Vlákno názorů k článku Vyděrači útočí na MongoDB, počet napadených serverů přesáhl 32 000 od GA - Tak jako pardon, ale když je někdo magor...
-
Petr M (neregistrovaný)
Ne. Výchozí stav by měl být takový, že kdo vědomě implementuje backdoor tohoto typu (zadání requirementu nebo commit do GITU/SVN z vlastní iniciativy), by měl platit uživatelům všechny škody, co tím způsobí. Bez pardonu. Výkupný, ušlý zisky, odškodný za zneužití údajů,... Jinak se s bezpečností neposuneme dál.
-
Petr (neregistrovaný)
Někdo naprogramuje databázi, dá ji zadarmo navíc jako opensource včetně vytvoření dokumentace a všeho a měl by platit jinému, který to nainstaluje na veřejnou ip, nezvolí si ani heslo a dá tam ostrá data (bez zálohy)? Mongo neinstalují BFU, kteří potřebují "pozor může být horké" i na hrnku s čajem. Ale vy možná požadujete odškodnění pokud vám někdo uvaří čaj a nezajistí, aby nešel vypít, dokud neschladne.
-
NULL (neregistrovaný)
To je pravda, na druhou stranu je opravdu na zamyšlenou, jestli je opravdu nezbytné vydávat SW s takovým nastavením a případně když už, tak tam dát aspoň varování, protože člověk opravdu může něco přehlídnout a nejsem si opravdu jistý, jestli jestli všech těch 32k jsou idioti - to je trošku na zamyšlenou - nevidím jediný důvod proč dávat do def. konfigurace nějakou potenciální díru, ale naopak vidím důvodů spoustu proč to nedělat
-
Petr M (neregistrovaný)
Předpokládám, že takovou DB nepíše úplná lama, ani když je to zadarmo. Tak snad má mít tucha o základních pravidlech bezpečnosti, jako třeba "ven pošli jenom to, co uživatel nutně potřebuje", "ověřuj, s kým komunikuješ", ...
Btw, podle CZ legislativy právně odpovídáš i za špatnou radu, pokud radíš z pozice odborníka. Takže nechápu, proč by autor SW neměl mít jako odborník zodpovědnost za to, že udělá celý řetězec chyb:
- povolen admin přístup jako opt-out
- admin přístup bez hesla a ověření (např. certifikátem)
- nedostatečná dokumentace téhle hypercool featuryA sorry, pokud v dokumentaci k produktu není psáno nic o tom, že je backdoor na tom a tom portu na admin úrovni a ještě bez hesla, tak je to už začíná smrdět nejenom zodpovědností za škodu, ale i kriminálem.
-
Tak snad má mít tucha o základních pravidlech bezpečnosti
To zcela nepochybně, ale ta potucha o bezpečnosti by se měla týkat pouze produktu samotného a nikoliv všeho okolo.
To, že něco poslouchá na nějakém portu ještě vůbec neznamená, že admin je povinen ten port vystavit do světa. Všechny síťové služby poslouchají na nějakém portu. To není backdoor, to je vlastnost. ;-)
Btw, podle CZ legislativy právně odpovídáš i za špatnou radu, pokud radíš z pozice odborníka.
Jenže autor toho SW nikomu žádnou radu nedal. Defaultní konfigurace není rada, je to nastavení pro jednu konkrétní situaci, která může být perfektně validní. V jiné situaci validní být nemusí. A kdyby bylo defaultní zabezpečení udělané maximálně (localhost only, ssl crt), tak by se stejně na nějakém fóru okamžitě objevila rada, jak to nastavit pro přístup odkudkoliv - když se to přežene, tak to všichni budou vypínat, tak jako se vžilo pravidlo vypnout selinux).
Bezpečnost přece nelze stavět na "defaultním" nastavení balíčků.
Na druhou stranu je pravdou, že dřív byla slušnost chybu nejdříve oznámit a až potom zneužít. Jenže možná právě tato zkušenost donutí ty adminy si lépe nastavit i další služby.
-
n (neregistrovaný)
Ty jsi jeden z tech postizenych hnupu? Vypada to tak :)
Sorry, ale za demenci se plati, kdyz ses tak tupej, ze nechavas nahodne otevrene porty do sveta, tak nemas delat admina.
Kvuli takovym hlupakum jako ty se "musi psat na mikrovlnky, ze nejsou urcene pro suseni kocek". Radsi uz nic nepis, a nejlip nic nedelej. Z toho co pises vypada, ze min skody nadelas, kdyz budes pobirat davky a radsi na nic nesahat.
ČLÁNKY DO MAILU