
– Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают хранить их в тайне. Записывают на листочках и приклеивают к мониторам. Что нам делать? Как заставить их?
Инь Фу Во спросил:
– Сначала скажи, почему они это делают.
Сисадмин подумал и ответил:
– Может быть, они не считают пароль ценным?
– А разве пароль сам по себе ценный?
– Не сам по себе. Ценна информация, которая под паролем.
– Для кого она ценна?
– Для нашего предприятия.
– А для пользователей?
– Для пользователей, видимо, нет.
– Так и есть, – сказал Учитель. – Под паролем нет ничего ценного для наших работников. Надо, чтоб было.
– Что для них ценно? – спросил Сисадмин.
– Догадайся с трёх раз, – рассмеялся Учитель.
Сисадмин ушёл просветлённый и сделал на корпоративном портале персональные странички для всех работников. И на тех страничках был указан размер зарплаты. Узнав об этом, все пользователи забеспокоились о своих паролях. На другой день в курилке обсуждали размер зарплаты Главбуха. На третий день ни у кого не было видно листочков с паролями.
Гм. Предполагается, что скомпрометированный элемент аутентификации должен быть заблокирован, а пользователь — получить новый.
Как вы предполагаете это делать для сетчатки или отпечатка пальца?
Как вы предполагаете это делать для сетчатки или отпечатка пальца?
У человека много пальцев :-)
И компрометируется в данном случае не элемент аутентификации, а система проверки!
И компрометируется в данном случае не элемент аутентификации, а система проверки!
К сожалению, в процессе жизни заменить скомпрометированный палец — крайне затруднительно.
Предположим, у меня есть аутентификация по отпечатку одного и того же пальца на мобильнике, при получении ключа от кабинета на работе и в банкомате.
Предположим, охрана на работе слила мой отпечаток при получении ключа и смогла воспроизвести его с достаточной для прохождения аутентификации точностью.
Вопрос: смогут ли они вскрыть мой мобильник? А в банкомате?
Компрометируется как раз элемент аутентификации. И максимум, что я могу сделать — пометить его везде как скомпрометированный.
Но у меня только 20 пальцев, да и не везде удобно прислонять к сканеру пальцы ног…
Предположим, у меня есть аутентификация по отпечатку одного и того же пальца на мобильнике, при получении ключа от кабинета на работе и в банкомате.
Предположим, охрана на работе слила мой отпечаток при получении ключа и смогла воспроизвести его с достаточной для прохождения аутентификации точностью.
Вопрос: смогут ли они вскрыть мой мобильник? А в банкомате?
Компрометируется как раз элемент аутентификации. И максимум, что я могу сделать — пометить его везде как скомпрометированный.
Но у меня только 20 пальцев, да и не везде удобно прислонять к сканеру пальцы ног…
Компрометируется как раз элемент аутентификации.
Это неверно. Как его можно скомпрометировать, если оригинал строго в единственном экземпляре?
В т.ч. у однояйцовых близнецов разные отпечатки пальцев.
смогла воспроизвести его с достаточной для прохождения аутентификации точностью
Так это компрометация системы проверки отпечатка, а не самого пальца!
Простейшие сканеры за "палец" примут напечатанную на ч/б принтере фотографию. С навороченными сложнее — но и их можно обойти если сэмулировать все те признаки, по которым палец определяется.
Напомню события трехлетней давности.
… Ведущие банки России временно прекратили прием пятитысячных купюр старого образца в своих банкоматах — слишком много подделок…
… Впрочем, искусными эти подделки не назовешь: бумага однослойная, водяных знаков нет, печать обычная на струйном принтере. Но банкоматы обманываться были рады. Теперь службы безопасности «лечат» эту доверчивость, спешно обновляя программное обеспечение...
http://www.ntv.ru/novosti/678296/
Поэтому, не надо путать компрометацию системы проверки с компрометацией элемента аутентификации.
… Ведущие банки России временно прекратили прием пятитысячных купюр старого образца в своих банкоматах — слишком много подделок…
… Впрочем, искусными эти подделки не назовешь: бумага однослойная, водяных знаков нет, печать обычная на струйном принтере. Но банкоматы обманываться были рады. Теперь службы безопасности «лечат» эту доверчивость, спешно обновляя программное обеспечение...
http://www.ntv.ru/novosti/678296/
Поэтому, не надо путать компрометацию системы проверки с компрометацией элемента аутентификации.
Как показала давняя истерия с каким-то ифоном, дактдатчик спокойно воспринимает не только сами 'пальцы' но и 'иные' части тела.
И может быть не все варианты могут быть использованы с точки зрения гигиены или морали в общественных местах, но это уже на усмотрение пользователя:)
И может быть не все варианты могут быть использованы с точки зрения гигиены или морали в общественных местах, но это уже на усмотрение пользователя:)
Зачем вообще "копить целый год" на бонусной карте магазина? :)
Итого основная ошибка только одна — возможность оплачивать 100% покупки бонусами.
Пострадали в первую очередь покупатели, телефоны всех кто регистрировался на сайте в руках у нехорошего человека
Нифига не понял. Что за бред?
Сайт давал возможность без труда узнать, зарегистрирован ли номер телефона или почта. Злоумышленник чекал номера телефонов на сайте и составлял базу для брута, которую сейчас полюбому продаёт.
Со взломанных аккаунтов доставалась вся информация о пользователе, включая почту, ФИО и адрес.
Со взломанных аккаунтов доставалась вся информация о пользователе, включая почту, ФИО и адрес.
А вообще, интересная идея, посмотреть сайты других магазинов, в которых регистрировал клубную карту, там же просили заполнить бумажку с ФИО, телефоном, почтой и другой информацией, а система авторизации на сайте может оказаться подобной этой.
Это стало ясно дальше из текста статьи. Но если читать это конкретное предложение, выходит вот что:
«Все регистрировались на сайте в руках нехорошего человека.»
Именно так стоят знаки препинания. Мне пришлось перечитать 4 раза это предложение, чтобы угадать, где надо ставить запятые.
Вот как оно должно было быть:
«Все регистрировались на сайте в руках нехорошего человека.»
Именно так стоят знаки препинания. Мне пришлось перечитать 4 раза это предложение, чтобы угадать, где надо ставить запятые.
Вот как оно должно было быть:
Пострадали в первую очередь покупатели. Телефоны всех, кто регистрировался на сайте, — в руках у нехорошего человека
Судя по тексту статьи, вы знакомы или знаете злоумышленника. А в полицию-то заявили? Кража как-никак.
«сделал добро (рассказал о наличии уязвимости) — и беги»
Нет. Вы не поняли.
Если человек ознакомлен с фактом совершения преступления каким-то лицом и не сообщил об этом, то он — соучастник.
Из некоторых речевых оборотов в статье можно сделать вывод о том, что автор взаимодействовал с преступником в части получения некоторых сведений. А раз он знает, что тот человек совершил некие деяния, но сообщил об этом, то автор сам соучастник преступления. И неважно, что он всем рассказал о данной уязвимости.
Если человек ознакомлен с фактом совершения преступления каким-то лицом и не сообщил об этом, то он — соучастник.
Из некоторых речевых оборотов в статье можно сделать вывод о том, что автор взаимодействовал с преступником в части получения некоторых сведений. А раз он знает, что тот человек совершил некие деяния, но сообщил об этом, то автор сам соучастник преступления. И неважно, что он всем рассказал о данной уязвимости.
По этой (в т.ч.) причине, для избегания коллизий с весьма странной правовой позицией государства, всегда имеет смысл добавлять «один мой знакомый» или «снилось мне» перед такими рассказами.
А есть заявление от пострадавшего? Нет преступления — нет преступника. Еще клевету повесят.
Это не убийство, без заявления дело не заведут.
Это не убийство, без заявления дело не заведут.
Соучастие — содействие в совершении преступления либо заранее обещанное содействие в сокрытии его следов. Вы бы УК прочитали для начала, перед тем как авторитетные заявления делать.
имея даже миллионы ворованных бонусов не представляю, что там можно купить на этой помойке, ну кроме разве что очень ограниченного ассортимента продуктов.
p.s. сам как то приобрел там сковороду с керамическим покрытием, покрытие оказалось обычной белой краской, которая начала гореть при нагревании :))
p.s. сам как то приобрел там сковороду с керамическим покрытием, покрытие оказалось обычной белой краской, которая начала гореть при нагревании :))
У нас, например, алкоголики периодически за водку дерутся. Оказывается, водка тоже бывает просроченной :)))))
А вообще цены там очень высокие на большинство ассортимента, но попадаются и интересные вещи, например художественные альбомы, которые должны по идее стоить гораздо дороже 50-ти рублей.
А вообще цены там очень высокие на большинство ассортимента, но попадаются и интересные вещи, например художественные альбомы, которые должны по идее стоить гораздо дороже 50-ти рублей.
Там продается вода за какую-то символическую стоимость, 7 рублей за 0.5 литра, что ли. Вкусные конфеты есть, батончики, приличные отвертки.
продукты — верю, но приличные отвертки… бгг :))
Взял клеевой пистолет там и стержни к нему. Ну да, качество унылое. Но и в 4 раза дешевле, чем самый дешевый клеевой пистолет в любом другом месте, и примерно в 10 раз дешевле, чем в фирменном магазине. Но ведь клеит! Учитывая, что он мне нужен 1 раз в полгода — почему бы и нет?
Я там беру очень крутой кислородный отбеливатель за копейки. Перкарбонат натрия, гидроперит, ТАЕД для активации и Трилон-Б. Я писал о нем: DIY порошок для посудомойки: разбираем промышленные средства и улучшаем рецепт
Батарейки. Детские книжки. Контейнеры под мелочи (я в них метизы храню). Нитки. КЛ-лампочки. Дешевые фонарики для дачного сортира. Резинки для волос. Некоторые игрушки. Карандаши. Носки.
Сок «Сады Придонья» сильно дешевле, чем в других магазинах.
У перекрестка есть похожие карты и приложение на моб. Недавно они отменили списание с экрана телефона и сделали только с карты. Совпадение? :)
Когда половину бизнес-логики делают на джаваскрипте на стороне клиента, а все кишки сервера смотрят наружу — этим и заканчивается. Все эти функции для проверки логина и генерации штрихкода должны быть доступны только серверному приложению, и ни в коем случае не по http-запросам.
Народ вопрос к теме. А есть ли какая-то защищенная система лояльности, которую можно внедрять в рабочий бизнес? А то прочитал ужаснулся.
Да. Персональный менеджер, знающий своих подопечных в лицо. :)
SMS на телефон. СушиСтор держал карточки, теперь на это перешёл. И фиг взломаешь.
Отправка SMS стоит денег, и SMS не является гарантированным средством доставки сообщения в срок.
Карточки надёжнее, чем смс на телефон.
В случае с скидочными картами телефон и СМС — более надёжны чем карточки. Мой ящик карточек весит больше чем все остальные документы вместе взятые и занимает столько же места, причём он один а нас с женой двое, поэтому лежит в основном скидочная карта дома.
И это общая проблема — посмотрите в любой очереди в Детский мир, например, сколько людей приходят без карт,. Надёжность прихода СМС перекрывает надёжность того, что карта не дома, на порядки (эмпирически проверено) — не было ни разу, чтобы СМС пришла с задержкой больше секунд (Детский Мир).
Насчёт цены — для больших объёмов цена микроскопическая. Ведение пластиковой карточки, кстати, тоже денег стоит. Единственный серьёзный плюс карты — обслуживание с ней быстрее.
С картами и вообще со скидками проблема в другом. Магазины увлеклись созданием мегапорталов для скидок. Простую задачу превращают в квест. Ради копеечной скидки я, например, не буду выбирать магазин в ущерб удобства и качества. Декатлоновские скидки, например, кроме раздражения не вызывают ничего — надо регистрироваться. в почте копаться, следить чтобы не устарели…
И это общая проблема — посмотрите в любой очереди в Детский мир, например, сколько людей приходят без карт,. Надёжность прихода СМС перекрывает надёжность того, что карта не дома, на порядки (эмпирически проверено) — не было ни разу, чтобы СМС пришла с задержкой больше секунд (Детский Мир).
Насчёт цены — для больших объёмов цена микроскопическая. Ведение пластиковой карточки, кстати, тоже денег стоит. Единственный серьёзный плюс карты — обслуживание с ней быстрее.
С картами и вообще со скидками проблема в другом. Магазины увлеклись созданием мегапорталов для скидок. Простую задачу превращают в квест. Ради копеечной скидки я, например, не буду выбирать магазин в ущерб удобства и качества. Декатлоновские скидки, например, кроме раздражения не вызывают ничего — надо регистрироваться. в почте копаться, следить чтобы не устарели…
о Twitter Digits кто что слышал пробовал? если его к логин/пароль, как типа 3d secure сделать.
Насчёт цены — для больших объёмов цена микроскопическая.
неправда, цены уже давно не микроскопические.
Билайн на свои от 1M смс в месяц 0,6руб/смс
МФ на свои от 300M смс в месяц 0,2руб/смс
МТС на свои от 100К смс в месяц 0,77руб/смс
Ведение пластиковой карточки, кстати, тоже денег стоит.
Себестоимость изготовления карты с магнитной лентой, персонализацией и штрих-кодированием при тиражах более 100К от 4руб/штука
Карточка с номером не такой уж плохой вариант, только применять нужно с головой, и ограничения на брут ставить. Создание аккаунта — с привязкой к телефону, попытки брута должны ограничиваться 5 запросами в сутки и только после логина в систему. Ни одна система не является абсолютно защищенной, но можно максимально усложнить взлом, чтобы выхлоп не стоил потраченных усилий.
Смотря какой бизнес. Если оффлайн, то лучший вариант — это физические пластиковые карты с регулярными семинарами для продавцов-менеджеров как отличить подделку.
Ещё многие знакомые заведения используют бонусную систему, название которой созвучно с утконосом. Слышал, что проблемы с безопасностью там бывают, но их своевременно фиксят.
Ещё многие знакомые заведения используют бонусную систему, название которой созвучно с утконосом. Слышал, что проблемы с безопасностью там бывают, но их своевременно фиксят.
Мобильное приложение магазина можно сделать надёжным и защищённым от перебора паролей. Но, конечно, оно дорого в разработке и потребителей бесит, когда вы требуете его поставить (меня тоже).
Электронные карточки для Apple Wallet (.pkpass) могут быть такими же надёжными. Они даже могут делать запросы на сервер, проверять свой статус и следить, чтобы ничего страшного не происходило (и отключаться, если что-то пошло не так). Карточки поддерживаются на iOS, Windows Mobile (с ограничениями), есть приложения для поддержки карт на Android.
Росинтер выдаёт такие карты «почётный гости», например. Я делаю себе сам карты .pkpass со штрих-кодами (делал для своей карты Fix-Price), потому что это удобнее
Есть, но будет работать только на смартфонах
Вы абсолютно правы. Разрешение пользовательских паролей без валидации качества — безусловно колоссальный ляп в ИБ.
Про отсутствие капчи или других средств от брута на сервере — так же, слов нет.
И разработчику, и сисадмину, и в первую очередь менеджерам и заказчику руки отрывать, и дипломы в одно место засунуть.
Про отсутствие капчи или других средств от брута на сервере — так же, слов нет.
И разработчику, и сисадмину, и в первую очередь менеджерам и заказчику руки отрывать, и дипломы в одно место засунуть.
с бонусной карты моего друга были сняты все бонусы в размере ~800р, для студента это огромные деньги которые он копил целый год
Копил? Целый год? На бонусной карте магазина? Зачем? :)
Хотел шикануть :)
Я коплю долгое время и списываю если денег мало или не хватает. Скорее всего и он откладывал на чёрный день.
800 (восемьсот) рублей на чёрный день? Серьёзно?
Вы поистине счастливы, раз искренне задаете подобные вопросы :-)
800 рублей, в общем-то, это достаточно заметная сумма денег, особенно учитывая то, что речь идет о студенте.
Плюс к тому, некоторых городах, например, проезд в транспорте стоит 13-15 рублей, полгорода на такси объездить стоит сотню, а за полтораста рублей можно неплохо пообедать. Попадая в Москву, эти люди точно так же искренне возникает непонимание от того, что им проехать в режиме метро+автобус от вокзала до нужной точки и обратно — стоило двести рублей.
Со слов студента:
Что бы накопить 800р нужно потратить 16 тысяч.
На 800р в фиксе можно купить еды на неделю. Сок литровый + молоко + йогурты 4 штуки + газировка 0,5 за 25р или 3 бутылки 1.5л за 50р + сухари + конфеты + печенье + консервы + чипсы + макароны + бич пакет и т.д.
Что бы накопить 800р нужно потратить 16 тысяч.
Бог с ним с суммой, внизу в каментах уже ее обсудили. Зачем копить на черный день на карте магазина, который может закрыться в любой момент? Все эти накопительные карточки нужны только для одного: списать с них все бонусы при следующей же покупке. :)
FixPrice — сами те ещё жулики. Пусть хлебнут хоть чутка проблем.
У них около каждой кассы несколько наклеек со штрих-кодами, замешкаешься на кассе, получишь лишний товар в чеке.
Не верите? Зайдите в ближайший магазин.
У них около каждой кассы несколько наклеек со штрих-кодами, замешкаешься на кассе, получишь лишний товар в чеке.
Не верите? Зайдите в ближайший магазин.
А где теперь можно найти эту клиентскую базу? и купить ее, для определенного города))
НЛО прилетело и опубликовало эту надпись здесь
были сняты все бонусы в размере ~800р, для студента это огромные деньги которые он копил целый годсерьезно? Давно не студент, но иногда смотрю славного друже и он там называет цены на еду (правда в Питере). Насколько помню 800р это примерно 6 шаверм (извиняюсь за такое сравнение). А может кто подсказать, сколько в среднем стипендия у студента в России? (сам с Украины)
Если считать в вашей системе счисления: 20 шаверм или 2500 рублей. Есть ещё социальная стипендия и прочие плюшки.
Лично я не понял, зачем так долго копить такие суммы. Поразить кассира что ли? Не забываем, что правила бонусных программ имеют свойство меняться (то бишь срок жизни бонусов внезапно может оказаться маленьким). Накопил сумму того, что обычно покупаешь — потратил. Зачем мне тратить сейчас свои деньги на бутылку гранатового сока, если бонусов на неё уже хватает?
Единственное разумное объяснение — если мне сейчас банк даёт за супермаркеты допустим 5%, тогда оплачивать сейчас деньгами становится выгодно.У друга автора столько карт разных банков, что у него круглый год хороший кэшбэк на продукты? Тогда прошу прощения, респект другу.
PS: сам, дурень, в одном банке стартовые 500 бонус-рублей потерял, сверх этого зачем-то копил-копил, не тратил, а про срок жизни забыл. Банк, кстати, тоже забыл, потому что аннулировал на несколько месяцев позже, чем должен был, так что я вдвойне лопухнулся
Единственное разумное объяснение — если мне сейчас банк даёт за супермаркеты допустим 5%, тогда оплачивать сейчас деньгами становится выгодно.У друга автора столько карт разных банков, что у него круглый год хороший кэшбэк на продукты? Тогда прошу прощения, респект другу.
PS: сам, дурень, в одном банке стартовые 500 бонус-рублей потерял, сверх этого зачем-то копил-копил, не тратил, а про срок жизни забыл. Банк, кстати, тоже забыл, потому что аннулировал на несколько месяцев позже, чем должен был, так что я вдвойне лопухнулся
Да сейчас почти никто не живет на стипендию (только если это не какая-нибудь правительственная, супер пупер). Это маленькие деньги, которые можно рассматривать только как дополнительный бонус.
Не удивлюсь, если всё и было так задумано.
0) Куча недовольных покупателей которая ходила в этот магазин ради бонусов.
1) Затраты на разработку новой бонусной системы
2) Деньги и продукты достались уж точно не магазину (за исключением наценки)
3) Затраты на облако:
1) Затраты на разработку новой бонусной системы
2) Деньги и продукты достались уж точно не магазину (за исключением наценки)
3) Затраты на облако:
Стоимость ******* рассчитывается индивидуально для каждого веб-сайта и зависит от его особенностей. Средняя стоимость составляет порядка 15.000-20.000 рублей за типовой веб-сайт.
Не люблю конспирологию, но иногда таких хитрые схемы проворачивают, что диву даешься.
Например, под видом атаки хакеров и мошенников, магазин мог спустить кучу товара в никуда, товара которого никогда и не было, для каких-нибудь своих там целей, например, для махинаций с налогами или прочими бухгалтерскими вещами…
Но если приземлиться, то кто-то в цепи разработчик-заказчик мог прекрасно знать слабые места системы и потом слить их на сторону за вознаграждение, инсайд такой.
Например, под видом атаки хакеров и мошенников, магазин мог спустить кучу товара в никуда, товара которого никогда и не было, для каких-нибудь своих там целей, например, для махинаций с налогами или прочими бухгалтерскими вещами…
Но если приземлиться, то кто-то в цепи разработчик-заказчик мог прекрасно знать слабые места системы и потом слить их на сторону за вознаграждение, инсайд такой.
НЛО прилетело и опубликовало эту надпись здесь
А что было необходимо сделать со стороны магазина, чтобы такого не произошло?
Что ещё?
- ИТ: затруднить брутфорс — фильтрацию на IP;
- ИТ: «тупой» ответ на ошибочные данные (вида «логин или пароль указаны некорректно»);
- Процесс: снятие бонусов только по пластиковой карте, либо с двухфакторной авторизацией через СМС на номер телефона, к которому привязана карта;
- Регламент: любая активность по восстановлению карты, использованию нескольких карт должна фиксироваться и анализироваться.
Что ещё?
5. Оповещение по СМС о действиях с картой
6. Проверка по региону, если карта из Питера, а её используют в Тюмени — блокировать подобное.
7. Запоминать подозрительных личностей которые в день по несколько раз расплачиваются бонусами с разных карт
8. Проверять почту хотя бы раз в месяц. (я писал им на почту и не получил ответа, мой знакомый писал им фидбэк по поводу пропажи баллов — ему ответили шаблонной отпиской «они сгорели или ваши родственники потратили»)
Можно придумать кучу организационно-технических методов, но оно им надо? Проще как всегда добавить пару костылей и надеяться на «авось».
6. Проверка по региону, если карта из Питера, а её используют в Тюмени — блокировать подобное.
7. Запоминать подозрительных личностей которые в день по несколько раз расплачиваются бонусами с разных карт
8. Проверять почту хотя бы раз в месяц. (я писал им на почту и не получил ответа, мой знакомый писал им фидбэк по поводу пропажи баллов — ему ответили шаблонной отпиской «они сгорели или ваши родственники потратили»)
Можно придумать кучу организационно-технических методов, но оно им надо? Проще как всегда добавить пару костылей и надеяться на «авось».
Хорошее дополнение, спасибо.
Я вопрос задавал больше для себя — из любой ошибки лучше бы извлекать какой-нибудь урок.
И хотелось бы понимать как такая работа должна быть правильно организована.
Я вопрос задавал больше для себя — из любой ошибки лучше бы извлекать какой-нибудь урок.
И хотелось бы понимать как такая работа должна быть правильно организована.
6. Проверка по региону, если карта из Питера, а её используют в Тюмени — блокировать подобное.
Плохой вариант. Ну вот у меня карта Лукойла из Волгограда. Мне очень нравиться, что я ей легко могу пользоваться по всей России. Без проблем заправляюсь в Калининграде и ее использую. Расстроился (но проникся), что не действует в Белоруссии и Литве)
Ситилинк так же по всей России действует. А вот ДНС открылся в Калининграде, а их бонусная карта тут не действует: это меня расстроило.
Люди все больше перемещаются и это нормально что у федеральных сетей действуют глобальные бонусные программы, системы скидок и т. п.
7. Запоминать подозрительных личностей которые в день по несколько раз расплачиваются бонусами с разных карт
Это как вообще? :-) Ну могут с камер записи на всякий случай оставлять на будущее.
Правда что с этим всем делать? Это не мошеннические действия с деньгами, где есть уголовка. В случае с бонусами: мало вероятно, что кто-то сможет провернуть дело, даже если за руку поймают.
Сразу вспомнил бонусные программы РНКО «Платёжный центр»: это карточки Кукуруза в Евросети, карты Билайна, карты обувных магазинов Kari… Для списания баллов там всего лишь достаточно считывания штрихкода с пластика. Поскольку владельцы Кукуруз обычно копят баллы на то, чтобы купить гаджет в Евросети (кстати, меня удивило, что в ФиксПрайсе пробивают целиком весь чек за баллы, тогда как РНКО требует как минимум рубль оплачивать деньгами, чтобы скидка не была 100%-ой — или перестраховались, или Fix нарушает какие-то правила торговли), то у них баллов накапливается много.
Так вот, можно нагуглить несколько случаев, как люди однажды обнаруживали, что некто в другом городе за их баллы отоварился. И потом долгие разбирательства, вроде даже у кого-то с финалом не в пользу пострадавших.
А всего-то надо списание подтверждать СМСкой. Но мозговитые ребята из ЦФТ (специально делаю акцент, уж всяко опытнее разработчиков Фикса, тем более если те были наёмными, а не штатными) не хотят этого делать! Белый песец
Так вот, можно нагуглить несколько случаев, как люди однажды обнаруживали, что некто в другом городе за их баллы отоварился. И потом долгие разбирательства, вроде даже у кого-то с финалом не в пользу пострадавших.
А всего-то надо списание подтверждать СМСкой. Но мозговитые ребята из ЦФТ (специально делаю акцент, уж всяко опытнее разработчиков Фикса, тем более если те были наёмными, а не штатными) не хотят этого делать! Белый песец
пробивают целиком весь чек за баллыВсё, в правилах ввели ограничение 50% на оплату баллами и ещё кучу ухудшений. Начисление теперь на покупку свыше (а может и от, надо уточнять) 150 рублей, с округлением а-ля Тинькофф — до целого в меньшую сторону, плюс со сгоранием через 180 дней. Вдобавок к этому у многих, включая меня, пустой баланс после повторной регистрации карты. Правда у меня потерялась сущая мелочь, но если по чекам выйдет, что полгода не прошло, а скорее всего так, то надо им устроить раздолбай.
Самое забавное, что оферта датирована первым январём сего года — это вообще как так, внаглую? Чтоб у кого-то баллы с начала года пунктом про полгода аннулировать небось? Или опять какой-то дурень-вебмастер-наёмник виноват? Мда… Такое чувство, что магазину совсем наплевать на репутацию, что после случившегося позора ещё и такие «сюрпризы» выкатывает
Забавно. Оказывается я зря переживал, что потерял или куда-то заныкал этот брелок.
На самом деле магазин сам себя защитил. Все эти бонусные программы в первую очередь для магазина, а не для вас. Они позволяют вам накапливать бонусы, тем самым привязывая вас к себе. Вы имея скидку в магазине, скорее всего пойдете в него, чтобы эту скидку потратить. Плюс еще что-то может купите.
А тут получается, что какие-то левые люди, которые, возможно, никогда и не являлись их клиентами, у них за бесплатно затариваются.
Поэтому то они сначала тупили (ну пропали бонусы: ну и хрен с ними), а когда поняли, что некоторые люди эти бонусы все на себя «завязали» и затариваются на них… тогда то и начали действовать.
А тут получается, что какие-то левые люди, которые, возможно, никогда и не являлись их клиентами, у них за бесплатно затариваются.
Поэтому то они сначала тупили (ну пропали бонусы: ну и хрен с ними), а когда поняли, что некоторые люди эти бонусы все на себя «завязали» и затариваются на них… тогда то и начали действовать.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Массовое ограбление покупателей Fix-Price