Российские госсайты: посторонним вход разрешен

[Almet]

За пять лет изменился только курс рубля, больше ничего в этой стране не поменялось

[noize]

Срочно законпроект про служебную тайну. Неча тут публиковать всякие срамные мысли про уязвимости

[ifap]

Зачем плодить сущности без надобности? При желании следствия, такие случаи вполне успешно покрываются статьей о госизмене и разглашении гостайны. См. материалы троцкистко-бухаринских процессов дела Пасько и далее со всеми остановками.

[Allister2]

А что плохого то? Ну стоят счетчики google, ну сливают данные о посещениях, от этого же никто не умер и даже не заболел.
Поэтому то всем и пофиг.

[trueMoRoZ]

Судя по ситуации с Навальным, когда умирают, то тоже пофиг.
"Вот когда умрёте — вот тогда и приходите"

[Allister2]

Как раз отравление Навального — это то, на что желательно реагировать как-то больше, чем сидением на диване. А счетчики нафиг ни на что не влияют.

[nitrosbase]

Ой, есть нормативные правовые и распорядительные документы, регламентирующие, что на сайте должно быть, а что нет. Например, виджет «Госмонитора» должен быть, а «Яндекс.Метрики», до ее внесения в Реестр отечественного ПО, не должно было быть.

К более общему вопросу о том, что есть на официальных сайтах. Например, из этого контракта можно узнать, что в состав официального сайта МВД входит подсистема мониторинга СМИ (это контракт на ее сопровождение). Правда, ни в одном ТЗ на создание, модернизацию или сопровождение самого сайта МВД эта подсистема не упоминается. Отсюда, видимо, такая НМЦК. А то, про что вы пишете, правда мелочи.

[ifap]

А поделитесь ссылками на такие нормативно-распорядительные хоть по одному госсайту? Госмонитор ЕМНИП да, вменяли в обязанность ставить, только клали на эту обязанность. Подсистема мониторинга СМИ на сайте МВД выглядит как-то так мвд.рф/publicopinion Т.е. берется собственно база мониторинга и из нее какие-то данные выкладываются в паблик на сайт, это другая история.

[nitrosbase]

А поделитесь ссылками на такие нормативно-распорядительные хоть по одному госсайту?

Давно отошел от всего этого, не помню. Вот реквизиты рандомного приказа Росимущества (если брать ФОИВы, о которых речь в посте), в котором упомянут «Госмонитор»: №136 от 15.05.2017.

А ты «подсистема мониторинга» выглядит не так и расположена не по этому адресу. В первом можно убедиться, ознакомившись с конкурсной документацией по ссылке.

[ifap]

Спасибо, это типовой порядок, в развитие 8-ФЗ и подзаконных актов правительства/Минэка к нему. В начале десятых все органы власти такие принимали, как под копирку. Госмонитор тут в своей второй ипостаси упомянут — мониторинга обращений граждан, а не «счетчика». ЕМНИП, было распоряжение, чтобы все ставили его именно как счетчик, но зуб не дам.

А вот нормативки именно про разрешенные источники загрузок на сайт (понятно, что в НПА это называлось бы иначе ) я не видел.

[duplodel]

«Вы все врети» (с) У нас сидит (уже давно не) мальчик и размещает новости, а статьи пишут девочки. И наш мальчик, конечно с несколько устаревшими понятиями про администрирование, но тем не менее

[ifap]

Не скажите, девочки тоже разные бывают, некоторые в звании генерал-майора и с окладом явно не в 20 тысяч… или не рублей ;) Если серьезно, то шаблоны для сайта, откуда большинство вызовов шлака и происходят, лабает явно не такая девочка. И по идее кто-то должен собирать всю эту статистику, анализировать ее…

[AH89]

Да Вы бы начали уж тогда с вопроса, какими браузерами пользователи пользуются для доступа к сайту гос.услуг, импортными, читай «потенциального противника», или отечественными? Картами каких платёжных систем за гос. услуги расплачиваются? На серверах производства каких стран сайт гос.услуг вообще функционирует? Да и сами тестировщики дыр в ПО чьими инструментами пользуются… Неужто и дизассемблер у них «отечественный», «не обманет»? В костюме из ткани, произведенной в какой стране, ходит президент? На какой машине ездит?

[ifap]

Мы копнули еще глубже и к своему ужасу осознали, что страницы госсайтов — на буржуинском HTML, без скреп ятей и ижицы :( Но эту тему задолго до нас оседлали радетели за IDN и прочее многоязычие в киберпространстве.

[AH89]

<<< В 2015 году мы задались вопросом: как на сайтах органов власти обстоят дела с загрузкой ресурсов из сторонних источников?>>>
— я даже представить себе боюсь, какие вопросы Вас мучают в 2020 году. Ведь то, что Гугл отслеживает передвижения потенциальных пользователей мобильной версии сайта гос.услуг, стало только в 2020 году понятно…

[radonit]

Ну браузер может быть — яндекс браузер (весьма условно правда отечественный)
платёжная система — мир
сервера — это да, китай может быть (huawei) япония (fujitsu) а то и условно отечественные (недавно пост был)
ну и т.д.

[olku]

Нарушение приватности коррелирует с использованием внешних ресурсов на сайтах.

[ViktorMokrecov]

Даже есть отдельная компания, которая по идее должна заниматься безопасностью госушных ресурсов — Ростелеком Солар.

[apkotelnikov]

Всего одна? ;-) как же бедным госушникам тендера играть, непонятно :-)

[alcanoid]

сообщить администраторам сайтов Росархива ..., что счетчик OpenStat уже два года как не работает

Это же архив, хранить всякое старьё — их работа.

[gohrytt]

Забыли вспомнить, что до сих пор (по субьективным впечатлениям) процентов 40 гос. сайтов не только не включают принудительное https, но и в принципе его не содержат.

[ifap]

Ни секунды не забываем об этом ;) habr.com/ru/post/513800

[gohrytt]

А, окей, респект, поставил бы плюс но меня за последний пост возмущения заминусили)

[Loggus66]

Google/Yandex аналитика, внезапно, нужна аналитикам, которые анализируют счётчики, heatmaps, что-там-ещё собирается, а потом сидят с дизайнерами и думают, как совместить пожелания заказчика, популярные разделы и современный дизайн. Слышал, что официально на таких сайтах может быть разрешена только аналитика «Спутника», но тот же самый Хабр этот «Спутник» в гробу видал. У ФТС, кстати, сейчас только метрика «Яндекса».
Ну и legacy-сайты никто не спешит переделывать, чтобы инициативно самостоятельно убрать сдохший счётчик.

[ifap]

Посмотрите внимательнее: customs.gov.ru и Я.Метрика там грузится, и реклама Я.Браузера.

[Loggus66]

Смотрю. Не вижу. Ublock блокирует один элемент: mc.yandex.ru/watch/56813122.
Кроме того, на госсайтах рекламы вовсе не должно быть.

[ifap]

Попробуйте его отключить, там еще вот это грузится browser-updater.yandex.net/?browserUpdate=[вырезано]

[Loggus66]

Грузится, по ссылке какой-то JSON:
/**/ typeof yaBrowserUpdaterJSONPCallback === 'function' && yaBrowserUpdaterJSONPCallback({"needUpdate":false,"browser":"chrome","version":"83.0","browserName":"Chrome","browserBase":"Chromium"});
Возможно, оно выскакивает при старой версии браузера, интересно.

[ifap]

Да, это из серии «ваш браузер мхом порос, пацаны засмеют, поставьте нашу супер-пупер сборку хромого, куда мы досыпали еще и своих троянов».