metaclass: (Default)
metaclass ([personal profile] metaclass) wrote2012-01-06 09:36 pm

Assistent.by, продолжение

В комментарии пришел автор сабжевого сайта - онлайн-бухгалтерии для ИП:
http://metaclass.livejournal.com/651925.html?thread=10651029#t10651029
Перепощу, потому как мне их идея в некотором роде нравится, несмотря на огрехи в реализации:

Меня зовут Алексей Курец, я как раз автор и руководитель проекта Assistent.By. Прочитал всю ветку, хочу немного откомментировать.

1. Не совсем понятна боязнь хранить бухгалтерию в интернете. Изначально наш сервис предназначен только для "белой" бухгалтерии. Чтобы в три клика сгенерировать декларацию и пойти тратить заработанные деньги. Разумеется мы думаем о безопасности, но особого смысла от сворованной белой бухгалтерии нет. Если говорить совсем простым языком - у нас хранится только те данные, которые необходимы для генерации отчетности.

2. У нас применяется SSL-шифрование. Демо-версия работает без него, а зарегистированные пользователи работают по протоколу https, вот оно: https://user.assistent.by

3. Обработать и пересмотреть всю бухгалтерию Беларуси это крайне трудоёмкая задача. Действительно, пока не все идеально, но мы активно работаем над устранением недостатков, реализацией новых возможностей. Большое спасибо за найденные проблемы. Если найдете что-то еще - обязательно пишите, мы обязательно отблагодарим.

4. Похоже не все поняли, поясню: инвестор у нас уже есть. Не только инвестор, но и важный стратегический партнер - российская фирма "1С". Подробнее здесь: http://assistent.by/blog/3

Кстати, нам нужен отличный php-разработчик. Если есть желание работать с нами - пишите!

Я его предупредил, что тут будет сейчас адская травля и псение, но думаю, любому публичному сервису приходится отвечать на неудобные вопросы.

[identity profile] w00dy.livejournal.com 2012-01-06 09:41 pm (UTC)(link)
если char(10) - то это вообще клиника. Я ещё понимаю какой-нить char(17+) под соль и хеш. Да и вообще, что там за сервер которому плохо от varchar(max) становится?

[identity profile] npocmu.livejournal.com 2012-01-07 09:10 am (UTC)(link)
ППЦ. Лажать чей-то сервис и самому так пукнуть... Уважаемый, varchar(max) можно делать только для доверенных данных. Весь ввод от пользователя, только фиксированной длины (пусть и достаточно большой в определенных случаях)
Иначе theiced начнет пихать пароли по 2Gb длины и ржать что сервис валится...

[identity profile] w00dy.livejournal.com 2012-01-07 09:15 am (UTC)(link)
пароли под 2GB хешируются с солью и занимает в базе 32 байта, например. Держать пароль открытым текстом в базе это только идиоты могут.

А насчёт фиксированной длины - я считаю что пользователь прав. Если ему надо забульбенить название какой-то херни в 2GB длиной, ну так пусть бульбенит, моё дело обеспечить работоспособность.

[identity profile] npocmu.livejournal.com 2012-01-07 09:32 am (UTC)(link)
"пароли под 2GB хешируются с солью и занимает в базе 32 байта, например"
К чему тогда замечание про varchar(max)?

"А насчёт фиксированной длины - я считаю что пользователь прав. Если ему надо забульбенить название какой-то херни в 2GB длиной, ну так пусть бульбенит, моё дело обеспечить работоспособность. "
Этот подход годится только для десктопных приложений и совершенно неприемлем даже для интранет приложений, не говоря уже об облаках.

[identity profile] w00dy.livejournal.com 2012-01-07 12:08 pm (UTC)(link)
> К чему тогда замечание про varchar(max)?

К тому что есть базы у которых от varchar(max) крышу срывает.

> совершенно неприемлем даже для интранет приложений, не говоря уже об облаках.

Всё там приемлемо. С облаками я конечно не сталкивался, а вот в вебе вопрос больше в том как быстро юзер такой объём прокачает. Плюс по дороге обычно другие, более узкие ограничения есть.

[identity profile] tzirechnoy.livejournal.com 2012-01-07 10:19 am (UTC)(link)
От идиота, кстати, слышу. Часто пролюбление пароля (или всей базы паролей) является меньшым злом, чем невозможность саппорту его посмотреть.

[identity profile] w00dy.livejournal.com 2012-01-07 12:05 pm (UTC)(link)
что мешает завести два пароля - сервисный, который ставит саппорт, и пользовательский?

[identity profile] tzirechnoy.livejournal.com 2012-01-07 02:13 pm (UTC)(link)
Очевидно, тем, что саппорту не требуется ставить пароли -- а требуется их смотреть и сравнивать.

[identity profile] w00dy.livejournal.com 2012-01-07 05:34 pm (UTC)(link)
Для того чтобы сравнить пароль в открытом виде его хранить не нужно. Достаточно выполнить свёртку по заранее известному алгоритку и сравнить результат с тем что в базе.

[identity profile] permea-kra.livejournal.com 2012-01-07 12:22 pm (UTC)(link)
Саппорт может его поменять на нужный а потом, если приспичит, поменять обратно. Знать собственно пароль для этого не нужно.

[identity profile] bydl0coder.livejournal.com 2012-01-10 04:42 am (UTC)(link)
на то есть max request size

[identity profile] dmitry shamov (from livejournal.com) 2012-01-10 08:25 pm (UTC)(link)
Не знаю как в ваших PHP, а у нас вроде еть лимиты на объемы...

[identity profile] tzirechnoy.livejournal.com 2012-01-07 10:18 am (UTC)(link)
Клиника, да. Но я не вижу другого резона ограничивать пароль в 10 символов.

[identity profile] zelanton.livejournal.com 2012-01-07 12:00 pm (UTC)(link)
а вдруг по паролю индексация? ;)

[identity profile] zelanton.livejournal.com 2012-01-07 12:02 pm (UTC)(link)
Я как-то видел БД, где индексация была по всем полям. И даже общался с разработчиком!