Forum Astromaniak - problemy, wnioski, zapytania

[Adam_Jesion]

Wiem, że żartujecie, ale komuś może się zrobić przykro. Nie przesadzajmy. Ja na nikim nie wywieram i nie wywierałem żadnej presji. Astromaniak to całkowicie niezależny byt. Wszystko to inicjatywa Bogdana (i pewnie Domka, w końcu też jest adminem). Gdyby nie mieli dobrej woli, to przecież nic by z tego nie było. Ja jedynie podzieliłem się moimi przemyśleniami i doświadczeniami. Podejrzewam, że chłopaki w tym czasie odbyli setki takich rozmów jak ze mną, więc może być i tak, że mój wkład był zerowy.

Nie o to chodzi, kto i jak, ważne, że jest dobrze.

[jutomi]

2 godziny temu, Adam_Jesion napisał:

A nas adminów pilnujcie, żeby nam nie odwalało. Macie wpływ, nawet jak czasami go bezpośrednio nie odczuwacie. Nie odpuszczajcie. 

Aż się prosisz o nowy wątek "Kontrowersje ze starą administracją Astropolis". 

Edytowane 21 Marca 2019 przez jutomi

[Adam_Jesion]

2 godziny temu, jutomi napisał:

Aż się prosisz o nowy wątek "Kontrowersje ze starą administracją Astropolis". 

Nie krępuj się. Nie ma nic lepszego dla właściciela, niż wiedza, co źle robi - bez cienia ironii. 

[DominikRD]

No i rozpętała się kolejna burza. Tym razem chodzi o wiadomości prywatne.

 

Jak to w końcu jest? Czy administrator ma możliwość czytania PW innych użytkowników?

[Paether]

Tak. Jest taka techniczna możliwość dlatego tutaj musi być duże zaufanie do administracji, że z tej możliwości nie skorzysta bez wiedzy i zgody uczestników rozmowy.

[krzysiek81]

Nie ma takiego czegoś jak zaufanie do administracji, tym bardziej jak jest możliwość czytania cudzych prywatnych wiadomości.To jest tak jak byś chciał jeździć bezpiecznie ścigaczem mając do dyspozycji 130 KM, prędzej czy później będziesz chciał sprawdzić pełnię możliwości motocyklu, taka jest smutna prawda

[jgoluch]

@DominikRD Na silniku phpbb (w starych wersjach) dostęp do PW jest możliwy tylko z poziomu selectów na DB.
To że nowi admini zostali powołani nie oznacza, że mają dostęp bezpośrednio do bazy.
A nawet jak mają, to też nie znaczy, że od razu będą przeglądać PW ~trochę zaufania, za czasów gdy Janusz prowadził forum nikt się o to nie oburzał.

[DominikRD]

No... ładnie... :/

[Paether]

3 minuty temu, krzysiek81 napisał:

To jest tak jak byś chciał jeździć bezpiecznie ścigaczem mając do dyspozycji 130 KM, prędzej czy później będziesz chciał sprawdzić pełnię możliwości motocyklu, taka jest smutna prawda

Nie w przypadku gdy ktoś inny jedzie ze mną i jestem odpowiedzialny za bezpieczeństwo tej osoby...

[krzysiek81]

Większość osób była przekonana że administracja nie ma możliwości przeglądania PW, trochę zostali za późno uświadomieni. Na resztę pytań niech sobie każdy odpowie sam, dla mnie wszystko jasne

[jgoluch]

Administrator (rola na forum) =/= Administrator DB

Z tego co jest napisane na AM, to utrzymaniem zajmuje się zewnętrzny informatyk. Nie ma co siać fermentu...

[Adam_Jesion]

44 minuty temu, DominikRD napisał:

No i rozpętała się kolejna burza. Tym razem chodzi o wiadomości prywatne.

 

Jak to w końcu jest? Czy administrator ma możliwość czytania PW innych użytkowników?

Sprawa generalnie dotyczy głośnego RODO. Tak bardzo się baliśmy i płakaliśmy, że rządy nas do czegoś zmuszają, a suma sumarum okazało się, że to bardzo ważna i pożyteczna sprawa. Mocno się swego czasu w temacie wykształciłem i ostatecznie zatrudniłem kancelarię prawniczą do stworzenia polityki prywatności i procedur ochrony danych osobowych (bo o to generalnie pytasz).

RODO zmusiło właścicieli internetowych platform do wprowadzenia takich procedur (pod potencjalnymi srogimi karami i odsiadką w wielu kwestiach). Postrzegam to jako bardzo dobre zjawisko, bo bardzo nie podoba mi się, jak mocno lekceważymy sprawy danych wrażliwych w internecie. Niby wydaje się, że to nie są rozmowy telefoniczne, konta w banku, czy SMSy. Ale prawda jest taka, że w tej chwili zostawiamy nierzadko dużo bardziej krytyczne dane na takich forach, chatach, czy innych portalach społecznościowych, niż w starych kanałach komunikacji (SMS np.). Dlatego ustawodawca chce doprowadzić do tego, żeby właściciele (i administratorzy) byli świadomi swojej odpowiedzialności - dodam, że znacznej.

Najważniejsze kwestie w punktach:
1. Podstawową kwestią ochrony danych osobowych jest administrator. Musi być bardzo jasno określone kim on jest (wraz z kontaktem do niego), w jakim zakresie przetwarza twoje dane i gdzie je dalej ew. przekazuje.

2. Musi być także powiedziane, jakie są procedury - także odwoławcze, oraz co robi administrator, żeby te dane chronić (musi kontrolować dostępy).

3. Musi je w jasny sposób upublicznić (polityka prywatności, regulamin)

To najważniejsze kwestie wiążące się z twoim pytaniem. Kwestia jest wg mnie poważna, choć publicznie bagatelizowana. A dlaczego to jest takie ważne? Bo administrator odpowiada prawnie za bezpieczeństwo twoich danych z prostej przyczyny - ma dostęp do danych i decyduje autorytatywnie, kto poza nim je dostanie lub jak je wykorzysta. Dotyczy to tak samo for internetowych, jak i innych technologii komunikacji. Większe organizacje muszą dodatkowo, poza administratorem, zatrudniać IODO (inspektora danych) i to w zasadzie jedyna różnica. Tak już jest z technologiami cyfrowymi, że osoba mająca dostęp do bazy danych może wszystko (da się nawet rozkodować zaszyfrowane hasła - jeśli się potrafi).

Z tego powodu istotne jest to, żebyś wiedział, kto, jak i kogo w razie czego pozwać, jeżeli wykroczy poza zgody, które udzieliłeś akceptując regulamin.

W jaki sposób te sprawy traktuje Astropolis? Masz je opisane w szczegółowej polityce i regulaminie: 
https://astropolis.pl/privacy/

https://astropolis.pl/guidelines/

 

A proceduralnie (w uproszczeniu):

1. Astropolis nie ma w systemie administracji żadnego modułu umożliwiającego czytanie wiadomości prywatnych. Uważam to za ekstremalnie szkodliwe i nieetyczne. W starych silnikach były takie możliwości out of the box (kiedyś generalnie ochronę danych wszyscy mieli gdzieś).
2. Astropolis ogranicza dostęp do modułów pozwalających odczytywać dane z bazy także administratorom (np. Paether, który jest adminem nie ma możliwości dostępu do modułów SQL w jakiejkolwiek formie). Dostępu też nie mają żadni moderatorzy - jest to technicznie niemożliwe.
3. Dostęp do bazy ma właściciel (oczywista oczywistość) oraz technicy serwerowni (dlatego mocno zwracam uwagę na procedury w firmach, które z nami współpracują i podpisujemy stosowne umowy).

Jak widzisz, właściciele i administratorzy (jeżeli mają dostępy) są tu trochę takimi "bogami". To trochę więcej, niż zwykłe zaufanie, dlatego osobiście cieszę się, że UE nałożyła na nas odpowiedzialność karną. Jeżeli nie ufasz danemu dostawcy usług cyfrowych to proponuję nie zostawiać u niego żadnych krytycznych danych (które mogą zostać wykorzystane przeciwko tobie). Technicznie rzecz biorąc mogą zrobić absolutnie wszystko - kwestia ich moralności, etyki i dojrzałości.

Nie wiem, czy usatysfakcjonuje ciebie moja odpowiedź. Takie są fakty.

[Adam_Jesion]

21 minut temu, krzysiek81 napisał:

Nie ma takiego czegoś jak zaufanie do administracji, tym bardziej jak jest możliwość czytania cudzych prywatnych wiadomości.To jest tak jak byś chciał jeździć bezpiecznie ścigaczem mając do dyspozycji 130 KM, prędzej czy później będziesz chciał sprawdzić pełnię możliwości motocyklu, taka jest smutna prawda

Wg mnie podchodzenie do takich spraw w ogóle w kontekście "zaufania" nie ma sensu. Od tego jest prawo i odpowiedzialność. Dlatego tak ważne jest posiadanie spisanych procedur i danych, kto za co odpowiada. 

Ostatnio przeczytałem tę książkę (BARDZO POLECAM, ma być wkrótce PL wersja) i coraz bardziej staję się ortodoksem uważającym, że jedyne co mamy cennego w internecie, to nasze dane:
https://www.theguardian.com/books/2019/jan/06/surveillance-valley-by-yasha-levine-review

 

[Adam_Jesion]

18 minut temu, krzysiek81 napisał:

Większość osób była przekonana że administracja nie ma możliwości przeglądania PW, trochę zostali za późno uświadomieni. Na resztę pytań niech sobie każdy odpowie sam, dla mnie wszystko jasne

Ale jak możesz być nieświadomy? Przecież ktoś, kto ma dostęp do systemu, do bazy danych, etc. w swoim komputerze, do tego jest programistą, to przecież wiadomo, że może wszystko. Tak samo jak operator komórkowy może wszystko (np. nagrywa wszystkie twoje rozmowy, archwizuje przez jakiś czas SMSy, etc.).

Trzeba definitywnie umieć rozgraniczać dwie różne kwestie: prawną i techniczną. Choć z drugiej strony nie wiem, czy gdziekolwiek istnieje prawo zabraniające przeglądanie danych właścicielowi usług (forum, internet, operator komórkowy, facebook, etc.). Raczej określa się zakres wykorzystania tych danych. Jasne przecież jest, że programista pracujących na tych danych może je widzieć, tak samo, jak pracownik banku widzi twoje dane osobowe, czy firma IT, która dba o ten system (kwestia dostępów i odpowiedzialności).

Więc trochę nie wiem, co ciebie tak zadziwiło w kwestii możliwości technicznych?

[krzysiek81]

Mnie akurat to nie dziwi bo podejrzewałem że tak jest, teraz tylko upewniłem się w tym przekonaniu. 

[Adam_Jesion]

2 minuty temu, krzysiek81 napisał:

Mnie akurat to nie dziwi bo podejrzewałem że tak jest, teraz tylko upewniłem się w tym przekonaniu. 

Wystarczy przecież przeczytać politykę prywatności i regulamin, które posiadają i z mocy prawa muszą posiadać wszystkie serwisy internetowe. Nawet nie trzeba pytać.

[lkosz]

Godzinę temu, Adam_Jesion napisał:

Najważniejsze kwestie w punktach:

dodałbym do tego jeszcze trzy:

4. zasada minimalizacji danych i minimalizacji dostępu do nich - należy zbierać i przetwarzać tylko tyle danych ile jest konieczne, tak długo jak to jest konieczne (dlatego m.in. w Play robiąc skan dowodu zasłaniają niepotrzebne elementy dokumentu, oczywiście po wielkiej awanturze środowiska wywołanej z tym operatorem) i dostęp mają mieć tylko niezbędne osoby, nie każdy w firmie

5. każdy konsument/użytkownik ma prawo dowiedzieć się kto i kiedy miał dostęp do jego danych, administrator ma obowiązek rejestrowania każdego dostępu

6. przypadki wycieków lub naruszeń RODO/GPDR należy zgłaszać do UODO

 

@krzysiek81 @DominikRD Może kilka zdań wyjaśnienia jak działają serwisy internetowe. Każdy, kto ma dostęp do maszyny, na której pracuje baza danych, ma dostęp do danych. Od admina forum, przez zespół zarządzający serwerownią hostującą forum, po panie sprzątające. KAŻDY. Każda z tych osób może to przeczytać, a nawet zmodyfikować. Dlatego serwerownie mają monitoring wizyjny, dostęp fizyczny jest limitowany, praca maszyn jest monitorowana automatami, zbierane są metryki i na końcu są logi z pracy adminów. Reszta opiera się na umowach i mniejszym lub większym zaufaniu, które należy sprawdzać, ale 100% pewności nikt nigdzie nie ma. Nawet w bankach.

W internecie nie ma czegoś takiego jak prywatność. Nawet ruch wychodzący z waszych domów jest rejestrowany i przechowywany. Operatorzy komórkowi muszą przechowywać dane dot. połączeń kilka lat. To, że forum jest wystawione przez HTTPS, nie oznacza, że w bazie wszystko jest zapisywane magicznym szyfrem. Wyłącznie komunikacja serwer-przeglądarka jest szyfrowana. Jeśli chcecie zachować wysoką poufność komunikacji, należy wymieniać ze sobą wyłącznie szyfrowane wiadomości, a metoda szyfrowania po obu stronach musi cyklicznie przechodzić audyty bezpieczeństwa, bo co rusz jakieś protokoły są łamane. Forum z technicznej strony nie jest w stanie zapewnić wysokiej poufności przy jednoczesnej wysokiej wygodzie. W ogóle pełnej poufności komunikacji nie ma, i póki co się na to nie zanosi. Każde dane, prędzej czy później, mogą wyciec, i należy założyć że tak się stanie. Tak jak celebrytkom powyciekały ich cycki z chmury Applea, dane obywateli z KNFu, z bazy PESEL itd. Dlatego jeśli nie chcecie, żeby ktoś coś przeczytał, nie wysyłajcie tego na żadne serwery, ani inne maszyny kiedykolwiek podłączone do internetu. Nie ma innej metody.

 

Forum, jeśli chodzi o polityki bezpieczeństwa, stoi na dość wysokim poziomie (o ile są realizowane). Z resztą sam fakt, że takie dokumenty są opublikowane już świadczy o poważnym podejściu. I nikt mi nie zapłacił, żebym to napisał. Także przestańcie panikować. Komputery nie działają na wróżki i jednorożce, a kryptografia to nie jest magia. Każdy, lub prawie każdy algorytm szyfrujący prędzej czy później zostanie złamany. A to, czego nie ma sensu szyfrować, się nie szyfruje. Jak na przykład prywatne wiadomości. Z drugiej strony o wiele łatwiej podejść użytkownika i przekonać was do instalacji jakiegoś syfu wykradającego dane i nieszyfrowany ruch sieciowy z waszego kompa. Nie trzeba czekać na komputery kwantowe ani generować wielkich tablic tęczowych.

 

Co do tematu astromaniaka - jeśli jest spora grupa osób którym się administracja nie podoba, to jest bardzo dobre wyjście, które bardzo często robi się w świecie opensource. Zabrać manele, zrobić forum obok, i tam działać. Tak utarto nosa niejednemu adminowi/firmie. Choćby casus oracle i open office, openwrt i LEDE. W ten sposób szybciutko sobie admin przypomni, że to społeczność jest wartością

Edytowane 22 Marca 2019 przez lkosz

[Łukasz_M]

W zasadzie to nie tylko administrator ma dostęp do tych wszystkich danych wrażliwych. Ma też firma u której wykupiono miejsce na serwerze. 

 

[Tomek96]

1 godzinę temu, Adam_Jesion napisał:

Tak już jest z technologiami cyfrowymi, że osoba mająca dostęp do bazy danych może wszystko (da się nawet rozkodować zaszyfrowane hasła - jeśli się potrafi).

Przepraszam, że co? Chyba standardem jest używanie funkcji skrótu (hash np. SHA-256) i nie wydaje mi się, aby przy dobrze zaprojektowanej architekturze mając tylko bazę danych można było wyłapać hasło. Oczywiście jeśli mamy dostęp do backendu lub frontu i trochę zmienimy jako programista kod, to oczywiście można zapisywać hasła... Ale nie wydaje mi się, aby można było metodą brutal force rozwiązać 2^256 kombinacji w rozsądnym czasie

 

Pozdrawiam

Tomek

[Adam_Jesion]

46 minut temu, lkosz napisał:

Z drugiej strony o wiele łatwiej podejść użytkownika i przekonać was do instalacji jakiegoś syfu wykradającego dane i nieszyfrowany ruch sieciowy z waszego kompa. Nie trzeba czekać na komputery kwantowe ani generować wielkich tablic tęczowych.

Święte słowa. Bardzo, bardzo rzadko zdarza się, żeby jakaś krzywda użytkownikowi stała się przez złą wolę wydawcy usługi internetowej (nawet masowe wycieki danych to nie jest coś bardzo popularnego, choć oczywiście spektakularne). Zdecydowanie częściej krzywda dzieje się z udziałem innych użytkowników (socjo-hacking, itp.). Tak więc zamiast skupiać się na procesach bezpieczeństwa na forach wypadałoby się przyjrzeć swoim prywatnym zasadom, bo prawda jest taka, że nawet najgorzej zabezpieczony serwis w internecie prawdopodobnie jest bardziej bezpieczny od naszych prywatnych urządzeń i sieci. Banalny przykład: badania pokazują, że nadal większość ludzi nie ma hasła na swoich smartfonach (albo ma typu "1111"), a jednocześnie ma tam aktywne usługi w chmurze (gmail, etc.). W zasadzie przechwycenie takiej komórki pozwala przejąć totalnie tożsamość cyfrową (i nie tylko) takiej ofiary - włącznie z kontem bankowym, komórkowym, etc. Albo wspomniane otwieranie "fajnych PDFów, albo super fotek od koleżanki" z maila. Nagminne. Ciekawe, w ilu waszych komputerach i smartfonach aktywnie działają aplikacje, o których nawet nie macie pojęcia.

Sądzę, że piszemy to nie po to, żeby zrzucać odpowiedzialność, ale żeby uświadamiać. A tego nigdy za wiele.

PS. Na marginesie - ekstremalnie ciekawa kwestia. Od kilku lat mocno się tym interesuję. Polecam.

[Adam_Jesion]

45 minut temu, Tomek96 napisał:

Przepraszam, że co? Chyba standardem jest używanie funkcji skrótu (hash np. SHA-256) i nie wydaje mi się, aby przy dobrze zaprojektowanej architekturze mając tylko bazę danych można było wyłapać hasło. Oczywiście jeśli mamy dostęp do backendu lub frontu i trochę zmienimy jako programista kod, to oczywiście można zapisywać hasła... Ale nie wydaje mi się, aby można było metodą brutal force rozwiązać 2^256 kombinacji w rozsądnym czasie

 

Pozdrawiam

Tomek

Może nie sugerujmy publicznie sposobów Oczywiście, że dużo taniej i prościej robi się to bez użycia dużych zasobów pod brute-force. Ale ja już nic nie piszę. Nie znam się  

PS. Zdecydowana większość z nas używa bardzo generycznych. https://www.esquire.com/lifestyle/a25570880/top-passwords-2018/

[Adam_Jesion]

12 najpopularniejsze hasło na świecie: admin

 

Cholera, skąd oni znają moje hasło do konta admina na Astropolis? 

[Adam_Jesion]

Godzinę temu, Łukasz_M napisał:

W zasadzie to nie tylko administrator ma dostęp do tych wszystkich danych wrażliwych. Ma też firma u której wykupiono miejsce na serwerze. 

I tak i nie. To znaczy oczywiście ma techniczne możliwości, żeby tego dokonać, ale jednak będzie to już nieuprawnione "wtargnięcie". Firma hostingowa nie ma prawa do tych danych i nie jest ich administratorem w rozumieniu formalno-prawnym. Oczywiście występuje tu jako podmiot przetwarzający te dane (już nawet sam backup jest przetwarzaniem danych) i robie to na warunkach zapisanych w umowie powierzenia przetwarzania danych osobowych.

[lkosz]

Godzinę temu, Tomek96 napisał:

Przepraszam, że co? Chyba standardem jest używanie funkcji skrótu (hash np. SHA-256) i nie wydaje mi się, aby przy dobrze zaprojektowanej architekturze mając tylko bazę danych można było wyłapać hasło. Oczywiście jeśli mamy dostęp do backendu lub frontu i trochę zmienimy jako programista kod, to oczywiście można zapisywać hasła... Ale nie wydaje mi się, aby można było metodą brutal force rozwiązać 2^256 kombinacji w rozsądnym czasie

Cały spryt w kryptografii nie polega na robieniu bruteforce jak idiota Szuka się albo słabych punktów z matematycznego punktu widzenia jak np. w RC4 lub SSLv2 lub algorytmicznego jak WPA2. A jak się ma dostęp, to wystarczy zrzucić ruch wewnątrz środowiska między warstwą reverse-proxy a backendem. W tzw. chmurze opartej o mikroserwisy komunikacja odbywa się zwykle RESTem bez szyfrowania. Do łamania funkcji skrótu służą tablice tęczowe. Używanie SHA256 jest wysoce niezalecane, a MD5 to już w ogóle. Tutaj info o dobrych praktykach: https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Password_Storage_Cheat_Sheet.md Można też od biedy zrobić atak słownikowy, spoof na DNSie, IP spoofing, a potem podstawić fałszywy serwer. Ale ataki socjotechniczne są skuteczniejsze.
Właśnie przez to, że standardem jest MD5 czy SHA256, to hulające po necie bazy danych są kopalnią wiedzy niestety

 

33 minuty temu, Adam_Jesion napisał:

Banalny przykład: badania pokazują, że nadal większość ludzi nie ma hasła na swoich smartfonach (albo ma typu "1111"), a jednocześnie ma tam aktywne usługi w chmurze (gmail, etc.).

Nie trzeba łamać hasła. Większość producentów telefonów nie udostępnia aktualizacji, a jeśli już, to użytkownicy rzadko je instalują. W wielu przypadkach wystarczy atak przez obrazek: https://source.android.com/security/bulletin/2019-02-01 lub przez javascript, przez ładowarkę, aplikację, która sobie zrobi roota na maszynie itd. Albo wykorzystać podatność w sprzęcie aka Meltdown/CVE-2017-5754 czy Spectre/CVE-2017-575. One nie dotyczą tylko architektury x86_64 Intela, ale na szczęście są kosztowne Sposobów jest dużo. Czytanie prywatnych wiadomości z jakiegoś niszowego forum w kraju trzeciego świata to pikuś przy tym

 

Ps. byłbym zapomniał - można też po prostu zrzucić zawartość RAM i tam poszukać wszystkich haseł i kluczy prywatnych Wystarczy użyć jakiegoś sposobu do eskalacji uprawnień w systemie operacyjnym, a jako administrator/root odczyt całości RAMu to już łatwa sprawa.

Edytowane 22 Marca 2019 przez lkosz

[Gość Winter]

Teraz każda sprawa która komuś się nie spodoba będzie dobrą okazją do tego aby dopiec. Niektóre osoby popadły w paranoję.