Имеют ли право пренебрегать безопасностью пользователей крупные компании?

> Имеют ли право на говнокод крупные компании?

Имеют. И им пофиг. Ваш К.О.

Я намеренно не привожу здесь названия этого ресурса

Надо было тогда исходники/скриншоты тоже подчистить.
А то сейчас набегут скрипт-кидди.

На уязвимости такого вида — не имеют.

мейлрушечка? Бррр…

Фишка в том, что у нас нет ответственности за такую халатность со стороны компаний.
Если бы вы могли подать в суд, и самое главное выиграть, за причинение ущерба, то все было бы по другому…
А так всем пофиг какие неудобства они могут вам причинить собственной халатностью…

Хотя наверно возможно доказать свою не виновность пока дырку не закрыли, продемонстрировав ее.

Они делают деньги. Просто деньги.

К сожалению над программистами часто стоит бестолковое начальство. «Задача сделана? Функционал реализован? Быстро переходим к следующей задаче что бы не отставать от конкурентов», а про уязвимости голова потом будет болеть, когда начальство получит свои премии за работу стахановскими темпами.
Имхо: совковый менталитет у многих еще не вылечен, пятилетку за 2 года хотят выжать.

Определенная ответственность есть — поисковые системы худо-бедно определяют зараженные сайты и фактически закрывают доступ к сайту через стандартные сервисы браузера и несколько ограничивают переходы с поисковой выдачи. Сайты, которым приносит прибыль переходы с поисковиков обычно озабочены отсутствием подобных ограничений.

Проблема в том что уровень компетентности многочисленных сайтостроителей и сайтовладельцев несколько плосковат.

Но опять же регулирование в интернете невозможно, а посему все в руках пользователей. Только краудсорсинг может хоть что-то решать или менять в инете.

Может быть однажды, в далёком будущем, до общества наконец дойдёт, что в интернет с законами лезть просто не нужно.
Интернет не принадлежит ни одной стране, ни одна его часть, кроме тех, которые они там сами и создают, но даже они частью стран не являются и никакие земные законы к ним неприменимы.
И тот факт, что интернет является частью земной цивилизации ни коим образом не означает…

Завершаю мысль и иду спать:
Вполне достаточно уже того, что для регистрации доменов регистраторы получают персональные данные, а данные регистраторов доступны властям (даже немного черезчур) и если кто-нибудь и должен нести ответственность за то, что кто-то насрал в интернетах — то это или владелец обосранного ресурса или владелец хостинга или насравший, но единственное возможное наказание за такое — принудительное смывание, всё остальное уже за пределами интернетов…
Хотя нет, лучше вот так:
— За нарушения земных законов в земных странах положены земные наказания (штраф, тюрьма, расстрел)
— За нарушения законов интернетов в интернетах положены наказания интернетов (кик, бан, перманентный бан)
— За нарушения земных законов в интернетах наказывать стоит в интернетах, ибо если я нарушу закон США, находясь в России, то и судить меня будет российский суд по российским законам, а не США!
— За нарушения законов интернетов вне интернетов последним тоже не стоит лезть не в своё дело (ибо если я в реале назвала админа форума дураком это не повод для бана)

Может просто реферер проверять? Тогда с помошью айфрейма сложно будет такое сделать, так как заголовки таким способом не подделаешь, а аякс не сработает, а на сервере нет кук того сайта.

>Давайте порассуждаем на эту тему, а может и предпримем какие-то действия
Имеют. Ошибаются все. Права на ошибку не имеют очень немногие.
Должно быть наказуемо. Действуйте.
Зафиксируйте ваше общение с компанией. Постарайтесь выяснить имена конкретных людей и их начальников.
Не реагируют — публикуйте уязвимость.
Не помогает — демонстрируйте серьезность проблемы. Запостите 1000 комментариев «Закройте уже дыру наконец!» и ссылку на описание проблемы.
(Только с законом будьте осторожны.)

>в котором по определенному алгоритму формируется определенный набор символов

Этаж надо было так забористо банальный токен назвать! А CSRF на уровне посетителя вполне себе неплохо лечится кнопкой «Выход» ;) Нисколько не хочу оправдывать говнокод в приложении, но пользователю и самому неплохо бы о себе позаботиться.

имеют. задача проекта работать и приносить дЭнги, а не быть красивым и тешить эго разраба.

Настолько баян, что даже баян заплакал.

Название топика и посыл немного неверный. Уязвимость такого рода — это не говнокод, это критический баг в системе, в части ее функционала, так как в таких родах системах — надлежащая безопасность- сама по себе часть функциональности.

Под словом говнокод я бы понял — код, написанный без комментариев, спагетти код, код, отрицающий грамотные и уместные паттерны, код, имеющий high coupling/low cohesion, и все такое прочее. На такое любая компания имеет право, так как это внутреняя часть системы, и вам нет дела до всего этого — если до вас это недопросачивается.

Уязвимости же, позволяющие одному пользователю писать сообщения от имени другого — это не гавнокод. Это критические ошибки архитектуры \ баги, не больше и не меньше.

Имеют. Ты когда регистрируешься на каком-нибудь сайте, всегда соглашаешься с правилами. А там много чего интересного пишут.

Буквально на днях одно обстоятельство заставило меня задуматься над одной вещью:
Незакрытая вкладка веб-интерфейса той самой почты в интернет эксплойтере за пару часов создала аж полтора мегабайта паразитного ИСХОДЯЩЕГО (!!) GPRS-трафика.

Немного новым годом повеяло:

> Этот год стал знаковым в области проблем информационной безопасности.

Этот год был трудным для нашей страны в интернетах.

Вы переворачиваете с ног на голову. Если работает презумпция невиновности, это обвинение должно доказать, что уязвимостей на этом сайте или на компьютере пользователя нет. Иначе наличие вины подозреваемого они этим не докажут. А если презумпция не работает, или у суда некомпетентные/продажные эксперты, это лишь один из многих возможных сценариев экспуатации этой «уязвимости», лечить надо болезнь а не симптомы.
И да, в нормальном обществе проблемы говнокода — проблемы компании, а не её пользователей. А формулировка некорректная, что за «право» такое? Если их устраивают миллионные иски, пусть так и будет. А если исков и нет, чего им вообще чесаться-то?

Как мне кажется, схема настолько сложно реализуема и гипотетическая цель настолько не соответствует затратам, что вряд ли кто-то станет ее использовать. Есть и более простые способы анонимно постить комменты)

Есть один момент. Если примем, что крупные компании не имеют права пренебрегать безопасностью пользователей, то встанет вопрос — как определить порог, после которого компания считается «крупной», а потом предотвратить вывод информационных ресурсов в мелкие дочерние компании для избежания ответственности за безопасность пользователей. И ведь не запретишь создавать дочерние компании и им не запретить владеть информационными ресурсами.

Как вариант — может стоит немного доработать закон о персональных данных и применять его более широко и гибко? В данном случае это будет означать необходимость защитить сессию пользователя, раз он зарегистрировался и предоставил свои идентификационные данные, то сессию обмена данными с ним необходимо защищать. Такой вариант избавит от необходимости ранжировать компании. А если принять общероссийский стандарт защиты данных и сделать его доступным для использования, то принуждать к этому отдельные компании не придется.

Еще один вариант — это чтобы компании проводили среди своих программистов подобные лекции. Тогда бы люди лучше понимали какой код они пишут и к каким последствиям это может привести.

А на форумах такое возможно? (CSRF)

Да, им пофиг. И это как правило указано: «Мы — такие то, не несем НИКАКОЙ ответственности за ЛЮБЫЕ Ваши действия и последствия, которые могут возникнуть в результате Ваших действий и т. п.»

Получается правильным один вариант: не использовать продукты с такими формулировками О_о