Assistent.by, продолжение

[metaclass]

В комментарии пришел автор сабжевого сайта - онлайн-бухгалтерии для ИП:
http://metaclass.livejournal.com/651925.html?thread=10651029#t10651029
Перепощу, потому как мне их идея в некотором роде нравится, несмотря на огрехи в реализации:

Меня зовут Алексей Курец, я как раз автор и руководитель проекта Assistent.By. Прочитал всю ветку, хочу немного откомментировать.

1. Не совсем понятна боязнь хранить бухгалтерию в интернете. Изначально наш сервис предназначен только для "белой" бухгалтерии. Чтобы в три клика сгенерировать декларацию и пойти тратить заработанные деньги. Разумеется мы думаем о безопасности, но особого смысла от сворованной белой бухгалтерии нет. Если говорить совсем простым языком - у нас хранится только те данные, которые необходимы для генерации отчетности.

2. У нас применяется SSL-шифрование. Демо-версия работает без него, а зарегистированные пользователи работают по протоколу https, вот оно: https://user.assistent.by

3. Обработать и пересмотреть всю бухгалтерию Беларуси это крайне трудоёмкая задача. Действительно, пока не все идеально, но мы активно работаем над устранением недостатков, реализацией новых возможностей. Большое спасибо за найденные проблемы. Если найдете что-то еще - обязательно пишите, мы обязательно отблагодарим.

4. Похоже не все поняли, поясню: инвестор у нас уже есть. Не только инвестор, но и важный стратегический партнер - российская фирма "1С". Подробнее здесь: http://assistent.by/blog/3

Кстати, нам нужен отличный php-разработчик. Если есть желание работать с нами - пишите!

Я его предупредил, что тут будет сейчас адская травля и псение, но думаю, любому публичному сервису приходится отвечать на неудобные вопросы.

Comments

[feorex.livejournal.com]

"Регистрация
Пароль: Поле должно включать не более 10 символов."

гг

[theiced.livejournal.com]

блядь, я не заметил даже ;]]

[w00dy.livejournal.com]

У кого тут имя любимой кошечки больше 10 символов? Вот-вот, нехер выпендриваться, этого лимита достаточно с головой :)

[tzirechnoy.livejournal.com]

char(10), видимо.

[w00dy.livejournal.com]

если char(10) - то это вообще клиника. Я ещё понимаю какой-нить char(17+) под соль и хеш. Да и вообще, что там за сервер которому плохо от varchar(max) становится?

[npocmu.livejournal.com]

ППЦ. Лажать чей-то сервис и самому так пукнуть... Уважаемый, varchar(max) можно делать только для доверенных данных. Весь ввод от пользователя, только фиксированной длины (пусть и достаточно большой в определенных случаях)
Иначе theiced начнет пихать пароли по 2Gb длины и ржать что сервис валится...

[w00dy.livejournal.com]

пароли под 2GB хешируются с солью и занимает в базе 32 байта, например. Держать пароль открытым текстом в базе это только идиоты могут.

А насчёт фиксированной длины - я считаю что пользователь прав. Если ему надо забульбенить название какой-то херни в 2GB длиной, ну так пусть бульбенит, моё дело обеспечить работоспособность.

[npocmu.livejournal.com]

"пароли под 2GB хешируются с солью и занимает в базе 32 байта, например"
К чему тогда замечание про varchar(max)?

"А насчёт фиксированной длины - я считаю что пользователь прав. Если ему надо забульбенить название какой-то херни в 2GB длиной, ну так пусть бульбенит, моё дело обеспечить работоспособность. "
Этот подход годится только для десктопных приложений и совершенно неприемлем даже для интранет приложений, не говоря уже об облаках.

[w00dy.livejournal.com]

> К чему тогда замечание про varchar(max)?

К тому что есть базы у которых от varchar(max) крышу срывает.

> совершенно неприемлем даже для интранет приложений, не говоря уже об облаках.

Всё там приемлемо. С облаками я конечно не сталкивался, а вот в вебе вопрос больше в том как быстро юзер такой объём прокачает. Плюс по дороге обычно другие, более узкие ограничения есть.

[tzirechnoy.livejournal.com]

От идиота, кстати, слышу. Часто пролюбление пароля (или всей базы паролей) является меньшым злом, чем невозможность саппорту его посмотреть.

[w00dy.livejournal.com]

что мешает завести два пароля - сервисный, который ставит саппорт, и пользовательский?

[tzirechnoy.livejournal.com]

Очевидно, тем, что саппорту не требуется ставить пароли -- а требуется их смотреть и сравнивать.

[w00dy.livejournal.com]

Для того чтобы сравнить пароль в открытом виде его хранить не нужно. Достаточно выполнить свёртку по заранее известному алгоритку и сравнить результат с тем что в базе.

[permea-kra.livejournal.com]

Саппорт может его поменять на нужный а потом, если приспичит, поменять обратно. Знать собственно пароль для этого не нужно.

[bydl0coder.livejournal.com]

на то есть max request size

[dmitry shamov (from livejournal.com)]

Не знаю как в ваших PHP, а у нас вроде еть лимиты на объемы...

[tzirechnoy.livejournal.com]

Клиника, да. Но я не вижу другого резона ограничивать пароль в 10 символов.

[zelanton.livejournal.com]

а вдруг по паролю индексация? ;)

[metaclass.livejournal.com]

Но ЗАЧЕМ?:)

[zelanton.livejournal.com]

Я как-то видел БД, где индексация была по всем полям. И даже общался с разработчиком!