Sdílný ISDS (diskuse)

[Jendа]

Tiskovku! Tiskovku!

(vědí o tom v 602?)

Jinak - moje bezpečnostní díra tam pořád je, už to budou dva měsíce…

[Jendа]

Mimochodem, nechceš to poslat Peterkovi?

[Uf]

Já bych to spíš naprášil té hodné paní na poště - pošta je minimálně provozovatel ISDS. Svazarmovci ze šestsettrojky, pardon ze šestsetdvojky, maj prsty jenom v XML fajleru. A naprášil bych to médiím ...

[Max]

Teda, čekal jsem úplně něco jiného, a né, že bude mít ISDS takové základní bezpečnostní trhlinky ... :-/. By mně zajímalo, kolik toho ještě vyplave na povrch :-/
Zdar Max

[Max]

PS: jinak dobrá práce, díky
Zdar Max

[pasmen]

Co je to to shigofumi?

[petr_p]

Dopis ze záhrobí. Ale jinak vypadá jako každý jiný.

[pasmen]

Jo aha, já měl mysli, co to dělá softwarově.

[petr_p]

This is Shigofumi, an ISDS client.

Prostě můj pokusný klient postavený nad knihovnou libisds.

[Neviditelný]

Hezké 8)

Jestlipak o tom byli informováni na ISDS předem, jak se na takovou věc patří? Nebo nám již etika nic neříká a hrneme se za úspěchem?

[Luk]

Obávám se, že by to buď neřešili a bagatelizovali by to (jak je u problémů ISDS již zvykem), anebo by to v tichosti vyřešili a dále by se chvástali, jak je ISDS dokonalý a bezpečný. Člověk by pak byl za blbce, který dělá černou práci, za kterou shrábne naše peníze někdo jiný. Tím neříkám, že by se neměly chyby nejdřív hlásit provozovateli a až potom (pokud nejsou řešeny) je zveřejňovat, ale po zkušenostech s přístupem ČP k těmto věcem jsem již dávno ztratil jakoukoli chuť dělat to takto - resp. už ohledně ISDS neřeším víc, než musím (tzn. v podstatě se ISDS už vůbec nezabývám).

[pasmen]

Tomu říkám přístup... Nejde snad vám všem těm kecalům o nekvalitě DS hlavně o zvýšení jejich bezpečnost? Pak se vyser na to, jestli budeš za blbce a pokud už sis dal tu práci udělat tu "černou práci", pak s ní přispěj. To není mířeno osobně na tebe, pač ty sis tu práci nedal (v tomto konkrétním případě).

[Luk]

Tomu říkám přístup...

Ano, člověku občas dojde trpělivost.

Nejde snad vám všem těm kecalům o nekvalitě DS hlavně o zvýšení jejich bezpečnost?

To samozřejmě ano, ale pokud je člověk za otravného potížistu tím, že upozorňuje na bezpečnostní nedostatky (které později - až se někomu opravdu rozsvítí - někdo opraví za tučnou odměnu), motivace se rychle vyčerpá. Tím spíš, že toto je jen jedna věc, kterou se člověk zabývá. Já jsem v posledních měsících přesměroval svoji energii na řešení lokálních problémů a ISDS jsem téměř pustil z hlavy.

[Jendа]

které později - až se někomu opravdu rozsvítí - někdo opraví za tučnou odměnu

Oni už něco opravili?

[Luk]

To nevím. Ale předpokládám, že případné opravy si ČP objedná u svého dodavatele a že to nebude zadarmo.

[trekker.dk]

Vzhledem ke svému předchozímu chování si provozovatel ani autor ISDS žádné etické zacházení nezasluhuje.

[petr_p]

Ne, protože se jedná o drobné nedopatření, které nemá žádné závažné bezpečnostní dopady. Zprávy nelze cíleně vyhledávat (snad až na monotónnost identifikátorů) a identitu dopisovatelů lze zjistit, jen když útočící uživatel má právo jej vyhledat (týká se jen OVM jako hledaného nebo hledajícího).

Nicméně upozornění jsem dodatečně odeslal na vývojářský kontakt.

[petr_p]

Tak už testovací instanci opravili:

Nemáte právo na přístup k zásilkám v cizí schránce.