ישיבה על קברו, בלי סיסמא?

[clickone]

@dovid אני מצליח לשים תז (אמנם אני בודק עם 42 וייתכן שהוא החריג את זה) ולקבל נתונים
(עריכה: התשובה הייתה כשחשבתי שאתה שואל אותי)

[clickone]

מה שכן, אחרי כמה נסיונות יש חסימה של 5 דקות.
לפחות זה....

{
    "status": "זוהה כניסות מרובות מכתובת זו, אנא המתן 5 דקות ללא כניסה עד לשחרור החסימה"
}

[dovid]

@clickone גרוע מאוד. @חוקר, אתה חייב לעבוד נכון לגמרי. אל תוותר על אבטחה, תמיד יש פתרונות.
זה בעיה אצל כמה משתמשים פה (ודוקא @חוקר פחות בקטע הזה), שהם חיים במירוץ מטורף עם פרויקטים חיים,
והם לא "מעיזים" להחליט שתכנות נכון דוחה בשעתיים את ההפעלה של הפרוייקט.
וכשהם רואים את על הדרשות שלי פה על תכנות נכון הם שואבים אמונה וביטחון מהפרוייקטים העצומים שהם מנהלים (שאפו!) והם "מתגברים" על ה"נכון" למען ה"תכלס". אני מבין את זה על יום יומיים, אבל כשזה לתמיד ככה זה מפריע לי.

[clickone]

@dovid אני מסתכל על הפיתרון שלו כפיתרון זמני עד שיעשה את מה שצריך לעשות.
ואם ככה זה טוב. רק שלא יהיה "אין יותר קבוע מזמני....."

לגבי המירוץ המטורף בפרוייקטים החיים, אני חושב שברוב המוחלט של הדברים כן נותנים לאבטחה המון משקל. רק מפספסים בדברים אחרים (כולל [ואולי בעיקר] אני), ובזה אתה צודק.

[dovid]

@clickone אמר בישיבה על קברו, בלי סיסמא?:

@dovid אני מסתכל על הפיתרון שלו כפיתרון זמני עד שיעשה את מה שצריך לעשות.

זה אשליה זמנית.
הפרצה קיימת. אפשר לשאוב נתון בודד, ואפשר אפילו לשאוב הכל בלולאה איטית (ואפשר גם מהר עם פרוקסי או עם תוכנת רוגלה/וירוס).
רק מה? עשינו רושם של רציניים?

[dovid]

@clickone אמר בישיבה על קברו, בלי סיסמא?:

לגבי המירוץ המטורף בפרוייקטים החיים, אני חושב שברוב המוחלט של הדברים כן נותנים לאבטחה המון משקל. רק מפספסים בדברים אחרים (כולל [ואולי בעיקר] אני), ובזה אתה צודק.

לא בעיקר ולא בכלל... אולי יש לך מרוץ ולכן אתה חושב שאני מתכוון איליך.
מרוץ זה דבר טוב, הבעיה היא כשיש מרוץ ולא מנסים לעבוד נכון.
כולם נותנים משקל לאבטחה, אבל זה כבר "דיעבד".

[clickone]

@dovid לא
זה סגירה ממש ממש זמנית
אני מניח שיום יומיים הוא יסגור את הפינות ( @חוקר אל תאכזב! )

[חוקר]

@dovid
כמו תמיד אתה מדבר ומכוון למקום הנכון.
מכה אותו ואומר לו גדל.
לכאורה תמוה למה "המכה" ואומר גדל? והתשובה ניתנה כאן.

@dovid אמר בישיבה על קברו, בלי סיסמא?:

מעניין אותי, מה יהיה פעם הבאה למען הפשטות? איך משלבים קלות לאנשים עם בטחון בשמירת הפרטים שלהם? זה הדבר שחייב להיות לך תשובה.

יש פתרון.
לדרוש סיסמא המורכבת מ 4 הספרות האחרונות של מספר הטלפון איתו הוא נרשם

[yossiz]

@dovid אמר בישיבה על קברו, בלי סיסמא?:

בהתחלה חשבתי שהוא פרסם באקסקלוסיבי

אני מבין שבקעבות זה הוספת:

body.page-topic-category-תכנות-אקסקלוסיבי .container .row .topic {
    background: #fff3f3;
}

השאלה היא למה כולנו צריכים לסבול

[חוקר]

אני לא הספקתי לעבור מקודם על כל התגובות כאן, משון מה זה נתקע לי, כנראה בגלל שהעבירו את נושא לפורום אקסקלוסיבי.
כעת אני רואה את כל השרשור
כבר לפני כמה שעות השלמתי את הפיתוח של סיסמא הנ"ל (שהתיישבתי עליו מיד אתמול לאחר החסימה הזמנית, רק שפשוט נרדמתי על ההגה..).
אני מחכה שאליהו יעבור על השינויים שעשיתי ויעדכן את הקבצים בשרת שלו..
למזלי הוא בהפסקת חשמל כבר כמה שעות..
מיד הבנתי שזה לטובתי, ס"ה כמה שיותר אבטחה הוא ודאי הכרחי, אין ספק

[חוקר]

@clickone אמר בישיבה על קברו, בלי סיסמא?:

@dovid אני מצליח לשים תז (אמנם אני בודק עם 42 וייתכן שהוא החריג את זה) ולקבל נתונים
(עריכה: התשובה הייתה כשחשבתי שאתה שואל אותי)

לא כ"כ הבנתי לא לפני העריכה ולא לאחר העריכה..
מה התכוונת לומר על 42, ומה העריכה

[חוקר]

@dovid אמר בישיבה על קברו, בלי סיסמא?:

זה בעיה אצל כמה משתמשים פה (ודוקא @חוקר פחות בקטע הזה), שהם חיים במירוץ מטורף עם פרויקטים חיים,

אם אני לא פחות במירוץ, אז מה יכול להיות יותר?
יש כאן מישהו שיש לו 48 שעות ביום?

[clickone]

@חוקר
התז שבדקתי איתה הייתה 42, שהיא חוקית.
והגבתי ל @dovid לפני שהוא ערך את ההודעה שלו (הייתי בטוח שהוא התכוון אלי)

לגבי הפיתרון של ה4 ספרות אחרונות, כעת אני חושב, שאם המאגר כבר דלף החוצה, והוא ירצה נתונים מעודכנים, אז אולי זה לא רעיון חכם.
מצד שני אתה צריך לקוות שהוא לא הולך לשחרר את המאגר החוצה ואז אולי זה יותר קל.

הסיפור של אבטחה של כזה דבר אכן מורכב, לאפשר פשטות ומצד שני ביטחון....

[חוקר]

@clickone אמר בישיבה על קברו, בלי סיסמא?:

@חוקר
לגבי הפיתרון של ה4 ספרות אחרונות, כעת אני חושב, שאם המאגר כבר דלף החוצה, והוא ירצה נתונים מעודכנים, אז אולי זה לא רעיון חכם.
מצד שני אתה צריך לקוות שהוא לא הולך לשחרר את המאגר החוצה ואז אולי זה יותר קל.

הסיפור של אבטחה של כזה דבר אכן מורכב, לאפשר פשטות ומצד שני ביטחון....

למזלי הוא לא הספיק למשוך הרבה (1/9)
אני יודע בדיוק מאיזה עד איזה מספר זהות הוא הספיק למשוך
על קצב איטי הוא לא משך, כי יש לי תיעוד עם מספור לפי כניסות של IP.
ומאידך כעת אין לי כל פיתרון לתת סיסמא ללא פרטים הקיימים במערכת, אין לי ברירה אחרת מלבד שימוש בנתון קיים. לא?
וכן מה שיש לו מספרי טלפון כבר יש לו. ואין מידע נוסף שניתן למשוך ממני..

[חוקר]

אגב.
מה שכן ראיתי, שהשרת שלי מסוגל לעבוד ב200 בקשות בשניה ברצף של כמה שעות טובות, ללא שום קושי (מקסימום 40/200 CPU, וכמעט ללא תוספת צריכת ראם)
הממוצע הרגיל לשניה אצלי ברוב שעות היום הינו בין 10-20

[chagold]

@חוקר הדיון כאן כאילו אתה בטוח שהוא לא באקסלוסיבי.

[WWW]

@dovid האשמה היא לא כ"כ על @חוקר, כי אם אני זוכר טוב הוא כבר כתב על זה בעצמו כאן בפורום בעבר שישיבה על קברו לא רצו שיהיה סיסמה, אמנם אז אולי לא היה את זה פתוח באתר רק בעמדות של נ.פ., אבל......
אז לכאורה האשמה על ראשי ישיבה על קברו.

[חוקר]

@www אמר בישיבה על קברו, בלי סיסמא?:

אז לכאורה האשמה על ראשי ישיבה על קברו.

זה לא מוריד את האשמה מהמתכנת, רק מסביר אותו.
כי אם זה לא בסדר הוא לא אמור לאפשר זאת..

[חוקר]

@chagold אמר בישיבה על קברו, בלי סיסמא?:

@חוקר הדיון כאן כאילו אתה בטוח שהוא לא באקסלוסיבי.

אני בטוח שיהיה מי שיגיד לו במידת הצורך. וד"ל
למיטב זכרוני אני לא כתבתי כאן מילה אחת שאני משער מי זה. אולי רמזים.
אך מה שכן יש לי רמז נוסף מי זה.
בכל מקרה שמרתי את כל הלוגים.

[nigun]

@חוקר
לפי מה אתה בודק האם משכו נתונים?
לפי כניסות רצופות מאותו IP לת"ז בסדר רץ?
אם כן, לא עשית הרבה כי אם למישהו יש רשימת ת"ז ספציפית שהוא צריך למשוך עליה מידע
אין לך דרך כל כך להבדיל בינו לבין כתובות IP משותפות של נטפרי שמסתמא יש מהם הרבה כניסות ליום.
(יתכן שמישהו משך נתונים לפני חצי שנה וקצת קשה לנתח לעומק כל כך הרבה מידע)

@חוקר אמר בישיבה על קברו, בלי סיסמא?:

וכן מה שיש לו מספרי טלפון כבר יש לו. ואין מידע נוסף שניתן למשוך ממני..

אא"כ מישהו רוצה לשמור על המאגר כתובות שלו עדכני (זה יותר בעיה של פרטיות מאשר אבטחה).