Vlákno názorů k článku Nebezpečné webhostingy III od Jakub R. - Nehodlám se tu nyní zabývat tématem zmiňovaným v...
-
Jakub R. (neregistrovaný)Nehodlám se tu nyní zabývat tématem zmiňovaným v článku jako spíš jeho odborností a vaším (autorovým). Pokud ostatní nemáte o tento směr diskuze zájem, neztrácejte čas s dalším čtením mého příspěvku.
Začněmež tím, že se vám představím, považuji to za slušnost, tedy .. Jakub R., student University of Huddesfield (MSc International Business Management). Se zabezpečením serverů nemám nic společného, tedy zde nehodlám hrát odborníka na danou tématiku. Tímto se vyhneme debatám o odbornosti mé osoby.
Takže o čem že to chci vlastně psát. Lupa.cz je považována za kvalitní zdroj informací a člověk by tu hledal odborné články od kvalitních autorů. Nádodou jsem dostal link na diskuzi k tomuto článku a nestačím se divit, co může autor považovat za odborný článek.
Padlo tu něco o vašem vzdělání (http://is.mendelu.cz/lide/clovek.pl?id=30740;lang=cz). Netvrdím, že člověk bez vyšokošklského vzdělání by nemohl napsat kvalitní odborný článek, nicméně takovéto vzdělání autora článku na vážnosti nedodá. O to víc bije do očí fakt, že touto dobou byste se měl nacházet v druhém semestru studia (nicméně chyba může být na straně univerzitního webe, který třeba není aktualizovaný). Dále nehodlám snižovat kvality Mendelovy zemědělské a lesnické univerzity v Brně, nicméně pokud bych se chtěl považovat za odborníka, zvolil bych si poněkud jinou Univerzitu.
I když tu hodlám napadat odbornost článku, neříkám, že nemáte pravdu. Moje odbornost mi nedovoluje zpochybňovat vámi uvedená fakta, i když o nich na základě pročtení diskuze trochu pochybuji. Ano, omluvá vás fakt, že jse studentem prvního ročníku a tedy nemáte se psaním odborných prací patrně žádné velké zkušenosti. To ale neznamená, že článek který jste napsal, je možné za odborný považovat. V odbrném článku bych čekal například nějaké reference na jinou odbornou literatu, na základě čehož byste mohl upevnit své argumenty. Je samozřejmě možné čerpat i z praxe, jelikož se problémem zabezpečení serverů zabýváte pracovně. I v tomto případě ale neznamená, že cokoli co napíšete a týká se vaší práce bude odborným nebo alepsoń kvalitním článkem. Pokud máte zkušenosti na základě kterých píšete o nebezpečnosti některých nastevích, bylo by dobré uvést vlasntí výzkum, který by "fakta" podložil. článek, tak jak je napsaný, je sunjektivním názorem autora, vhodný na nějaký blog či fórum nebo wikipedii, které nejsou považovány za kkvalitní zdroje informací.
Uvádíte, že: "tento serial se ale zabyva realitou (webhostingy), nikoliv predstavami (zde diskutujici ctenari)." Jaká je ale realita, vy ji snad znáte? Pokud ano, podělte se s námi o nějaké statistiky. Pokud zde existuje nějaká studie, která říká, jaká ja běžná praktika zabezpečování serverů, bude to něco, co by mohlo dodat vašmu článku na odbornosti. Podobně by se dalo reagovat na další vaše výroky jako: "Neomezuji se na konkretni, nybrz nejrozsirenejsi pripady a nasazeni." či "Vas server neni typickou ukazkou webhostingu, jeho analyza by byla tudiz irelevantni a zavadejici." Jak už jsem psal, nejsem v žádném přpadě odborník v oblasti a spíš než konkrétní způsoby chyb v zabezpečení by mě zajímalo, jak dalece jsou dané chyby rozšířeny.
Dále jste zmínil, že "bezpecnost je zajiste nutno brat v kontextu souvislosti, cilem tohoto serialu vsak bylo seznameni se s bezpecnosti na urovni PHP, o kterou se soucasne webhostingy silne opiraji a ctenari na to byli upozorneni, hned nekolikrat." Opět se můžeme vrátit k tomu, že pokud nebude uvedena nějaká studie o tom, jak jsou webhostingy zabezpečeny, zůstane toto tvrzení na rovni osobního názoru autora. Zároveň tím popíráte smysl článku, resp. svého chování v následné dikuzi, ze kterého plyne, že bezpečnost na rovni PHP považujete prioritní a ostatní vás nezajímá (snadno dokladovatelné např. tvrzením: "Ne, ani vyrok nektereho odbornika by nezmenil fakt, co lze na dnesnich webhostinzich provadet"). Pokud je bezpečnost nutné brát v kontextu souvislostí, pak je naprosto jedno, zda je server zabezpečený správným nastavením vámi zmiňovaných paramentrů, nebo pomocí jiného způsobu (např. na rovni OS, jak bylo uvedeno v diskuzi) a vaše tvrdohlavá obrana svého článku se tím pádem jeví naprosto zbytečně. Stavět článek na nějaké důvěryhodné statistice o zabezpečení serverů, bylo by možné se zaměřit na to, že zabezpečení na rovni PHP je kritické, jelikož není řešeno jinak (pokud by to bylo v souladu s takovou statistikou). Nic taového tu ale nemáme, což posouvá problém do rovny vašeho vlastního názoru.
V článku píšete, řeby neměl být "příručkou při provádění jakýchkoliv útoků, nebo jiným způsobem poškodit majitele webhostingových společností". To je pochopitelná součást jakéhokoli článku, který popisuje zabezpečení čehokoli. Proč se pak ale chováte, jako by to cílem článku bylo - "Vase prispevky pouze dokazuji, ze nejste schopen zneuzit spatne konfigurace vyse jmenovanych direktiv ve svuj prospech, proc se tedy ucastnite teto diskuze." Nepsal jste snad článek proto aby čtenáři byli informováni o nebezpečí, které plyne ze špatně zabezpečených serverů. Není přece důvod být arogantní k lidem proto, že nejsou hackery, kteří by chyb v zabezpečení chtěli využívat.
Co si z vašeho jednání člověk odnese (krom možné zábavy na tédto diskuzi) je fakt, že vyše osoba není žádným odborníkem. Odborník by se v první řadě nezybýval komentáři - napsat článek a nechat čtenáře, ať o něm diskutují. pokud by se přímo vás chtěl nějaký čtenář na něco zetat, patrně by vám napsal email. Když už náhodou reagujete v diskuzi, měl byste ragovat slušně a seriózně. Vyhývbat se odpovědím, které by vám neprospěly, je sice umění honé politika, nicméně odborný autor by měl umět odpovědět na otázku, případně uznat nedostatek ve své práci. Tvrdohlavě hájitsvojí práci navzdory věcným faktům, snažit se odbývat respondenty s tím, že nejsou žádnými odborníky a odmítat reakce naonymních uživatelů, to nenínic, co by vá z vás udělalo odborníka, spíše napak.
No zakončil bych vašimi vlasntími slovy ... "Smirit se s moji predstavou samozrejme nemusite, nikomu nic nenutim a uz vubec se nesnazim nikoho poucovat." Vzheldem k tomu, co jste tu psal v diksuzích si nemyslí, že nechcete nikoho poučovat, ale stejně tak se dá říci, že já chci teď poučovat vás, jak by měl vypadat odborný článek. -
Dobry den,
prvni vec, co me na Vasi reakci zarazila, je, ze povazujete server Lupa.cz za kvalitni zdroj informaci, zatimco wikipedii nikoliv. To si opravdu myslite?
Vybrat jsem si samozrejme mohl z jakekoliv skoly, ktera by byla prestizneji (VUT, Masarykova), pak bych ale rozhodne nemel prostor na svoji praci a projekty, ktere notnou davku casu vyzaduji. Mene prestizni, presto uznavana skola se tak zdala vhodnou volbou pro to, jak skonbinovat praci se studiem.
Reference na jinou odbornou literaturu jsem nenasel snad pod zadnym clankem na lupe, co Vas vede k tomu kritizovat zrovna ten muj, tedy nechapu.
Co se tyce zpochybnovani mych tvrzeni, nerekl bych, ze jsou na urovni osobniho nazoru, nybrz osobnich zkusenosti.
Nikde jsem neuvedl, ze PHP povazuji za prioritni a ostatni me nezajima, citovana veta s tim navic vubec nesouvisi. Naopak jsem nekolikrat uvedl, ze bezpecnost sdilenych serveru netkvi pouze v konfiguracnich direktivach dynamickeho jazyka, kterymi se tento serial zabyva.
ad "Pokud je bezpečnost nutné brát v kontextu souvislostí, pak je naprosto jedno, zda je server zabezpečený správným nastavením vámi zmiňovaných paramentrů, nebo pomocí jiného způsobu (např. na rovni OS, jak bylo uvedeno v diskuzi) a vaše tvrdohlavá obrana svého článku se tím pádem jeví naprosto zbytečně."
Jenze to ma maly hacek, a sice, ze soucasne webhostingy se spolehaji predevsim na zabezpeceni na urovni PHP, nikoliv OS, opet stred reality a idealnich predstav.
"Vase prispevky pouze dokazuji, ze nejste schopen zneuzit spatne konfigurace vyse jmenovanych direktiv ve svuj prospech, proc se tedy ucastnite teto diskuze"
Vytrhavate me vety z kontextu a pak se jejich vyznamu divite. Ctenar, jemuz tato reakce patrila, ocividne uvedene problematice nerozumi a svoji neschopnost si vysvetluje tim, ze dane informace jsou bezcenne. Navic jeho komentare neobsahuji zadne vecne poznamky k clanku, pouze urazlive osobni vypady. Uvedena reakce byla tudiz na miste. Nejsem arogantni k lidem z toho duvodu, ze nejsou hackeri, ale proto, ze se chovaji neslusne nebo povysene (viz pan Vrana).
Ano, komentari jsem se nemel vubec zabyvat, je to pro me pouceni do budoucna. Kazdopadne, kdyz se podivate sam na sebe, sam jste priznal, ze temto komentarum verite. Musim priznat, ze se Vam divim, kdyz uz zpochybnujete odbornost tohoto clanku.
Odpovedim se nevyhybam, pouze nereaguji na vulgarni a urazlive prispevky. Co povazujete za vecne fakty v techto komentarich? Ze jsem si mel vybrat jinou skolu? Muzete mi je prosim citovat? Ja se ze sebe nesnazim delat odbornika, pouze jsem chtel upozornit na zoufaly stav soucasnych webhostingu, kde ty nebezpecne stale prevazuji nad bezpecnymi. -
mn (neregistrovaný)Vytrhavate me vety z kontextu a pak se jejich vyznamu divite. Ctenar, jemuz tato reakce patrila, ocividne uvedene problematice nerozumi a svoji neschopnost si vysvetluje tim, ze dane informace jsou bezcenne. Navic jeho komentare neobsahuji zadne vecne poznamky k clanku, pouze urazlive osobni vypady. Uvedena reakce byla tudiz na miste. Nejsem arogantni k lidem z toho duvodu, ze nejsou hackeri, ale proto, ze se chovaji neslusne nebo povysene (viz pan Vrana).
Ctenar, jemuz ta reakce patrila, zavadel u jednoho z top 10 webhosteru minimalne 2 sluzby, ktere zasadne ovlivnily podobu jeho nabidky pro pristich par let, a take krome cele rady dalsi prace (napr. zmena systemu zalohovani, etc.) automatizoval a standardizoval podobu produktu, ktere se prodavaji klientum, coz je narozdil od Vas dost konkretni podlozeni praxi. Mozna mate spis Vy problem, ze neumite akceptovat jakoukoliv kritiku (nebo ji nerozumite) a misto toho se jako male dite hadate do morku kosti a chvilemi reagujete zcela zcestne. Bohuzel nemam tento tyden dost casu na to abych se tu s Vami mohl denne nonstop dohadovat. A ani to nema vyznam. Vy se tu uspesne shazujete sam, a kupodivu to jeste stupnujete. Mozna bych Vam mel pogratulovat.
-
mn (neregistrovaný)Vemte si 10 nejvetsich webhosteru v CR, otestujte si jejich bezpecnost, udelejte z toho konecne poradny clanek, a ja Vam pak budu rad oponovat. Takto to delat nebudu, Vam neduveruji a nepovazuji za profesionalni do takto vypjate diskuse zatahovat takovymto zpusobem jeste nejakou spolecnost, i kdyz pro ni jiz nedelam.
A ma reakce byla obranna, neminim tuto polemiku s nejak dale rozvijet. K clankum jako takovym jsem se +- vyjadril - to ze jsou prvni 2 dily otresne, treti o neco min otresny, obsahuji celou radu zavedejicich a nesmyslnych informaci a Vase poneti o produkcni praxi je naprosto mizive, prestoze neustale argumentujete ze "podkladate realitou" (mozna tak ic.cz realitou apod.), tak za tim si stojim i nadale. A ocividne nejsem ani zdaleka sam. At se s Vami dal pretahuji jini... -
mn (neregistrovaný)Prijde mi to zcela fer, protoze Vy tu vystupujete za sebe, se svym clankem - kdyz budu psat takovyto clanek sam, nebudu mit problem k sobe uvest reference, o ktere se mohu oprit. Navic Vy jste napsal clanek, ktery vedl k takoveto diskusi a neposkytl nikde zadne konkretni podklady (statistiky, konkretni hostery, atd.).
Coz me mimochodem privadi k docela kuriozni zalezitosti - jeste jsem se nesetkal s tim, ze by si clovek nemohl dat do referenci klienta - osobne mam podepsanou mlcenlivost s celou radou spolecnosti, prip. nejake smlouvy na konkretni sluzby ktere mlcenlivost obsahuji v mensi ci vetsi mire, a vzdy je to bud tak ze mohu pouzit konkretni spolecnost jako referenci (resp. bud je tam vyjimka na mlcenlivost stran existence smlouvy, nebo tam vubec neni tato vec zahrnuta a automaticky s tim neni problem...), anebo pokud delam pod nejakou spolecnosti pro jinou spolecnost tak sice nemohu verejne vystupovat jako dodavatel pro koncovou firmu, ale pro sveho zadavatele ano. Jinymi slovy - neverim, ze mate podepsane takove mlcenlivosti, ktere by Vam neumoznily pouzit sve klienty jako reference. Ostatne mi to prijde i zcela nesmyslne... A tedy take jsem se nikdy nesetkal s tim, ze by zadavatel explicitne chtel, abych ho utajoval. Ale treba je to jinde bezna praxe, co ja vim... :)) -
Nebot jsme se s redakci dohodli na tomto univerzalnejsim zpusobu, kdy si budou schopni uzivatele zkontrolovat stupen zabezpeceni na urovni PHP sami.
Druhym odstavcem pouze dokladate naprostou neznalost penetracnich testu. Kdyz uz neverite mne, najdete si nekoho jineho, kdo penetracni testy provadi a on Vam to s radosti vysvetli. Zadnou mlcenlivost nepodepisuji, jednoduse se zeptate, zda je zakaznik ochoten figurovat v referencich a pokud si tak nepreje, je slusnosti jeho prani respektovat, byt by na to nemel pravo. Ono je snazsi presvedcit spolecnost o reference, kdyz jim dodavate okurky, nez kdyz se Vase spoluprace tyka tak citliveho tematu, jako je bezpecnost. -
mn (neregistrovaný)To zni zcela jiste jako hrozna security, ale ono to tak nebude. Mam info jak z hlediska zadavatele pentestu, tak i dodavatele, a muzu Vam rict ze ani jedno z toho nejsou garazovky a v techto relacich to nikdo neresil. ;) Navic u toho dodavatele, coz je opravdu zavedena firma na CZ trhu, jeste dochazi k systematickemu verejnemu _rozsirovani_ referenci, a je to i logicke. A to, ze nekdo vi, ze jste pro nekoho udajne delal nejake penetracni testy, odberatele nijak neohrozuje. Proto jsem osobne presvedcen, ze poradne kecate. Ledaze by se za Vas klienti stydeli.
-
mn (neregistrovaný)Tak ja to presvedceni pouze vyslovil, zeano ;) Myslim, ze obrazek o Vas si tu uz udelali lidi dostatecny...
Stran nazvu spolecnosti jsem se vyjadril myslim dostatecne jasne. (Ono je to tedy navic mimochodem ze 2 ruznych pripadu - z hlediska zadavatele to beru dle sveho soucasneho zamestnavatele ktery to resil kvuli nejakemu nezavislemu auditu nami vyvijeneho SW; a pokud jde o dodavatele, tam jde o jiny pripad. A jinak verim, ze se tu najde vice ctenaru, kteri maji podobne realne zkusenosti.) -
K cemu Vam tato informace bude dobra? Ve vetsine pripadech jde o firemni informacni systemy a verejne prezenace, v mensi mire pak verejne aplikace/e-shopy a osobni weby/blogy tvori minoritni klientelu (to jsou spise znamosti). S portaly verejne spravy jsem nikdy zadnou spolupraci nemel a knihy navstev pouze pokud mate na mysli forum, ktere je soucasti jine prezentace, samostatne nikoliv.
-
Aleš (neregistrovaný)K cemu Vam tato informace bude dobra?
Tutu otázku jste si měl položit vy sám po napsání článku?
Vrátím se k odpovědi na otázku... k ničemu (stejně jako článek). Jde sice o zajímavé téma, ale vaše informace jsou, co se týká výběru hostignu, zcela bezpředmětné (jak ukázala diskuze). Lepší hosting od horšího podle informací v článku nepoznám. -
anonymníAni ne. Abych to vzal analogicky (ostatne vase analogie se zemedelcem a jeho bramborovym polem v tomto dile ve mne zanechala hluboky dojem), pekar nemusi pect zrovna rohliky a pritom porad vi, jak to v oboru pekarstvi probiha... P.S.: Rad bych, aby byla zodpovezena (a nezapadla) tato otazka zde v diskuzi
-
mn (neregistrovaný)No rozhodne bych nechtel delat penetracni testy od nekoho kdo ani nema zivnostak; a v IT delam nejakou dobu... Ano, vim ze to tak nekteri lide provozuji, a take vim co to je za lidi a na jake typy projektu se omezuji, resp. kdo je vubec ochoten s nimi nejak vice spolupracovat a na cem... :)) Velice oblibene jsou mimochodem podobne praxe u garazovych hostingu.
-
anonymníPodobnou logikou (a gramatikou) bych mohl podotknout:
Zakaznici maji tolik rozumu, ze jsou pro ne rozhodujici vysledky (tj. bezici web), nikoliv to, zda je nebo neni ten hosting bezpecny.
Problem NENI v tom, ze by Vam nikdo neveril, ze nejste schopen udelat nejaky utok. Nicmene pokud nemate reference, tak nikdo nevi, zda na to vynalozite nejake intelektualni usili. Pustit par skriptu umi kazdy. -
Přezdívka (neregistrovaný)Dvě poznámky:
Pokud mi někdo bude dělat "bezpečnostní audit" serveru, tak s ním chci mít uzavřenou smlouvu (pokud nejde o kamaráda a odměnou není "flašku" nebo třeba rok webhostingu zdarma). Pokud mám s někým smlouvu, pak nemůže pracovat načerno a tudíž je pro mě výhodnější dostávat faktury a cenu si dát do nákladů. Uzavírat smlouvy s "normálními zaměstnanci" (ať už v jakékoliv podobě) je vždy dražší (daně, administrativa) než spolupracovat s podnikatelem (firmou nebo živnostníkem).
Vím o jednom webhostingu, se kterým jste spolupracoval. Před Vaší prací byl server relativně bezproblémový, byť s ne zcela správně zabezpečeným PHP. Po Vašem "auditu" začali správci (nebo Vy) bez upozornění během jediného dne drasticky měnit konfiguraci, především vypínat a zakazovat různé funkce a nastavení, čímž způsobili nedostupnost mnoha stránek. Nejspíš jste jim zapomněl říci, že se Apache při načítání souborů .htaccess kousne s chybou "Internal server error" (pro celý adresář a podadresáře) pokud v něm najde například:
- ifmodule mod_php5.c>
php_value register_globals 0
-/ifmodule>
(Původně bylo na webhostingu zapnuto, čili v rámci bezpečnosti alespoň mých skriptů je logické si toto "vylepšení" vypnout).
Poznámka k Vaší volbě školy:
Pracovat se dá i při studiu mnohem prestižnějších (záměrně nepíšu lepších) škol - jaké jsou přesně projekty, kvůli kterým obětujete vzdělání? -
Aleš (neregistrovaný)Mohu se zeptat odkud máte informace o podmínkách pro podnikatele v naší zemi?
Jako podnikatel s vámi musím hrubě nesouhlasit, neboť podnikání (zvláště pak při studiu) je v naší zemi velmi výhodné. A jak jste sám napsal, pořídit si živnostenské oprávnění je otázka 1000,- korun.
Ač jsem i přesvědčen, že už samotný ŽL dává jeho držiteli větší důvěru (lepší než nemít nic), tak samozřejmě je to pro klienty výhodnější, než uzavírat smlouvu o dílo. -
ms (neregistrovaný)Kde jsem vzal informace o podminkach podnikani v nasi zemi.. no jsou to spise zkusenosti nez informace... a prave pro to ze stoji jen 1000 kc a v tomto oboru je to zivnost volna tudiz duveryhodnost nulova...mozna pri studiu to nejake vyhody ma to nemohu posoudit ale studovat se neda vecne a muzu vam rict a nevim jak dlouho podnikate, ze vyhodne podnikani vypada trochu jinak pokud chcete dodrzovat pravidla stanovena s podnikanim..ale to uz by bylo na jinou a delsi diskuzi ...
-
Aleš (neregistrovaný)Souhlasím, že by podmínky mohly být lepší, ale nejsou zase tak hrozné. Je mi líto, že máte špatné zkušenosti, ale podnikání není pro každého. Obvykle je větší chyba na straně jednotlivce než systému (tím samozřejmě nemluvím konkrétně o vás, jen se vracím k unáhlenému výroku, že podnikat začne jenom blázen).
I když získání živnostenského listu je opravdu jednoduché, přesto to má pro klienty nesporné výhody (důvěryhodnost můžeme pro tuto chvíli pominout).
Vzhledem k tomu, že autor je student, po celé dva roky, kdy se věnuje této činnosti (která ho prý živí), studentem patrně byl a do ukončení studia mu ještě dva roky chybí, je pro něho pořízení živnostenského listu opravdu výhodné a je podivné, že jej zatím nemá (přece tu psal, že ho ta práce živí).
o podnikání při studiu:
http://destil.bloguje.cz/566671-poridit-si-zivnostensky-list-je-pro-studenta-jednoduche-a-vyhodne.php -
ms (neregistrovaný)clanek je sice zajimavy ale jiz asi rok stary a nedokazu rici co plati a co uz ne.. vyrok to unahleny nebyl a dokazuje to vase veta "podnikani neni pro kazdeho"... jestil mi teda rozumite :-)
a osobne si myslim ze i pri studiu by byla vyhodnejsi pro autora ta dohoda a to i proto, ze dela pro jednoho cloveka, ktery ten ZL ma a ten clovek to fakturuje zakaznikum (jestli jsem to teda dobre pochopil)...
moje zkusenosti nejsou spatne tak, ze bych prestal podnikat, jen kdyz se nad celou situaci zamyslim cim dal vice do hloubky tak prave ty podminky a ten system jsou spatne nastaveny a to podnikam cca 5 let a doufam, ze dalsi vyvoj bude jen pro zlepseni podminek :-)
