metaclass: (Default)
[personal profile] metaclass
В комментарии пришел автор сабжевого сайта - онлайн-бухгалтерии для ИП:
http://metaclass.livejournal.com/651925.html?thread=10651029#t10651029
Перепощу, потому как мне их идея в некотором роде нравится, несмотря на огрехи в реализации:

Меня зовут Алексей Курец, я как раз автор и руководитель проекта Assistent.By. Прочитал всю ветку, хочу немного откомментировать.

1. Не совсем понятна боязнь хранить бухгалтерию в интернете. Изначально наш сервис предназначен только для "белой" бухгалтерии. Чтобы в три клика сгенерировать декларацию и пойти тратить заработанные деньги. Разумеется мы думаем о безопасности, но особого смысла от сворованной белой бухгалтерии нет. Если говорить совсем простым языком - у нас хранится только те данные, которые необходимы для генерации отчетности.

2. У нас применяется SSL-шифрование. Демо-версия работает без него, а зарегистированные пользователи работают по протоколу https, вот оно: https://user.assistent.by

3. Обработать и пересмотреть всю бухгалтерию Беларуси это крайне трудоёмкая задача. Действительно, пока не все идеально, но мы активно работаем над устранением недостатков, реализацией новых возможностей. Большое спасибо за найденные проблемы. Если найдете что-то еще - обязательно пишите, мы обязательно отблагодарим.

4. Похоже не все поняли, поясню: инвестор у нас уже есть. Не только инвестор, но и важный стратегический партнер - российская фирма "1С". Подробнее здесь: http://assistent.by/blog/3

Кстати, нам нужен отличный php-разработчик. Если есть желание работать с нами - пишите!

Я его предупредил, что тут будет сейчас адская травля и псение, но думаю, любому публичному сервису приходится отвечать на неудобные вопросы.

Date: 2012-01-06 07:49 pm (UTC)
From: [identity profile] w00dy.livejournal.com
Ребе, с ключами фигня в том что кто-то их должен вводить, иначе это всё выеденого яйца не стоит. А если так, то значит никакого автомагического востановления после сбоя не будет, сервак будет лежать и ждать пока добрый дядя не сделаем магические пасы руками. А дальше уже всё просто: "пароль" знают как минимум несколько человек, значит и подходы к ним искать уже проще. В общем от кражи спасает только автоматчик который сначала стреляет, а потом проверяет документы (или пиропатрон выжигающий веник к чертям :)

Date: 2012-01-06 07:58 pm (UTC)
From: [identity profile] vp.livejournal.com
А при чем тут автоматическое восстановление? Данным, разбитым в рейж, совершенно фиолетово, там мп3 файлы или криптоконтейнеры. Ну абсолютно рейду ВСЕ РАВНО.

Date: 2012-01-06 08:04 pm (UTC)
From: [identity profile] w00dy.livejournal.com
я не про то. Вот бутнули сервак, толи питание пропало, толи пьяный сисадмин не ту кнопку нажал. И что теперь? Сервис всё, лежит и ждём пока введут ключ?

Date: 2012-01-06 08:11 pm (UTC)
From: [identity profile] vp.livejournal.com
Сервак забутился. Админу и владельцу пришли СМСки, что надо стартонуть все. Какие проблемы?

Date: 2012-01-06 08:15 pm (UTC)
From: [identity profile] aliaksei.livejournal.com
Как он забутился, если пароли надо ввести до старта виндовз? Иначе вхуй такую криптографию, я пароли потом из свопа достану.

Date: 2012-01-06 08:19 pm (UTC)
From: [identity profile] vp.livejournal.com
о, еще один ПХПшник детектед :)
Велкам ту зе реал ворлд, бейби.

Date: 2012-01-06 08:25 pm (UTC)
From: [identity profile] w00dy.livejournal.com
не-не-не ребе, давайте конкретней.

Date: 2012-01-06 08:30 pm (UTC)
From: [identity profile] vp.livejournal.com
Я псю :)
Какая проблема? Ну грузится сервер. Система загрузилась. Система и раздел, который зашифрован. Система отослала СМСки. Все.

Date: 2012-01-06 08:34 pm (UTC)
From: [identity profile] w00dy.livejournal.com
ну а я сижу рядом с патченым sshd (или вообще прокси поднял) и смотрю что вы там набираете/пересылаете. Где защита?

Date: 2012-01-06 08:26 pm (UTC)
From: [identity profile] aliaksei.livejournal.com
Я утрирую конечно про своп и винду. Но уровень красноглазой криптографии будет примерно такой.

Date: 2012-01-06 08:31 pm (UTC)
From: [identity profile] vp.livejournal.com
Не, вполне себе будет стойко. Закриптовать веник - и будет им счастье. А на открытом венике - система. Толку с нее?

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 08:34 pm (UTC) - Expand

(no subject)

From: [identity profile] metaclass.livejournal.com - Date: 2012-01-06 08:36 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 08:43 pm (UTC) - Expand

(no subject)

From: [identity profile] metaclass.livejournal.com - Date: 2012-01-06 08:44 pm (UTC) - Expand

(no subject)

From: [identity profile] vp.livejournal.com - Date: 2012-01-06 08:38 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 08:48 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:00 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:05 pm (UTC) - Expand

(no subject)

From: [identity profile] metaclass.livejournal.com - Date: 2012-01-06 09:07 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:11 pm (UTC) - Expand

(no subject)

From: [identity profile] metaclass.livejournal.com - Date: 2012-01-06 09:12 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:15 pm (UTC) - Expand

(no subject)

From: [identity profile] vp.livejournal.com - Date: 2012-01-06 09:32 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:14 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:16 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:15 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:14 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:19 pm (UTC) - Expand

(no subject)

From: [identity profile] metaclass.livejournal.com - Date: 2012-01-06 09:22 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:26 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:35 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:41 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:49 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:50 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:53 pm (UTC) - Expand

(no subject)

From: [identity profile] nivanych.livejournal.com - Date: 2012-01-07 04:28 am (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-06 09:45 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:48 pm (UTC) - Expand

(no subject)

From: [identity profile] vp.livejournal.com - Date: 2012-01-06 09:20 pm (UTC) - Expand

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 09:23 pm (UTC) - Expand

(no subject)

From: [identity profile] d4s.livejournal.com - Date: 2012-01-06 09:26 pm (UTC) - Expand

(no subject)

From: [identity profile] anonim-legion.livejournal.com - Date: 2012-01-23 10:20 pm (UTC) - Expand

(no subject)

From: [identity profile] d4s.livejournal.com - Date: 2012-01-24 01:24 pm (UTC) - Expand

Date: 2012-01-06 08:24 pm (UTC)
From: [identity profile] w00dy.livejournal.com
вот-вот, и я об этом. защита данных это не только стойкая криптография и два мальчиша кибальчиша, это ещё и автоматчик на входе и пиропатрон на венике. Чтобы навернякак, если что. А бекапы где-то в Ботсване лежат и там их кровавая гебня не достанет.

Date: 2012-01-06 08:28 pm (UTC)
From: [identity profile] metaclass.livejournal.com
Пароли на контейнер с данными. Толку тебе от пустой винды или линукса?

Date: 2012-01-06 08:31 pm (UTC)
From: [identity profile] aliaksei.livejournal.com
Потом внезапно оказывается в свопе, временных файлах или незатертых секторах оно все лежит в открытом виде.

Date: 2012-01-06 08:53 pm (UTC)
From: [identity profile] gnom-virtuoz.livejournal.com
своп можно тоже зашифровать, /tmp вообще в tmpfs запихнуть, чо.

(no subject)

From: [identity profile] aliaksei.livejournal.com - Date: 2012-01-06 08:56 pm (UTC) - Expand
(deleted comment)

Date: 2012-01-07 08:36 am (UTC)
From: [identity profile] w00dy.livejournal.com
да тут все уже походу вообще потеряли связь с реальностью. Срач идёт и больше ничего не нужно.

Date: 2012-01-06 08:29 pm (UTC)
From: [identity profile] w00dy.livejournal.com
хорошо, бутнулся. А мы тут раз, и запихнули в sshd кейлогер, так, на всякий случай. Вы же небойсь не проверяете после входа что sshd аутентичный?

Date: 2012-01-06 08:34 pm (UTC)
From: [identity profile] vp.livejournal.com
Ребе, это уже другой уровень немного :)
Но ваш ход мысли мне нравится!

Date: 2012-01-07 04:30 am (UTC)
From: [identity profile] nivanych.livejournal.com
Ччорт...
Проснулся, зачитался комментами и забыл про утреннюю проверку аутентичности sshd на всех серваках!!
Правда, суббота же. Это меня должно полностью оправдывать.

Date: 2012-01-07 08:42 am (UTC)
From: [identity profile] w00dy.livejournal.com
так это интересный вектор атаки для разной мелвари. Пробились на машину, пересобрали sshd (благо сорцы есть, тулчейн тоже), поставили, сгенерили свой ключ, положили в keyring, поправили метаданные пакета, чтобы yum/apt не ругался при проверке и всё. 83% линупсовых администраторов даже не поймут что их поимели и не смогут самостоятельно вычистить заразу.

(no subject)

From: [identity profile] nivanych.livejournal.com - Date: 2012-01-07 12:59 pm (UTC) - Expand

(no subject)

From: [identity profile] perepertoz.livejournal.com - Date: 2012-01-07 06:45 pm (UTC) - Expand

(no subject)

From: [identity profile] d4s.livejournal.com - Date: 2012-01-07 07:24 pm (UTC) - Expand

(no subject)

From: [identity profile] w00dy.livejournal.com - Date: 2012-01-07 09:54 pm (UTC) - Expand

Date: 2012-01-06 07:58 pm (UTC)
From: [identity profile] vp.livejournal.com
Ребе, пароль знает владелец бизнеса и его Главный Админ. Все.

Date: 2012-01-06 08:14 pm (UTC)
From: [identity profile] john-f-doe.livejournal.com
такие вот два мальчиша-кибальчиша, которые главную военну тайну, причем чужую, никому не выдадут, ни за бочку варенья, ни за хобот в дверь )

Date: 2012-01-06 08:20 pm (UTC)
From: [identity profile] aliaksei.livejournal.com
Особенно когда встанет вопрос использования несертифицированой криптографии.

Date: 2012-01-09 07:15 am (UTC)
From: [identity profile] vk11.livejournal.com
"шифрование... пароли... отдел к... пальцы в двери - и ты рассказываешь содержимое своего винчестера в хэксе" (с) глуш ~десять лет назад

Profile

metaclass: (Default)
metaclass

April 2017

S M T W T F S
      1
2345678
9101112 131415
16171819202122
23242526272829
30      

Most Popular Tags

Style Credit

Expand Cut Tags

No cut tags
Page generated Aug. 31st, 2025 05:55 pm
Powered by Dreamwidth Studios