Komerčka, Darwine a jiné radosti

13.4.2008 17:10 | Přečteno: 11662× | Java | poslední úprava: 13.4.2008 19:22

Pár dojmů ohledně Komerční banky a Darwine.

Dnes jsem zkoušel, zda se otec dostane z mého počítače na internetové bankovnictví Komerční banky. Nejprve jsem zkusil ten jejich slavný test, kde mě to napsalo, že nemám plug-in pro prohlížení PDF dokumentů. Strašně moc mě to rozesmálo, vždyť veškerá grafika na Macu je vykreslována pomocí PDF Horší pak bylo, když jsem vlezl na přihlašovací stránku. Ten jejich slavný přihlašovací dialog stahoval applet takovým způsobem, že asi na 10s zaseknul celé Safari (klasický spinning ball). Ale nejstrašnější zjištění pak nastalo, když jsem náhodou zjistil, že mi vytvořil složky v rootu a v domovském adresáři!!. To snad nemyslej vážně! To, že oni si cpou kdejakej hnůj na disk C:/ je jejich problém, ale na Macu (ani na Linuxu) mi tohle dělat nebudou. Od čeho máme složku Library/Application Support a podobné?? Chlívaci, jinak se to nedá nazvat.

Druhý postřeh se týká Wine, konkrétně projektu Darwine. Jedná se o port starého známého Wine na Mac OS X. Vcelku zdařilý kousek, po jehož nainstalování stačí dvakrát kliknout na inkriminovaný EXE soubor a on se po chvíli spustí. Píši záměrně po chvíli, protože to vyžaduje nahození X11. A to je samozřejmě kámen úrazu. Applovská představa o X11 je dost šílená, krom toho, že se Wine aplikace pak překreslují strašně poooomalu. Screenshot téhle hrůzy je přiložen odkazech na konci článku. Ale na druhou stranu, mít spuštěný regedit na Macu je docela vtipné, až bych si dovolil říct perverzní. Jo a ještě jeden postřeh: jaksi nefunguje OpenGL. Snad to chlapci z Applu někdy opraví...

Pár postřehů z diskuze
V podstatě se dá říct, že je chyba částečně i na straně Applu, protože umožňuje administrátorovi vytvořit adresář v rootu, aniž by byl požádán o heslo. Druhou chybou se zdá být implementace appletů, které dokážou při nahrávání kompletně zatuhnout prohlížeč. Obojí pravděpodobně nahlásím do bugtrackeru a budu sledovat vývoj.

Algis-Companion-2:/ marian$ ls -la
total 41341
drwxrwxr-t   33 root    admin      1190 Apr 13 18:59 .
drwxrwxr-t   33 root    admin      1190 Apr 13 18:59 ..
-rw-rw-r--@   1 marian  admin      6148 Apr 13 18:59 .DS_Store
drwx------    3 root    admin       102 Mar 19 13:06 .Spotlight-V100
d-wx-wx-wt    2 root    staff        68 Mar 19 12:31 .Trashes
-rw-r--r--    1 root    staff         0 Mar 19 12:31 .com.apple.timemachine.supported
drwx------  128 root    admin      4352 Apr 13 18:38 .fseventsd
-rw-------    1 root    wheel    131072 Mar 27 21:30 .hotfiles.btree
drwxr-xr-x@   2 root    wheel        68 Sep 24  2007 .vol
drwxrwxr-x+  78 root    admin      2652 Apr 13 16:26 Applications
-rw-r--r--@   1 root    admin     28672 Apr  8 09:28 Desktop DB
-rw-r--r--@   1 root    admin         2 Mar 20 11:11 Desktop DF
drwxrwxr-x@  16 root    admin       544 Mar 25 21:15 Developer
drwxrwxr-t+  55 root    admin      1870 Apr  3 14:25 Library
drwxr-xr-x@   2 root    wheel        68 Sep 23  2007 Network
drwxr-xr-x    4 root    wheel       136 Mar 19 20:46 System
drwxr-xr-x    6 root    admin       204 Apr  8 11:45 Users
drwxrwxrwt@   3 root    admin       102 Apr 13 16:03 Volumes
drwxr-xr-x@  40 root    wheel      1360 Mar 19 23:28 bin
drwxrwxr-t@   2 root    admin        68 Sep 23  2007 cores
dr-xr-xr-x    2 root    wheel       512 Apr  9 16:10 dev
lrwxr-xr-x@   1 root    admin        11 Mar 19 12:33 etc -> private/etc
dr-xr-xr-x    2 root    wheel         1 Apr  9 16:11 home
-rw-r--r--@   1 root    wheel  10276952 Mar  5 06:25 mach_kernel
-rw-r--r--@   1 root    wheel  10696809 Oct 10  2007 mach_kernel.ctfsys
dr-xr-xr-x    2 root    wheel         1 Apr  9 16:11 net
drwxr-xr-x@   6 root    wheel       204 Mar 19 12:38 private
drwxr-xr-x@  66 root    wheel      2244 Mar 19 23:28 sbin
lrwxr-xr-x@   1 root    admin        11 Mar 19 12:33 tmp -> private/tmp
drwxr-xr-x@  12 root    wheel       408 Mar 19 23:28 usr
lrwxr-xr-x@   1 root    admin        11 Mar 19 12:33 var -> private/var

Odkazy:
http://skitch.com/algi/jp2a/darwine

       

Komentáře

[unknown_]

lol, to si děláš kozy, ne? V /? A jakej debil dá userovi možnost zápisu do / ??

[Algi]

Jakej debil? Tak za a) zjisti si něco o Macu. za b) mám administrátorský účet, možné to tedy je. za c) mac není linux. za d) zapíše to tam ten jejich slavnej applet. Krom toho, na zápis do jakéhokoliv podadresáře samozřejmě práva chce. To, že si to něco vyrobí vlastního v rootu je totiž úplně jedno. Kdybych to zkoušel jako normální uživatel, tak to tam podle mě nic nezapíše... Btw, lze to napsat i slušněji

[unknown_]

Napsat to de slušněji to jo. Ale to de taková spousta věcí... a) kup mi jeden, adresu ti pošlu mailem, b) to je sebevražda, c) ale BSD, d) applet to zapíše, ale spouští se s právy toho uživatele... Tak to vypadá, že Apple do jisté míry degradoval BSD na úroveň Windows. Teda aspoň co se bezpečnosti týče.

[Algi]

a) to bys rád, co? a proč by to měla bejt sebevražda? pokud se vyskytne aplikace, která potřebuje administrátorský práva, tak se to zeptá na heslo. c) dobrej postřeh, bylo tím spíš myšleno to, že v Linuxu právo na zápis do / není d) ano. a pokud má uživatel (administrátor) právo na zápis do kořenového adresáře tak to tam prostě zapíše. si to zkus na linuxu a uvidíš sám. Nechápu, proč by se hned mělo jednat o nějakou degradaci. Vytvořit si adresář v rootu admin prostě může (a to i bez hesla) a applety tohle prostě akorát respektují. Že je něco jinak, než na Linuxu neznamená automaticky, že je to špatně

[unknown_]

Vytvořit si adresář v rootu admin prostě může (a to i bez hesla) a applety tohle prostě akorát respektují.

Ano, pak je tady problém bezpečnosti (kde to na Macu není moc slavný).

Že je něco jinak, než na Linuxu neznamená automaticky, že je to špatně

Neznamená. I v Linuxu má root právo na /. Degradací sem myslel hlavně ten způsob práce uživatelů - jako admin.

[Algi]

Neřeknu, kdyby měl ten applet právo změnit složku /System, nebo tak. Ale to, že máš jako admin právo na založení nového adresáře v rootu, to nepovažuju za velkou bezpečnostní hrozbu... Ale je pravda, že je to přinejmenším trochu nezvyklé...

[unknown_]

Teď trochu nechápu. Admin v Macu nemá právo měnit /System nebo tak? Bezpečnostní hrozbou sem samozřejmě myslel, že takto si applet může dělat cokoli.

[Algi]

Aha. Trochu jsem se špatně vyjádřil. Admin na to právo samozřejmě má. Ale nejprve se ho zeptá systém na heslo. Tzn. chci novou složku v rootu, můžu jako admin i bez hesla (to dělá i ten applet). Chci měnit něco v /System, můžu, ale nejprve to chce zadat uživatelské jméno a heslo účtu, který na tohle má právo. Stejné to je i při instalaci softwaru, kdy to přetahuješ do /Applications. Také se tě to vždy zeptá na heslo, než se tam ta aplikace nakopíruje.

[unknown_]

Aha, tak to už zní docela normálně. Nicméně si nemyslím, že vytváření složek v / bez hesla je dobrý.

[Algi]

Jsem stejného názoru, ale jak říkám: naštěstí to ničemu moc nevadí. Horší by bylo, kdyby si ten applet začal zapisovat bez dotazu na heslo něco do systému. Ačkoliv, myslím si, že by stejně kdejakej franta uživatel tomu klidně dal práva...

[Käyttäjä 11133]

Ne je tady problém blbého uživatele, který funguje běžně pod adminem.

[Vskutečnosti Saýc]

Vzhledem k tomu, ze admin a neadmin se na Mac OS pozna podle toho jestli muze nebo nemuze pouzivat sudo ... tak tech blbych uzivatelu je opravdu hodne, co rikas?

[Algi]

Tady je problém v tom, že administrace na Macu je prostě jiná, než na Linuxu / BSD / Windows a někteří lidé to stále nemůžou pochopit. Pro ně je to BSD. Jenže problém je v tom, že se spousta věcí (včetně bezpečnosti) chová na Macu jinak, než na BSD. Na takzvané BSD "flat files" se tam totiž kouká tak trochu z patra a jsou brány až jako druhořadý způsob nastavení... Do větších detailů ale zabíhat nebudu, protože si v této oblasti moc nevěřím

[stativ]

d) Nevidím důvod proč bych nemohl v Linuxu zapisovat do /.

[Käyttäjä 11133]

Za to že si blbec a jedeš pod adminem, za to my ti nemůžeme. Ad pomalost... Proč lidé s oblibou schvalují chyby ve svém prohlížeči (což vytuhnutí prohlížeče jistě je) na tvůrce webové aplikace?

[unknown_]

Souhlas. Ale k tomu web browseru. Např. yahoo.com si myslím, že zprasený musí být, protože Firefox, Opera a i Konqueror to vykreslujou hrozně pomalu a žere to spoustu procáku.

[Käyttäjä 11133]

Jenže aplikace by se měla být schopna vyrovnat s čímkoli na vstupu. Třeba jak by si se tvářil, kdyby tvůj balíčkovací systém po předhození poškozeného balíčku smazal všechny soubory na disku?

[unknown_]

Měla by...

[Algi]

Není to chyba prohlížeče, ale samotného appletu. Je příliš velký a při své inicializaci spotřebovává výpočetní výkon a zablokuje Safari. Na prohlížeč si nestěžuju, jenom podotýkám, že ho ten slavnej applet takhle zablokuje. To je trestné? Btw jedu pod adminem a jsem blbec? Omg, mě snad budou oplachovat. Víš vůbec co je admin na Macu? Něco jako když ty máš sudo pod Linuxem. To je podle tebe blbost??

[Käyttäjä 11133]

Ale to nic nemění na tom, že je to chyba Safari, pokud kvůli natahování appletu celé zatuhne. Ne není to trestné a to, že ti říkám, že to není chyba apletu, ale blbého prohlížeče (což neznamená, že se tak nechovají i ostatní prohlížeče) je snad trestné? Ano, pokud jedeš pod adminem tak, aby si aplikace mohly bez tvého vědomí zapisovat kam chtějí tak seš dle mého názoru blbec. Ad přirovnání k sudo. V mém sudousers je jen jediné pravidlo marek ALL = (root) NOPASSWD: /usr/bin/build. u tebe to spíš vypadá na něco stylu marek ALL = (root) NOPASSWD: ALL což je pěkná blbost, mít něco takového u účtu se kterým lozím po webu.

[Algi]

Chyba je v tom, že applet dokáže zablokovat Safari. Pravděpodobně se tam zavolá nějaká funkce synchronně, čímž pravděpodobně dojde k dočasnému pozastavení celého programu ve prospěch appletu.

/etc/sudoers

# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the sudoers man page for the details on how to write a sudoers file.
#

# Host alias specification

# User alias specification

# Cmnd alias specification

# Defaults specification
Defaults	env_reset
Defaults	env_keep += "BLOCKSIZE"
Defaults	env_keep += "COLORFGBG COLORTERM"
Defaults	env_keep += "__CF_USER_TEXT_ENCODING"
Defaults	env_keep += "CHARSET LANG LANGUAGE LC_ALL LC_COLLATE LC_CTYPE"
Defaults	env_keep += "LC_MESSAGES LC_MONETARY LC_NUMERIC LC_TIME"
Defaults	env_keep += "LINES COLUMNS"
Defaults	env_keep += "LSCOLORS"
Defaults	env_keep += "SSH_AUTH_SOCK"
Defaults	env_keep += "TZ"
Defaults	env_keep += "DISPLAY XAUTHORIZATION XAUTHORITY"
Defaults	env_keep += "EDITOR VISUAL"

# Runas alias specification

# User privilege specification
root	ALL=(ALL) ALL
%admin	ALL=(ALL) ALL

# Uncomment to allow people in group wheel to run all commands
# %wheel	ALL=(ALL)	ALL

# Same thing without a password
# %wheel	ALL=(ALL)	NOPASSWD: ALL

# Samples
# %users  ALL=/sbin/mount /cdrom,/sbin/umount /cdrom
# %users  localhost=/sbin/shutdown -h now

Nic jsem tam nenastavoval, takhle je to od výroby. A ještě jednou opakuji, že bez zadání hesla můžeš jako admin vytvořit adresář v rootu. Nikoliv však editovat (někdy ani i prohlížet) jiný systémový adresář nebo soubor.

[xm]

Je to jednoznačně chyba Safari. V Konqueroru ani ve Firefoxu pod Linuxem k žádnému zablokování prohlížeče nedochází.

[xm]

Tak s elektronickým bankovnictvím Komerční banky jsem plně spokojen. Mojebanka.cz funguje výborně. Dřív když byla omezená jen na Windows (nebo s ošklivými hacky na Konqueroru) jsem chtěl přejít na jinou banku, ale tak nějak lenost zvítězila a já se dočkal plně fungujícího elektronického bankovnictví pod Linuxem Teď už de facto nemám důvod přecházet jinam.

Funguje to naprosto bez problémů v Konqueroru i ve Firefoxu, žádný test který by chtěl originální Acrobat se nezobrazuje (ten test se pokud vím zobrazí jen v případě, že se nějak nepovede načíst/spustit onen přihlašovací Java applet). Do rootu to nic nezapisuje (taky jak by mohlo, že To je MacOS X tak stupidní?). Prostě plná spokojenost.

[Algi]

Ten test jsem si tam našel sám. Právě z důvodu, že jsem byl zvědavej, jak dopadne pro můj systém. Ne, není to chyba jenom Safari. Stejně tak se chová i Internet Exploder pod Win XP. Taky ho tenhle applet zatuhne. Firefox pod Mac OS X také zatuhne. Jde o to, že nemám moc rychlé připojení a po dobu stahování appletu ten prohlížeč přestane reagovat. Kdyby mě odešel motherboard pod PC, tak to vyzkouším i na Linuxu.

Do rootu to nic nezapisuje (taky jak by mohlo, že To je MacOS X tak stupidní?).

Takže když applet zapisuje do rootu (tím že si tam vytvoří adresář), tak je Mac OS X stupidní? Jak už jsem řešil výše, tak je to sice trochu podivné, že má admin právo si tam beztrestně vytvářet adresáře, ale není to přece hned důvod nadávat na Mac... Já to vidím spíše tak, že Macovskou verzi toho jejich appletu naportovali z Windows a nikterak se neobtěžovali respektovat zvyklosti mého systému. Což je čuňárna...

[Käyttäjä 11133]

Ne, čuňárna je to, že jim dovolíš něco co nechceš aby si mohli dovolit.

[Algi]

No, upřímě řečeno: mě to vadí spíš z kosmetického hlediska tím, že mi vytváří složku, kde by neměli. Ale na druhou stranu, systém to neohrozí, takže se o žádnou čuňárnu nejedná. Nicméně, z tvého komentáře mám dojem, že by ti ani nevadilo, kdyby si u tebe applety v /home/user vytvářeli adresáře. Mě osobně tohle štve. A Komerční banka není sama, například takový trial Age of Empires si také udělá složku v /Users/marian/Documents, ačkoliv tam data o hře nemají co dělat. Je to příklad špatně napsané aplikace, nikoliv špatně nastaveného systému.

[Ritchie]

Teď už de facto nemám důvod přecházet jinam.

Pokud jste spokojen s poplatkovou politikou banky, tak jistě setrváte. Já nikoliv.

[Luk]

Poplatková politka KB je dobrá. V paušálu 125 Kč měsíčně mám prakticky všechno, co potřebuji (včetně neomezeného počtu odchozích i příchozích plateb). Dokonce je KB jedinečná v tom, že má v ceníku názorný tabulkový přehled toho, jak se od sebe liší jednotlivé druhy účtů a co je u kterého zahrnuto v paušálu. To jsem zatím u žádné jiné banky neviděl.

[Ritchie]

V porovnání s ostatními bankami bude poplatek 1500 Kč ročně pravděpodobně patřit k těm nižším, přesto nevidím žádný důvod, proč platit v mém případě 5–10 % p.a. z průměrného zůstatku na běžném účtu za samozřejmé služby. Raději jsem si našel finanční ústav, který má skromnější požadavky.

[JKK]

hehe... Služby komerčky jsou příšerné i bez internetového bankovnictví. A tím zápisem na / , OS X neznám, tak nevím jestli je to tak debilní OS a nebo jsi jen hloupý uživatel :)

[Luk]

Služby komerčky jsou příšerné i bez internetového bankovnictví.

Konkrétně?

[Dalibor Smolík]

Nojo, Komerčka. Dostali jsme nabídku možnosti sledování pohybu na účtě přes internet zdarma, i když nemáme internetové bankovnictví. Tak jsem se s tím trochu vyvztekal, než jsem to dal do provozu. Donutilo mě to nainstalovat Javu a Adobe reader, ačkoliv pro prohlížení dokumentů mi normálně stačí kpdf , proč to u jiných bank jde jednodušeji, jen ne u Komerčky, to jsem nepochopil ...

[Luk]

K čemu Adobe Reader? Ty výpisy jde normálně stáhnout do počítače a otevírat až tam. Tedy pokud by nešly zobrazovat přímo v okně prohlížeče.

[Algi]

Pokud chcete dodržet jejich oficiální požadavky, pak je to nutnost. Což jak jsem již psal obzvlášť na Macu je fakt nesmysl...

[Algi]

Taky mě přijde, že toho chtějí docela dost. Když si uvědomím, že mě k přístupu do banky stačí akorát "kalkulačka" - generátor nějakejch čísel a tím to hasne. Napíšu číslo, nechám si vygenerovat číslo pomocí modré krabičky a jsem přihlášený. Otázkou teď je, která z těch bank to má bezpečnější - jestli KB nebo UniCredit (aneb Živnostenská banka).

Ad Adobe Reader: Tak to vás na Linuxu s Adobe Readerem upřímně lituju. Je to sice pár měsíců, co jsem naposledy zkoušel, ale byl krutě pomalej. Bohudík, že jsou rychlejší alternativy - xpdf, kpdf, apod. Ostatně, Adobe asi nikdy nedělalo rychlé programy. Vzpomínám si na jednu diskuzi na MujMac.cz, kde se někdo ptal, jak rychlou sestavu potřebuje na pár programů od Adobe. Odpověď byla, že žádná sestava není dostatečně dobrá, aby tam běhal rychle Photoshop apod. A to byla řeč o osmijádrovém Mac Pro...

[xm]

Adobe Acrobat Reader rozhodně nepotřebuješ. Mají ho tam sice v tom testu kompatibility, ale ten se spouští jen při potížích s Javou (když se nenačte ten jejich applet) a Acrobat Reader není pro funkčnost vyžadován.

[Dalibor Smolík]

Asi ano, ale aby mě banka pustila do svých záznamů, požaduje prověření počítače. A tam je Adobe reader povinností ..

[Luk]

Jenže oficiální požadavky zahrnují mj. také verzi Javy. Proto je beru s rezervou.

[Luk]

Při kontrole to jen ohlásí, že tam AR není, to je všechno. Funguje to i bez něj.

BTW: Přestalo tu nějak fungovat threadování příspěvků.