| |
| |
| 3.6, Elhana (ok), 22:02, 10/09/2017 [^] [^^] [^^^] [ответить]
| +6 +/– |
 У америкосов номер соцстраха это примерно как у нас номер паспорта - называешь вместе с фио любому банку и он уже верит, что это ты.
| | |
| |
| 4.11, Michael Shigorin (ok), 23:42, 10/09/2017 [^] [^^] [^^^] [ответить]
| –27 +/– |
 > номер соцстраха
Мне он читается как "номер общественной безопасности" [от человека], а по сути -- уникальный идентификатор. При чём тут страхование, кроме разве по 1984 -- понятия не имею.
| | |
| |
| 5.13, Аноним (-), 23:46, 10/09/2017 [^] [^^] [^^^] [ответить]
| +10 +/– |
"Social security" - переводится "социальное страхование", аналог нашего пенсионного (с некоторыми несущественными отличиями). Не переводите дословно, языки не совместимы.
| | |
| |
| |
| 7.130, Sergey (??), 21:03, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
обычно сокращают как SSN (social security number).
но проблема жесточайшая. я боюсь что больше чем 140 млн человек могли пострадать и я среди них.
| | |
| |
| 8.153, Lolwat (?), 01:21, 12/09/2017 [^] [^^] [^^^] [ответить] | +1 +/– | Можно получить новый номер Проблема тогда обновить везде от телефонного контрак... текст свёрнут, показать | | |
|
|
| 6.44, qsdg (ok), 10:10, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
 С очень даже существенными отличиями. Это можно сказать основной идентификатор человек для государства и банков тут. Например, без него не сделаешь две самые важные штуки: взять ипотеку и устроиться на работу. Также налоги тоже по нему в основном считаются, но для всяких разных ситуаций (например если не имеешь права работать и ССН ещё не получил), то можно получить другой номер, например ITIN, по которому можно заплатить свои налоги за год.
| | |
| 6.95, Аноним (-), 15:25, 11/09/2017 [^] [^^] [^^^] [ответить]
| –2 +/– |
Вау. Несовместимые языки! Что за зверь такой? Чем определяется уровень совместимости, какие вы можете привести примеры совместимых языков?
| | |
| 6.113, _ (??), 19:34, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
>"Social security" - переводится "социальное страхование", аналог нашего пенсионного (с некоторыми несущественными отличиями).
Хмм ... скорее - ИНН
| | |
|
| 5.131, Аноним (-), 21:03, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Мне он читается как "номер общественной безопасности" [от человека], а по сути
> -- уникальный идентификатор. При чём тут страхование, кроме разве по
> 1984 -- понятия не имею.
Если отвечать в вашем стиле - а у россиян крпостных к столбу привязывают. И еще ИНН какой-то придумали. А тут еще и онлайн-кассы в обязаловку, чтобы про 1984 не забывали. Погодите, гэбисты вам все сделают. В штатах гражданское общество хоть какой-то стопор. В РФ этого стопора нет. Выводы делайте сами.
| | |
| |
| 6.197, Michael Shigorin (ok), 22:35, 12/09/2017 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> В штатах гражданское общество хоть какой-то стопор.
Какой к лешему стопор, если от телека входит в ступор и готово бомбить страны, которых на карте найти не может? Не смешите мои сандалии.
> В РФ этого стопора нет.
Ступора -- и впрямь нет, что не может не радовать.
PS: прочитал #196 в почте, здесь оно куда-то вместе с подветкой делось, а жаль -- ну ладно, постараюсь не огорчать слишком коллег-комодов или даже автомодератора...
PPS: ну вот, оторопь выразилась в лишней запятой. Доведёте вы меня, шутники :]
| | |
| |
| 7.198, Аноним (-), 23:17, 12/09/2017 [^] [^^] [^^^] [ответить] | +/– | Ну вот такой EFF в штатах почему-то никто не гнобит, хоть они и позволяют себе ... большой текст свёрнут, показать | | |
|
|
|
|
|
|
| |
| 2.10, pripolz (?), 23:03, 10/09/2017 [^] [^^] [^^^] [ответить]
| –9 +/– | |
> от рукожопия?
Не стоит называть это рукожопием, и вот почему: жаба программист не должен думать ни о каких эксплойтах (кроме ну совсем банальных) вообще. Выполнение машинного кода процессом jvm строго говоря находится за пределами его компетенции, в этом весь смысл высокоуровневости и безопасности платформы. Это всё равно, что назвать рукожопом дизайнера, или менеджера.
| | |
| |
| 3.12, Michael Shigorin (ok), 23:44, 10/09/2017 [^] [^^] [^^^] [ответить]
| –4 +/– |
> Не стоит называть это рукожопием, и вот почему: жаба программист не должен
> думать ни о каких эксплойтах (кроме ну совсем банальных) вообще.
Это уже не руко-, это голово-.
> Выполнение машинного кода процессом jvm строго говоря находится за пределами
> его компетенции, в этом весь смысл высокоуровневости и безопасности платформы.
А это так называемый hype.
> Это всё равно, что назвать рукожопом дизайнера, или менеджера.
Вы не сталкивались с четверорукими представителями данных профессий?.. бывают, как и везде.
| | |
| |
| |
| 5.19, Аноним (-), 06:20, 11/09/2017 [^] [^^] [^^^] [ответить]
| –6 +/– |
Какое разделение труда? У него каждая кухарка может управлять государством.
| | |
| |
| 6.57, Аноним (-), 11:35, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
Каждая кухарка не может, миллион кухарок может в 100 раз эффективнее любого чинуши.
| | |
| |
| 7.178, Michael Shigorin (ok), 12:06, 12/09/2017 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> миллион кухарок может
У кого-то опять миллионная фиксация в вакуумной коробке, принимающей лозунги без малейшей попытки собственно найти подтверждение тому, что в себя ест? Жизнь такое вправляет. Порой, правда, уже смерть -- зато надёжно.
| | |
|
| 6.61, Аноним (-), 11:57, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
Каждый должен заниматься чем он лучше всего умеет. Умеешь делать UI и не умеешь защищаться от эксплоитов - отдай задачу защиты другому, кто любит и умеет это делать лучше.
В противном случае сейчас бы все умели все и одновременно ничего не делали, потому что не хаватало бы на все внутренних ресурсов одного индивида.
| | |
| |
| 7.99, YetAnotherOnanym (ok), 17:01, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
 > Каждый должен заниматься чем он лучше всего умеет
Для этого нужна сущая мелочь - чтобы другие, от качества работы которых зависят результаты вашего собственного труда, тоже делали свою работу качественно. И если в производстве потребительских товаров вы хоть как-то защищены (можете отсудить миллион за таракана в булочке, не в России, к сожалению), то при установке ПО, в том числе платного, вас вынуждают согласиться, что оно "as is" и вам никто ничего не должен. Не нравится - пошёл вон. В такой ситуации единственное, что остаётся - внимательно смотреть самим, что вам подсовывают. А для этого надо хотя бы в какой-то минимальной мере разбираться в соответствующих вопросах, пусть и за пределами своей непосредственной компетенции.
| | |
| |
| 8.121, пох (?), 19:54, 11/09/2017 [^] [^^] [^^^] [ответить] | –2 +/– | качественно не означает идеально , увы и много внеросии отсудили у тойеты за... большой текст свёрнут, показать | | |
|
|
| 6.177, Michael Shigorin (ok), 12:03, 12/09/2017 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Какое разделение труда? У него каждая кухарка может управлять государством.
Можно ссылочку? Если нет -- шмякните себя по лживой роже канделябром, что ли.
| | |
|
|
| 4.24, pripolz (?), 08:34, 11/09/2017 [^] [^^] [^^^] [ответить]
| –4 +/– | |
> Вы не сталкивались с четверорукими представителями данных профессий?
Ты, дружок, пока писал совй умный коммент с жабистами-ассемблерщиками, курящими новые коммиты Oracle в GC, похоже забыл о чем новость вообще.
| | |
|
| 3.27, freehck (ok), 08:53, 11/09/2017 [^] [^^] [^^^] [ответить]
| +4 +/– |
 > Выполнение машинного кода процессом jvm строго говоря находится за
> пределами его (жаба программиста) компетенции, в этом весь смысл
> высокоуровневости и безопасности платформы.
Ну офигеть. То есть мы тут уже который год совершенно напрасно критикуем явистов за то, что они дальше своей JVM ничего не знают и не видят. Ну совсем-совсем зря мы это делаем, потому что, ВНЕЗАПНО, ТАК И ЗАДУМАНО. :)
Да идите вы все нафиг. Программист ОБЯЗАН знать, как устроена вышестоящая система. Виртуалки нынче используются много где: Racket, OCaml, LLVM, но только в JVM программисты почему-то считают, что на ней мир и заканчивается.
То, что Вы говорите, это какой-то мерзкий хайп, вброс, который оправдывает рукожопость. Тфу гадость.
| | |
| |
| 4.65, пох (?), 12:15, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> Да идите вы все нафиг. Программист ОБЯЗАН знать, как устроена вышестоящая система.
э... зачем? Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяких вышестоящих систем (и рут унаследовали от жабаприложения же, а не из вышестоящей системы добыли [что иногда случается с сишными демонами, не до конца сбрасывающими привиллегии])
| | |
| |
| 5.73, Аноним (-), 12:45, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы, дабы если один из приложений-клиентов будет скомпрометирован - не было возможности слить всю БД. И тут как раз рукожопость архитекторов, а не Java программистов.
Или я что то не так понимаю?
| | |
| |
| 6.83, pripolz (?), 13:22, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
посмотрел багу, реально рукожопость. Жабиный шеллкод-то выполнялся.
| | |
| 6.84, пох (?), 13:24, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы,
желательно - закрытые.
Если "транспортный протокол" позволяет, как это у нас пишут в бумажке-отписке ПНД "хранить, изменять, удалять" ваши данные - то все, приехали, это может сделать любой, кто перехватил управление.
А если не позволяет - нахрена он такой нужен и что тогда делает ваша программа?
| | |
| |
| 7.170, Ан (??), 11:10, 12/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
>> Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы,
> желательно - закрытые.
> Если "транспортный протокол" позволяет, как это у нас пишут в бумажке-отписке ПНД
> "хранить, изменять, удалять" ваши данные - то все, приехали, это может
> сделать любой, кто перехватил управление.
> А если не позволяет - нахрена он такой нужен и что тогда
> делает ваша программа?
Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая видимо там же и располагалась. Разделение фронтендов и бэкендов позволяет этого избежать. Сам транспортный протокол может и не такой ломучий.
| | |
| 7.192, Аноним (-), 21:23, 12/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> желательно - закрытые.
Надеешься что реверсеры глупые и не разберутся? Совершенно напрасная надежда. Если будет что брать - разберутся как делать нефиг.
| | |
| |
| 8.202, пох (?), 22:43, 13/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промеж... текст свёрнут, показать | | |
|
|
|
| 5.104, снилс (?), 18:04, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
лол опять в убийстве нож виноват. а потом удивляешься, что тебя дядьки посмекалистей пялят в одно-ж-место
| | |
| |
| 6.136, Аноним (-), 21:38, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
> лол опять в убийстве нож виноват. а потом удивляешься, что тебя дядьки
> посмекалистей пялят в одно-ж-место
В данном случае это больше похоже на бег с ножницами в руках по лестнице с завязанными глазами, без попыток задуматься о возможном развитии этой ситуации.
| | |
| |
| 7.157, pripolz (?), 06:31, 12/09/2017 [^] [^^] [^^^] [ответить] | –2 +/– | случай данного взлома настолько банален, там просто можно захреначить жаба-код в... большой текст свёрнут, показать | | |
| |
| 8.194, Аноним (-), 21:27, 12/09/2017 [^] [^^] [^^^] [ответить] | +1 +/– | Я ничего не предполагал, жабисты все время сами настаивают что хотят только писа... текст свёрнут, показать | | |
|
|
|
|
| 4.78, pripolz (?), 13:10, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Я тоже который год критикую явистов за то, что они дальше абстракции не видят И... большой текст свёрнут, показать | | |
| |
| |
| |
| 7.94, freehck (ok), 14:11, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> а можно ещё дальше. Подключил либу, ой, а в ней эксплойт.
Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры. Реализации меняются, архитектура поддерживается.
| | |
|
|
|
|
| 3.114, _ (??), 19:38, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– | |
pripolz> жаба программист не должен думать
Вся суть поста :) Не благодари ...
| | |
|
| 2.17, й (?), 01:12, 11/09/2017 [^] [^^] [^^^] [ответить]
| +4 +/– |
томкет от рута запустить -- это настоящее рукожопие, да. он по умолчанию так не делает. просто кто-то очень сильно хотел его повесить на 80/443 порты и не знал, как.
| | |
| |
| 3.28, freehck (ok), 08:56, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> просто кто-то очень сильно хотел его повесить на 80/443 порты и не знал, как.
Не знал, как повесить его на 11443 и пробросить на 443 через iptables? Да разве такие бывают? Таких гнать из профессии надо ссаными тряпками!
| | |
| |
| 4.77, й (?), 13:01, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Не знал, как повесить его на 11443 и пробросить на 443 через
> iptables? Да разве такие бывают? Таких гнать из профессии надо ссаными
> тряпками!
бывают-бывают. лично я два года назад с руганью выпиливал такую же схему, доставшуюся в наследство. кабы не её автор ниже по треду рассказывает, что томкет от рута запускать это ок.
| | |
| 4.118, _ (??), 19:44, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
>как повесить его на 11443 и пробросить на 443 через iptables?
Не очень то это удобно.
Я уже хз сколько времени на фронт вешаю nginx и кручу-верчу как хочу :) Но видимо даже это слишком сложно для цЫрка :-\
| | |
| |
| 5.122, пох (?), 19:58, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Не очень то это удобно.
для больших, типа екифака, это не то что неудобно, это скорее всего просто не работает. Но админам локалхостов не понять.
> Я уже хз сколько времени на фронт вешаю nginx и кручу-верчу как
> хочу :) Но видимо даже это слишком сложно для цЫрка :-\
до момента, когда тебя начальник не спросит, какого хрена в логе приложения (а не в твоем nginx, от которого проку ноль, поскольку там нет логики приложения) все ip адреса - 127.0.0.1, и кого за эту самодеятельность сейчас покрутят-повертят как захотят.
Вариант с натом хорош хотя бы тем, что там этой проблемы нет.
| | |
| |
| 6.132, freehck (ok), 21:19, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
Кстати, мужики! Мне тут рассказали про capabilities. Оказывается, нынче не надо запускаться от рута и сбрасывать потом права, а достаточно лишь сказать вот так, и приложение сможет слушать порт < 1024:
setcap 'cap_net_bind_service=+ep' /path/to/program
И это -- лучший вариант, который я до сих пор видел. Более того, он существует уже хз сколько, просто мы все тут в танке. Даже в centos6 есть. :)
| | |
| |
| 7.138, Аноним (-), 21:40, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
То ли еще будет, когда ты обнаружишь что в Linux есть namespaces и seccomp...
| | |
| 7.145, пох (?), 22:50, 11/09/2017 [^] [^^] [^^^] [ответить] | +1 +/– | а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнут... большой текст свёрнут, показать | | |
| 7.155, dwfe (ok), 05:20, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
 А чем вариант с setcap лучше/хуже старого доброго authbind?
#touch /etc/authbind/byport/{80,443}
#chmod 500 /etc/authbind/byport/{80,443}
#chown tomcat:tomcat /etc/authbind/byport/{80,443}
и запускаем:
ExecStart=/usr/bin/authbind --deep /opt/tomcat/latest/bin/catalina.sh start
| | |
|
| |
| 7.185, пох (?), 16:06, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> X-Forwarded-For? Нет, не слышал...
слышал. А в логах struts'овой мега-системы - 127.0.0.1
иди учись дальше, школьничек. Может узнаешь, что все эти xforwarded не являются достаточным условием, особенно, если система не твоя и ты в ней ничерта не сечешь.
| | |
| |
| |
| 9.203, пох (?), 22:55, 13/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | во-первых, struts - это фреймворк, в лог будет скидывать то, что на нем написано... большой текст свёрнут, показать | | |
| |
| |
| 11.207, пох (?), 14:44, 15/09/2017 [^] [^^] [^^^] [ответить] | –2 +/– | то есть ты так ни одного слова и не понял в веб-фреймворке я хз - может наверн... большой текст свёрнут, показать | | |
|
|
|
|
|
|
|
| 4.173, Ан (??), 11:34, 12/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
>> просто кто-то очень сильно хотел его повесить на 80/443 порты и не знал, как.
> Не знал, как повесить его на 11443 и пробросить на 443 через
> iptables? Да разве такие бывают? Таких гнать из профессии надо ссаными
> тряпками!
Да не, дать бинарнику CAP_NET_BIND_SERVICE.
| | |
|
| 3.34, КО (?), 09:16, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– | |
>томкет от рута запустить -- это
страшилка для маленьких мальчиков. Сервер приложений все одно запускается с правами достаточными, чтобы читать из базы. На фоне украденной базы рут - Неуловимый Джо. :)
| | |
| |
| 4.75, й (?), 12:57, 11/09/2017 [^] [^^] [^^^] [ответить]
| –3 +/– |
читайте новость. rce возможно только, если слишком умный админ запустил сервер приложений от рута.
| | |
| |
| 5.159, iPony (?), 08:43, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Нет, и в новости все правильно написано, чего не скажешь о твоем выражении
> Обе проблемы позволяют выполнить свой код на сервере, при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате удалённой атаки может быть получен доступ с правами root. | | |
|
|
|
| 2.208, Аноним (-), 01:59, 16/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
Это сколько надо боярышника, чтобы баг фреймворка валить на язык? Следуя вашей же логике - это си облажался, веть жаба на нем написана.
| | |
|
| 1.8, Sluggard (ok), 22:18, 10/09/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 > Манипуляции информацией о том, что сентябрьская уязвимость вызвана ошибкой, которая находится в коде уже 9 лет, неуместны, так как есть большая разница между выявлением ранее неизвестной ошибки и знанием о наличии неисправленной ошибки.
Ну конечно, а другие её не могли найти раньше, ага.
| | |
| |
| |
| 3.59, Аноним (-), 11:38, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> Могли и другую найти, поныне не закрытую.
Более того, скорее всего, нашли. Каков шанс, что хакер найдет дыру и раскажет о ней? А какой процент хакеров среди честных людей?
| | |
| |
| 4.139, Аноним (-), 21:44, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
> Более того, скорее всего, нашли. Каков шанс, что хакер найдет дыру и
> раскажет о ней? А какой процент хакеров среди честных людей?
Хрен бы его знает, но они делятся на white hats, gray hats и black hats. В любом случае, если есть bug bounty, шансы на то что баг будет отрапортован а не слит на черный рынок здорово повышаются. В конце концов, откровенное black hat'ство всегда идет в комплекте с некоторым риском, отсутствующим в подходе white hat-ов.
| | |
|
|
|
| 1.18, dwfe (?), 05:03, 11/09/2017 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Вижу следующие проблемы:
- криворукость сетевого администратора в организации
- отсутствие сетевого администратора в организации
- целенаправленная халатность
Если сказать Tomcat запускаться на 80 порту, то он стартанет, но 80 порт слушать не сможет по причине:
Failed to initialize component [Connector[HTTP/2-80]]
org.apache.catalina.LifecycleException: Protocol handler initialization failed
Caused by: java.net.SocketException: Permission denied
Вина java здесь в том, что она просто-напросто не может творить чудеса - слушать привелигированный порт в рамках пользователя операционной системы, которому такие действия запрещены.
| | |
| |
| 2.20, slezhuk (?), 07:18, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым запущен томкат вполне хватит, что бы получить доступ к данным, к которым есть доступ у веб сервера. В данном случае- доступ в бд на чтение.
| | |
| |
| 3.22, лютый жабист__ (?), 07:23, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
>бы получить доступ к данным, к которым есть доступ у веб сервера
Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД.
Сломав фронтенд можно максимум получить информацию из других АКТИВНЫХ сессий.
Это если думать не попой.
| | |
| |
| 4.26, Анотоним (?), 08:52, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>Это если думать не попой.
А зачем ты ею думаешь а не головой?
Сказано "в течении 2 месяцев скачали данные 143 миллионов американцев". Ты полагаешь за эти два месяца эти сто сорок три миллиона американцев ходили на сайт этого бюро?
Явно же медленно незаметно сдампили БД.
Для этого не нужен root, и этому не помешает дополнительная "прослойка" между frontend и BD.
| | |
| |
| 5.54, Ку (?), 11:12, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
Прослойка помешает.
Максимум вытянешь данные залогиненных пользователей и то если получишь токены из памяти.
Другое дело, что в сабже этого не было сделано и все(или почти) данные слили.
Это архитектурная недоработка в безопасности ифраструктуры.
| | |
| |
| 6.55, Ку (?), 11:21, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
К тому же в памяти можно хранить "сырые" токены и только в момент передачи их в БД сервис, дешифровывать по определенному алгоритму.
В этом случае даже получение такого токена из памяти ничего не даст, пока ты не разберешся как его дешифровать, ибо БД сервис не будет его принимать.
| | |
| |
| |
| 8.101, Ку (?), 17:06, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Как вам удалось сделал такой вывод из сказанного мной Пишите хороший Прослойку... текст свёрнут, показать | | |
|
|
|
|
|
| 3.30, dwfe (ok), 09:05, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Да что вы заладили root да root?
Я человек простой - читаю текст новости и строго по нему спамлю в комментах.
Исключительно по тексту новости:
"Обе проблемы позволяют выполнить свой код на сервере, при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате удалённой атаки может быть получен доступ с правами root."
Они первые начали :)
| | |
| |
| 4.51, slezhuk (?), 10:57, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
Так в том то и дело, что в новости написано: "если web-приложение выполняется ... с правами root", но при этом нигде не написано, что у Эквифакса оно работает от рута. А все почему то прочитали это как: "Эквифакс не умеет в томкат и запускает его от рута".
На мой взгляд вина Эквифакса варьируется между "не умеют выбирать стек приложений" (apache struts известен большим количеством критических уязвимостей), если их поимели через CVE-2017-9805 и "не умеют патчится", если их поимели через CVE-2017-5638. К первому особо не докопаешься, потому что 0-day и такое может случиться с любым стеком технологий. Если второе, то тут конечно серьезнее. 2 месяца не патчить RCE - за такое надо наказывать -рублём- долларом.
| | |
|
| 3.175, Ан (??), 11:41, 12/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
> Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым
> запущен томкат вполне хватит, что бы получить доступ к данным, к
> которым есть доступ у веб сервера. В данном случае- доступ в
> бд на чтение.
Блин, тут говорят что подстановка байт кода в запрос. Теперь подумай достучаться до оси, инструментарий которой тебе известен, или подставить код, который вставит твой функционал в приложение, т.е. обратится к БД и сольёт тебе данные. Второе вообще не так тривиально и у хацкеров вызывает сегфолты и эксепшены, а не хеппи сливы.
| | |
|
| 2.29, freehck (ok), 09:01, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Вина java здесь в том, что она просто-напросто не может творить чудеса
Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затруднения с тем, чтобы, запустившись, сбросить права до нужных?
Java-то не может творить чудеса, но программист на то и программист ведь.
| | |
| |
| |
| 4.38, пох (?), 09:44, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> В новости линк же есть:
этот линк как раз демонстрирует их полную беспомощность - от советов запускать через прокси, до совершенно безобразного сетуид-скрипта (который вообще неясно, зачем нужен - ну мышление жабоедов логике неподвластно), запускающего от рута шелл-скрипты томкэта (обосраться и не жить, вот это секьюрити)!
А понизить привиллегии после присасывания к 80-му порту, как делают все нормальные программы - нет, это не жабий метод.
Впрочем, действительно, и зачем? У сервера кредитного бюро хоть от какого пользователя его запусти, есть доступ к данным кредитного бюро. А больше ничего и не надо. Можно даже автосливалку этих данных с удобствами написать на жабе-ee, а чо, прикольно.
| | |
| |
| 5.41, dwfe (ok), 09:59, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для lin... большой текст свёрнут, показать | | |
| |
| 6.49, freehck (ok), 10:50, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Разве она не делает то, что вы описали -- понижает привилегии после присасывания к 80-му порту.
jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим как минимум из-за того, что не всегда допустимо демонизировать процесс средствами java, как это в нём делается.
Банальный пример: есть большой проект, в котором куча демонов, написанных на разных языках, которые общаются друг с другом через API. Для них используется djb's daemontools для унификации управления набором демонов. При этом подходе демоны должны запускаться в foreground. Но с jsvc этого сделать нельзя.
Речь о том, что права должны сбрасываться самим процессом, а не специальной приблудой в виде jsvc. Сброс привилегий -- это задача запускаемой программы, а не сторонней утилиты.
| | |
| |
| 7.53, dwfe (ok), 11:01, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
Спасибо за разъяснение.
Честно говоря я не думал об этом.
И соглашусь с вами, что разработчики java могли бы для своего процесса предусмотреть сброс привилегий.
По всей видимости есть этому объяснение какое-нибудь, хотя я не могу найти таких объяснений. Они комбайн сделали из этой джавы, что если они что-то не делают, то это не просто так, может не могут :)
В принципе ничего же нет такого особенного в задаче сброса привилегий процесса.
| | |
| |
| 8.56, freehck (ok), 11:22, 11/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | Наверное дело в том, что сброс привилегий производится по-разному на разных плат... текст свёрнут, показать | | |
| |
| 9.58, dwfe (ok), 11:38, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Мне почему-то кажется, что обязательность кроссплатформенности не является основ... текст свёрнут, показать | | |
| |
| 10.60, freehck (ok), 11:55, 11/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | Да, это было бы здорово Если найдётся когда-нибудь такой способ, я бы протолкну... большой текст свёрнут, показать | | |
| |
| 11.62, dwfe (ok), 12:02, 11/09/2017 [^] [^^] [^^^] [ответить] | +1 +/– | Здесь все рассылки разрабов OpenJDK читайте разарабов Java http mail openjdk... текст свёрнут, показать | | |
| |
| |
| 13.66, dwfe (ok), 12:21, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | В первом приближении я пока думаю, что они просто создают новый процесс https... текст свёрнут, показать | | |
| |
| |
| 15.71, dwfe (ok), 12:44, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | В венде сейчас есть такое решение https technet microsoft com en-us library c... текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
| 7.215, Аноним (-), 14:42, 18/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ваш пример не банальный, а глупый. Сишников не учат, что свой API не системные порты нельзя вешать? Может образование подтянуть, тогда и позориться не придется
| | |
|
| 6.67, пох (?), 12:22, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Разве она не делает то, что вы описали -- понижает привилегии после
> присасывания к 80-му порту.
jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костылей и подпорочек.
А по той, первой ссылке - ад, треш и кабздец, чтобы без нее обойтись (совсем уж ужасными костылями).
Понятно, что я бы, в подобной жизни-катастрофе, вероятнее всего просто спрятал это уродище за nginx, оно еще от статридцатитрех болезней помогает, но и там придется побороться - оно ж (точнее, то что на нем накодят) захочет реальных ip, или еще какой муры, совершенно не умея стандартных средств работы с проксями.
Ну и от помянутых двух cve - ничем бы все равно не помогло - мой /root/.pron/ конечно, остался бы неукраденным, а таза банных - увы-с.
| | |
| |
| 7.74, dwfe (ok), 12:55, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
> jsvc-то делает, но как-то на удивление криво,
> нужна еще стройная система костылей и подпорочек.
разъясните пожалуйста про костыли и подпорочки, мне для понимания надо
> Ну и от помянутых двух cve - ничем бы все равно не помогло
> - мой /root/.pron/ конечно, остался бы неукраденным, а таза банных - увы-с.
спасет корректная архитектура приложения.
Вот Ку объяснил:
https://www.opennet.ru/opennews/art.shtml?num=47170#26
| | |
| |
| |
| 9.85, dwfe (ok), 13:25, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | А ведь вы правы Многих после такого http radikal ru fp rfy4trkjz5uoa начнет ... текст свёрнут, показать | | |
| |
| 10.88, freehck (ok), 13:36, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Да ладно, это как раз-таки нормально Тут хотя бы есть стопудово рабочий способ ... большой текст свёрнут, показать | | |
| |
| 11.105, пох (?), 18:12, 11/09/2017 [^] [^^] [^^^] [ответить] | +2 +/– | вообще-то _правильно_ установленный компилятор разных версий умеет переключать... текст свёрнут, показать | | |
| |
| |
| 13.123, пох (?), 20:07, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | ну я же предупреждал, что не так прямо все легко До 4 7 2 код еще с нами, afair... текст свёрнут, показать | | |
|
|
| |
| |
| 13.124, пох (?), 20:09, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно ... текст свёрнут, показать | | |
|
| |
| 13.219, Ordu (ok), 21:08, 22/09/2017 [^] [^^] [^^^] [ответить] | +1 +/– |  Хм Очевидно мало было только симлинк на другой компилятор подсунуть, надо был... большой текст свёрнут, показать | | |
|
|
| |
| |
| |
| 14.147, пох (?), 00:21, 12/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятна... текст свёрнут, показать | | |
|
|
|
|
|
| 9.106, пох (?), 18:13, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навер... текст свёрнут, показать | | |
| |
| 10.141, Аноним (-), 22:00, 11/09/2017 [^] [^^] [^^^] [ответить] | –3 +/– | В нем все это сделано и даже достаточно прилично В Linux есть такая штука - wat... большой текст свёрнут, показать | | |
|
|
|
|
|
| 5.212, Аноним (-), 02:28, 16/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | gt оверквотинг удален Т е по вашему это джависты сервер приложений на проде з... большой текст свёрнут, показать | | |
|
| 4.40, freehck (ok), 09:59, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> В новости линк же есть
Спасибо, поржал. Особенно над suid-ником. Не, всё правильно: запускать-то из-под юзера можно будет. Правда, работать он будет под рутом, ну да пофиг же, кому какое дело!
Нет, правда, до такой феерической тупости ещё додуматься надо. :)
PS: И это в HowTo на wiki.apache.org :)
| | |
| |
| |
| 6.47, freehck (ok), 10:29, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с jsvc.
| | |
| |
| 7.48, dwfe (ok), 10:35, 11/09/2017 [^] [^^] [^^^] [ответить] | +/– | Извините, я действительно не уточнил, что говорил про использование стартера jsv... большой текст свёрнут, показать | | |
| |
| 8.52, freehck (ok), 10:58, 11/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | Прокомментировал в 49 Он корректен не всегда, потому что форсирует демонизацию... текст свёрнут, показать | | |
|
|
|
|
|
| 3.211, Аноним (-), 02:26, 16/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> Вина java здесь в том, что она просто-напросто не может творить чудеса
> Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затруднения с
> тем, чтобы, запустившись, сбросить права до нужных?
> Java-то не может творить чудеса, но программист на то и программист ведь.
Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком. Да не их это зона ответсвенности. А чюдеса творит не java и не с, а человек. И портачат точно так же люди. А так хочется быть умным по определению, потому что с. И автоматом пинать тех кто не согласен. Довольно убогий подход. Вам не кажется?
| | |
|
| |
| 3.33, dwfe (ok), 09:14, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
Ну, хорошо, замените "сетевой администратор" любым другим устраивающим вас текстом, который идентифицирует должностное лицо, ответственное за вцелом работоспособность операционной системы компьютера, на котором запущен сервер Tomcat.
| | |
|
|
| 1.21, лютый жабист__ (?), 07:19, 11/09/2017 [ответить] [﹢﹢﹢] [ · · · ]
| –6 +/– | |
Что-то в предыдущей теме могучие сишники так и не назвали правильный web2.0 MVCшный фреймворк, написанный не на противной жабе.
Только не надо про пых, джанго и РоР...
| | |
| |
| 2.23, A.Stahl (ok), 08:04, 11/09/2017 [^] [^^] [^^^] [ответить]
| +6 +/– |
 >Только не надо про пых, джанго и РоР...
Почему? Потому что они распространены и не написаны на Яве? И это портит твою уютную Ява-фантазию?
| | |
| |
| |
| 4.72, freehck (ok), 12:45, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Патамучта решeто на порядок большее.
Эврика. Лютый жабист утверждает, что жаба -- решeто. :)
| | |
| |
| |
| 6.143, Аноним (-), 22:27, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> На си же написано. От яблони далеко не укатишься.
Далеко не укатишься, имхо, если считать что во всем виноват си, а думать за програмера должен рантайм. Рантайм не заменяет бошку и security minded программирование. Помнишь как мозиллу в JS разломали? Moinmoin на питоне? Arian5 грохнулся несмотра на Ada. Шелскрипты dhcp позволяли получить рут. Php не ломает только ленивый. Все еще веришь в серебряные пули?
| | |
|
|
|
|
| |
| 3.37, A.Stahl (ok), 09:43, 11/09/2017 [^] [^^] [^^^] [ответить]
| +3 +/– |
Ты же худой как узник концлагеря. Вот жирнота:
Ява. Очень распространённый фреймворк для веба, написанный не на Яве.
| | |
| |
| 4.39, пох (?), 09:45, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Ты же худой как узник концлагеря. Вот жирнота:
> Ява. Очень распространённый фреймворк для веба, написанный не на Яве.
погугли что такое "фреймворк для веба". Чтобы не пердеть в лужу.
| | |
|
|
| 2.100, YetAnotherOnanym (ok), 17:04, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
> Что-то в предыдущей теме могучие сишники так и не назвали правильный web2.0
> MVCшный фреймворк, написанный не на противной жабе.
> Только не надо про пых, джанго и РоР...
Treefrog, например.
| | |
| |
| |
| 4.161, пох (?), 09:19, 12/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
>> Treefrog, например.
чорт, плохая идея была искать одно это слово. Как теперь развидеть все зеленое и пупырчатое?
> Позырил, посмеялся. Ты всерьёз это аналогом jsf или struts считаешь?
там не смеяться, там выть надо. В XXI веке они пишут сайты на c++... долбануться...
(судя по "дизайну" сайта с картинками 300x200 "попробуй разгляди", это, конечно, привет из века XX'го. Годов так начала 90х. Хотя уже тогда для работы с шаблонами, текстовыми данными и формами был изобретен хотя бы перл.)
| | |
|
|
|
| |
| 2.68, пох (?), 12:29, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
> на самом деле главная уязвимость была вовсе не в Struts, а вот
> здесь: https://pbs.twimg.com/media/DJMm2IbXgAAbSvh.jpg
расскажи, какого именно образования ты ждешь от человека, пришедшего в IT в 2002м году?
Даже если бы в те годы где-то кого-то и учили на "security officer", он вынес бы из этого обучения только стойкость к пролому бетонной стены дюйм/час, и тому подобные нужные и полезные знания, из ibm'овской книжки 70х (не то чтобы они стали бесполезны, но, как видим, бетон не помогает от бетона в мозгу разработчиков)
Все остальное, дорогой мой вчера-родился, приходится постигать самому, на горьком опыте.
| | |
| |
| 3.140, Аноним (-), 21:52, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
По идее эксперт безопасности должен бы донести до разработчиков и их руководства о том что они делают не так. Иначе зачем эксперт деньги получает, если все приходит к таким вещам? На месте специалиста по безопасности в такой ситуации уместно только уволиться и заняться чем-нибудь другим. Если вы строили мост и он обвалился - будем считать что строительство мостов не ваш конек. Займитесь чем-нибудь другим, более безопасным для окружающих.
| | |
| |
| 4.148, пох (?), 00:29, 12/09/2017 [^] [^^] [^^^] [ответить] | +/– | какое отношение это имеет к скриншоту И что, собственно, было не так , кроме ф... большой текст свёрнут, показать | | |
|
|
|
| |
| 2.87, пох (?), 13:33, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> Лучше бы написали, что же они теперь то будут делать?
в смысле? Они ничего не будут делать, им-то зачем... Жаль что эти ребята не наcрали им в базу, это было бы действительно полезно и прикольно.
А вот если данные где-то всплывут - куче народа придется жить в режиме identity theft. Это когда ты банально счет за электричество не можешь получить на свое имя. (и нет, ничего с этим сделать нельзя)
| | |
| |
| |
| 4.126, equifax (?), 20:11, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Затем, что на них в суд классовый иск подан, а это им
> грозит в худшем случае выплатой каждому пострадавшему компенсации в полкилобакса.
ну что вы, право, это грозит выплатой юристу пары сотен. Они у нас хорошо откормленные.
| | |
| |
| 5.127, Ordu (ok), 20:41, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
>> Затем, что на них в суд классовый иск подан, а это им
>> грозит в худшем случае выплатой каждому пострадавшему компенсации в полкилобакса.
> ну что вы, право, это грозит выплатой юристу пары сотен. Они у
> нас хорошо откормленные.
При миллиардном иске? Пара сотен? Пара сотен тысяч, ты имеешь в виду?
| | |
| |
| 6.135, equifax (?), 21:34, 11/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Пара сотен тысяч, ты имеешь в виду?
ну да, а чо такого-то? лоер - он полезный, в отличие от каких-то там админов-шмадминов, компания наскребет.
| | |
| |
| 7.142, Ordu (ok), 22:13, 11/09/2017 [^] [^^] [^^^] [ответить]
| +1 +/– |
>> Пара сотен тысяч, ты имеешь в виду?
> ну да, а чо такого-то? лоер - он полезный, в отличие от
> каких-то там админов-шмадминов, компания наскребет.
Мне вот интересно, откуда вдруг взялась мода на слово "лоер"? Это анонимы опеннета таким образом хвастаются тем, что они знают как произносится слово lawyer? Или они вкладывают в слово "лоер" какой-то особый смысл, который не отражён в слове "юрист"? Расскажи мне про этот смысл, пожалуйста.
> в отличие от каких-то там админов-шмадминов, компания наскребет.
Да. Таким образом бесплатно это эквифаксу не обойдётся. Не хочет кормить админов, будет кормить юристов.
| | |
| |
| 8.149, пох (?), 00:33, 12/09/2017 [^] [^^] [^^^] [ответить] | +/– | адвокат просто выписывать дольше ну, тех-то еще по тридцати трем причинам кор... текст свёрнут, показать | | |
|
|
|
|
|
|
| 2.89, freehck (ok), 13:38, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
> Лучше бы написали, что же они теперь то будут делать?
Выдавать. Либо новые СНИЛСы, либо кредиты. Всем подряд. :)
| | |
| |
| 3.91, Анотоним (?), 13:56, 11/09/2017 [^] [^^] [^^^] [ответить]
| +2 +/– |
>> Лучше бы написали, что же они теперь то будут делать?
> Выдавать. Либо новые СНИЛСы, либо кредиты. Всем подряд. :)
Чтобы получит новые СНИЛС им придется провести референдум по присоединению к РФ.
| | |
| |
| 4.93, A.Stahl (ok), 14:08, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
Американский НГШ украдкой смотрит в словарь как пишется "референдум", что это такое и почему раньше обходились без него :)
| | |
|
| 3.96, пох (?), 15:29, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– | |
хрен там. Нету возможности сменить ssn. Говорят, если кто-то когда-то получит на того же человека другой ssn, сразу же затрубит Хеймдаль, Великий Волк сожрет МКС, в общем, рагнарок, п-ц и ядерная зима.
У нас-то хоть паспорт можно "потерять" почти без вреда для себя.
| | |
|
| 2.115, KonstantinB (ok), 19:41, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
 > Лучше бы написали, что же они теперь то будут делать?
Займутся тем, чем им давно бы пора - модернизацией процесса аутентификации и вопросами безопасности. Вся эта система с SSN была придумана очень давно, с тех пор почти не менялась (американцы вообще ужасно консервативны), и совершенно не отвечает нынешним реалиям.
| | |
| |
| 3.116, KonstantinB (ok), 19:43, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
В этом смысле то, что утечка такая огромная - это даже плюс. Утекло бы 10 тыщ - поохали бы и положили болт. А так получился очень хороший пинок под зад.
| | |
|
|
| 1.98, Sen (?), 16:52, 11/09/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 раньше по этим данным можно было кредитку получить, возможно и сейчас это существует:)
| | |
| |
| 2.111, KonstantinB (ok), 19:25, 11/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
Да чего там кредитку. Самое интересное другое: зная имя и SSN, можно заполнить форму tax return (Form 1040). Там можно указать любой банковский счет для возврата. Налоги возвращаются (при относительно небольшой сумме верят на слово), через пару лет налоговая таки проверяет, видит, что оснований для возврата не было... Oops.
| | |
| 2.160, iPony (?), 08:52, 12/09/2017 [^] [^^] [^^^] [ответить]
| –3 +/– |
Какую-то ерунду написал...
ОпенСорс - это не общее понятие.
Это может быть и умирающий Amarok на которому всем плевать, или линуксовое ядро, развиваемое огромными ресурсами.
И работают в ОпенсОрсе вобщем далеко не за бесплатно.
А LO - просто старый и глючный проект с кучей трудностей. Открытость/закрытость его тут не особо принципиальна. Так же можно накатать огромный список проприетарных продуктов, которые скатились.
Это обычное дело, что проекты рождаются и умирают.
| | |
| 2.162, пох (?), 09:41, 12/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | потому что это глупость Мода, к сожалению, не прошла, а наоборот, превысила уже... большой текст свёрнут, показать | | |
| |
| 3.199, Аноним (-), 02:07, 13/09/2017 [^] [^^] [^^^] [ответить] | +/– | А я то думал потому что так быстрее и дешевле Отсталое проприетарное нечто, с м... большой текст свёрнут, показать | | |
| |
| 4.201, пох (?), 12:39, 13/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | считал, или думал Обычно так нифига не дешевле - хотя да, быстрее , потому ч... большой текст свёрнут, показать | | |
| |
| 5.205, Аноним (-), 04:29, 14/09/2017 [^] [^^] [^^^] [ответить] | +/– | Быстрее - значит дешевле Мало кто хочет бесплатно работать над чужими задачами ... большой текст свёрнут, показать | | |
|
|
|
| 2.167, Аноним (-), 10:20, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> По LO прекрасно видно
что офисные комбайны всё меньше востребованы.
| | |
| 2.168, ыы (?), 10:50, 12/09/2017 [^] [^^] [^^^] [ответить]
| –3 +/– |
Скорее она занимает свою историческую нишу... Сдвинуть основы экономики опенсорсу не удалось, количество пока не перешло в качество в этом смысле.
| | |
| |
| |
| 4.182, пох (?), 14:54, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Призовая ссылка: http://wiki.opennet.ru/MSSP
ну и где моя бонусная лицензия и путевка, блин (только, чур не во Львов)?
откат как-то раз за внедрение прокто-веба предлагали, в смысле, за помощь с внедрением (с касперского хрен), а за ms что-то нифига не несут :-(
По-моему, уверены, сволочи, что и так никуда не денемся.
бритва хэнлона, знаете ли, подсказывает, что ms за такие потоки сознания вовсе не настроена платить.
| | |
| |
| 5.184, Michael Shigorin (ok), 15:29, 12/09/2017 [^] [^^] [^^^] [ответить]
| –3 +/– |
> бритва хэнлона, знаете ли, подсказывает, что ms за такие потоки сознания вовсе
> не настроена платить.
Она, видать, тупая и просится в мусорку. Потому что аналогичное же поведение было замечено (в т.ч. здесь) за шляпой, после чего я сперва офигел, потом поразмыслил и всё встало на свои места.
http://lists.openoffice.ru/pipermail/oo-discuss/2006-May/019964.html
http://lists.altlinux.org/pipermail/legal/2006-May/002438.html
PS: разумеется, дешовле распространять требуемые эмоциональные реакции на халяву -- сравните с http://hippy-end.livejournal.com/1380853.html (кратенько можно сразу п.5); поэтому среди [I]доблестных[/I] майданщиков/западников/некрософтщиков всегда находятся не только "десятники" на денюжке, но и дураки за так.
| | |
| |
| 6.186, пох (?), 16:18, 12/09/2017 [^] [^^] [^^^] [ответить]
| –1 +/– |
> http://lists.openoffice.ru/pipermail/oo-discuss/2006-May/019964.html
> http://lists.altlinux.org/pipermail/legal/2006-May/002438.html
ну так 2006й год, и, заметь, речь шла не о "выброси свой линух, поставь..." что там - XP? А о банальном "сдай свой корпоративный мэйл и прочие интересные детали непойми какому сайту - а потом удивляйся, что вместо бонуса случился налет налоговиков" (они в то время активно собирали дань за контрафактные винды), я как-то примерно так тогда прочитал, с соответствующим не-деланием по результату.
Ну, или, если верить людям - то "уговори начальство заменить ворованную винду на лицуху - им скидка, а тебе персонально бонус выйдет". Про вредные линуксы на этом belegal нихренашеньки не было.
Это, заметим, совсем не "уговори начальство поставить именно дыр-веб, получишь телевизер" (увы, похоже, не сохранил). Год примерно тот же.
| | |
| |
| 7.187, Michael Shigorin (ok), 16:24, 12/09/2017 [^] [^^] [^^^] [ответить]
| –4 +/– | |
> Про вредные линуксы на этом belegal нихренашеньки не было.
Следующий ход очевиден -- "проблемы нет, вы же легализовались, а перейти на линукс -- потерять вложения" (не напоминать же, что по плану через несколько лет очередная дойка).
| | |
| |
| 8.188, пох (?), 17:17, 12/09/2017 [^] [^^] [^^^] [ответить] | –1 +/– | хз - про следующий ход из этого источника мне ничего не приходило, наверное, не ... текст свёрнут, показать | | |
|
|
|
|
|
|
|
| 1.221, Michael Shigorin (ok), 18:47, 26/09/2017 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
К слову об утечках персданных:
---
Сегодня, 26 сентября, оператор мобильной связи "Киевстар" открыл доступ следователям ко всему оборудованию компании с целью получения любой интересующей информации о телефонных разговорах и переписке.
--- https://varjag2007su.livejournal.com/1546271.html
Как же хорошо, что полтора десятка лет назад я туда не пошёл работать.
| | |
| |
| 2.222, Andrey Mitrofanov (?), 18:59, 26/09/2017 [^] [^^] [^^^] [ответить]
| +/– |
> Как же хорошо, что полтора десятка лет назад я туда не пошёл
> работать.
Мы узнаем о вступлении яровой на опенет -- по твоей отставке из? =Кенарем будешь?
| | |
|
|
