בדיקות חדירות ואבטחה לאוצריא

[אף אחד 3]

@י.פל. בטעות פרצתי לחשבון של @פלמנמוני (חשבון מנהל) עימו הסליחה
שלחתי אליו מייל עם הסיסמה החדשה
אגב בעמוד ספרי דיקטה חוזר גם המיילים של מי שתפס את הספר (אבל לא מוצג בממשק)
מוזמן לפנות אלי ל egozkokus1 בג'ימייל ואסייע בסגירת הפרצות

[אביחיל]

@אף-אחד-3 כתב באתר לחיפוש חברותא:

@י.פל. בטעות פרצתי לחשבון של @פלמנמוני (חשבון מנהל) עימו הסליחה

מה זה ?

כמו הסיפור על גנב שטען שבטעות הוא שדד בנק
הוא סך הכל הגיע לפתוח חשבון

[אף אחד 3]

@אביחיל
לא תכננתי שהחשבון הראשון בטבלה יהיה חשבון פעיל
חשבתי שזה יהיה חשבון בדיקות כזה שפגיעה בו לא תשפיע על הפעילות השוטפת
בפועל גיליתי חשבון שיש לו הרבה שימוש
בתכלס לקחתי קצת רחוק את ההצעה לגשת לרשימת המשתמשים...

[פלמנמוני]

@אף-אחד-3 כמובן שאני שמח שניסית, פחות שמח שהצלחת...
זה מוזר שאני הראשון במסד

[אף אחד 3]

מוזמנים לבדוק את האתר עכשיו
אין בכוונתי להכפיש ח"ו אבל תראו מה יוצא כשמסתמכים על הבינה יותר מידי (ומאתגרים אותי... - קיבלתי רשות מלאה לנסות את זה)
https://otzaria.org/

[ע"ה דכו"ע]

זה לא היה כזה קל, וזו לא היתה פירצה שנבעה מחוסר אבטחה טוטאלי, ס"ה באחד מתוך כל הנתיבים שמאפשרים העלאת קבצים היה חסר שני שורות קוד (בכל הנתיבים זה כן היה חסום).

גם הפירצה הקודמת שמצאת קשה לקרוא לה חוסר אבטחה טוטאלי, כמו נניח אם הנתיבי API היו פתוחים לכל דורש.

כלומר גם מתכנת מקצועי היה עלול לפספס את שני החורים האלו, בשביל זה יש מקצוע מיוחד שנקרא חוקר אבטחה.

[אף אחד 3]

@ע-ה-דכו-ע מחילה אבל לדעתי אתה קצת חושב כמו מתכנת vibe שאחר כך עובר על הקוד ומתקן אותו
מתכנת טוב שיכתוב את הקוד הזה מלכתחילה לא יכתוב פונקציה שניגשת למידע רגיש ולא בודקת הרשאות או פונקציה שלא מוודאת טיפוסים ואם זה קרה זאת אשמה אישית שלו
דעתי בכל אופן
ואגב יש לך בעיה ב regex של שינוי המייל - אי אפשר לשנות למייל שיש בו את האות s (באת לסנן רווחים כנראה)
(במקרה עליתי על זה כי רציתי לשנות לכתובת שתוביל לתווית במייל שלי ויש לי s בכתובת)

[חגי]

@ע-ה-דכו-ע לא לוקחים חוקר אבטחה על דברים כאלה, זה בסיסי מספיק כדי שהמתכנת יוכל לדאוג לזה.
והאמת שגם הייתי מצפה מבינה מלאכותית לא לפספס כזה דבר, אבל זה תלוי במודל.

[dovid]

@אף-אחד-3 לא מסכים איתך, מתכנת (בודד, או ללא Review) טרום הבינה מלאכותית משאיר חורים גדולים יותר.
הבעיה היא פה לא הvibe אלא כנראה דוקא כתיבה ידנית או שימוש חפוז בAI.

[ע"ה דכו"ע]

@אף-אחד-3 @חגי
ברור שמתכנת גם אמור לשים לב, ואפילו מי שמתכנת עם AI, והא ראיה שבכל שאר הנתיבים לא היתה בעיה כזו, ס"ה אמרתי שיכול לקרות כזו פשלה (בתור פשלה שהיא בהחלט אשמה אישית שלו) גם למתכנת, כך היא דעתי.

לאפוקי מאתרים שנבנים בbase44 למשל שמשום מה רואים באמת איך הרבה פעמים אין בהם טיפת אבטחה.

[צבי-ש]

פרויקט שנבנה בטלאים על טלאים, עם חלק אנשים שיודעים מה הם עושים, וחלק לא, יכול להיות שלא היה מספיק חשיבה על זה, או שלא היה כח / רצון לחשוב מחדש על הכל ביחד כשלא ברור עד הסוף מה באמת יש ומה אין.

יכול להיות כיום שאם יתנו למודלים מסויימים כיום את הקוד מקור, ויגידו להם לעשות סקירת אבטחה טובה הם יכולו למצוא שם כמה דברים שחשוב לתקן

[dovid]

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

פרויקט שנבנה בטלאים על טלאים, עם חלק אנשים שיודעים מה הם עושים, וחלק לא, יכול להיות שלא היה מספיק חשיבה על זה, או שלא היה כח / רצון לחשוב מחדש על הכל ביחד כשלא ברור עד הסוף מה באמת יש ומה אין.

הגדרת כעת את רוב המוצרים המסחריים (!) בשוק, הישראלי בוודאי.

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

יכול להיות כיום שאם יתנו למודלים מסויימים כיום את הקוד מקור, ויגידו להם לעשות סקירת אבטחה טובה הם יכולו למצוא שם כמה דברים שחשוב לתקן

כל מודל ימצא את הבעיות שמצאו פה, אבל צריך כח לדבר איתו ולהבדיל בין בעיות של ממש לפחות וגם כח לתקן לבד ולא ללכת כסומא אחריו עד שהוא דופק את כל הפרוייקט.

[צבי-ש]

@dovid כתב בבדיקות חדירות ואבטחה לאוצריא:

הגדרת כעת את רוב המוצרים המסחריים (!) בשוק, הישראלי בוודאי.

הם לא מוצרים שאספו מתכנתים ככה

@י.פל. כתב בדרוש לאוצריא: מתכנת אתרים אמיץ...:

אחד מחברי פרוייקט אוצריא, בנה אתר שיתופי לעריכת קבצים להכנסתם למאגר.
הבנייה הייתה במספר שלבים, מעבר מ..?? למונגו DB, ועוד שינויים רבים.
כרגע: השרת בvercel, הקוד בגיטהאב [פריסה אוטומטית בכל commit], ואולי עוד...
אין לי יכולת [מבחינת זמן, וגם כח] לבדוק מה הולך שם, אך כרגע אנחנו תקועים לאחר שהלה פרש, לפני שהספיק לסדר את הבלגן האיום והנורא שהוא עשה.

אנו חוששים שאם העסק יתקע, ולא יהיה ניתן לערוך ספרים, לא נצליח בהמשך להרים אותו.

אם יש לך מספיק אומץ כדי להכנס ליער של קוד זבל, קבצי md עם הוראות והסברים מזמנים שונים, ועוד ועוד, אשמח אם תפנה למייל שבפרופיל שלי, ותסייע לנו - ולכל עורכי הספרים!

חשוב לציין: הקוד נכתב ע"י AI, ברובו אם לא בכולו. אין לי מושג לגבי מידת הידע של הנ"ל.

[dovid]

@צבי-ש כתב בבדיקות חדירות ואבטחה לאוצריא:

הם לא מוצרים שאספו מתכנתים ככה

במסחרי זה אכן הולך אחרת.
קיבלו מתכנתים לעבודה, פיטרו, לקחו אחרים, התפטרו, לקחו אחרים וכולי.
בתכלס, זה בדיוק אותו דבר, עם מעלה לאוצריא שיש שמה הרבה הרבה יותר אכפתיות, אולי טיפה פחות פרוייקטורים ומנהלים שממוקדים, פחות פגישות עם כיבוד משמין, ואולי פחות שעות עבודה, כבר לא זוכר מה מעלה ומה חיסרון :).

[פלמנמוני]

@אף-אחד-3 יאלה, לפירצה הבאה
אני עדיין מחכה למייל כופר ממערכת אוצריא עצמה

[dovid]

@פלמנמוני התכוונת לתייג כנראה את @אף-אחד-3

[מד]

@dovid אולי הזמן לפתוח פה קטגוריה מיוחדת לבקשות כאלו... זה יהיה הקטגרויה הכי חם פה.
כלומר זה המקצוע היחיד שהולך לישאר לבני בשר ודם (וג"כ לא להרבה זמן..)

[ע"ה דכו"ע]

@מד כתב בבדיקות חדירות ואבטחה לאוצריא:

כלומר זה המקצוע היחיד שהולך לישאר לבני בשר ודם (וג"כ לא להרבה זמן..)

AI יודע בהחלט לבצע גם את זה (כמובן לא כמו בן אדם, כמו כל הדברים), רק שהוא לא תמיד עושה זאת בברירת מחדל.

[dovid]

@ע-ה-דכו-ע כתב בבדיקות חדירות ואבטחה לאוצריא:

AI יודע בהחלט לבצע גם את זה (כמובן לא כמו בן אדם, כמו כל הדברים)

ב95% הרבה יותר טוב מבני אדם.
אלא שנכון להיום הוא צריך נהג טוב, כשהמשתמש יותר מידי בור הוא מגביל אותו או בכלל לא מגביל אותו ואז התוצאות לא רצויות.