Вебпланета - (обновлено) "Яндекс" показал тысячи персональных SMS - Comments

я только что

martini — Sat, 23 Jul 2011 19:10:37 +0400

я только что понял, что страшьше всего. СМС якобы отправлены с САЙТА. И при этом ни в одной нет ПОДПИСИ. Хотя получателям они все приходят с одного служебного номера. Вот эти все "позвони мне", "положи денег"... Кому?!

Сами придут, и

martini — Sat, 23 Jul 2011 18:29:10 +0400

Сами придут, и сами всё дадут.

Ребята,

cruse — Fri, 22 Jul 2011 23:04:27 +0400

Ребята, остановитесь на секунду. При чем тут Метрики и Бары. Мегафон предоставляет услугу. Эта услуга сопряжена с приватной информацией. И он обязан все возможными способами ее беречь не только от Яндекса, а от всех! От хакеров, случайных прохожих, тещи, жены, конкурентов и т.д. Он взял на себя предоставление услуги в интернете, он обязан был решить вопросы безопасности сам или с привлечением компетентных подрядчиков, знающих про Метрики и Бары, шифрование, протоколы типа https и прочего. Не можешь, тренируйся на кошках. Он этого не сделал и ему отвечать в уголовном порядке.

Что касается Яндекса, то еще вопрос. С одной стороны явно плохо, с другой глюк Мегафона получил всеобщую огласку. Что если этим втихаря пользовались другие или если Мегафон просто заткнул рот тому кто нашел и ничего не исправил, потому что у них на такие вещи бабла нет и заморачиваться не охота? Сколько на свете контор, которые живут по принципу "заливания пожаров", в спешке. Любая проблема это энергия, неуспокоенный дух, и пока его не проработаешь и как следует не заземлишь он будет дерагать до бесконечности. В одном отделе начальник мне говорит, что нафиг ему технологии, у него за пол часа скриптом напишут. Через два месяца он приходит чуть не плача, мол каждый день из этого скрипта вылезают баги, одни ловят, другие откуда-то появляются.

Заранее прошу прощения за эмоциональность последнего, склоняют постоянно к разврату, в упор не замечая, что халтура всегда стоит дороже. Для этого даже исследования не надо, просто глянуть статиститку.

Когда это

martini — Thu, 21 Jul 2011 13:41:33 +0400

Когда это выяснится, мы не узнаем. Потому что того, кто это сделал уже наймут на службу в ФСБ. Если он не работал в яндексе, конечно. Потому что тогда, надеюсь, его посадят.

Каким образом

igor-krein — Thu, 21 Jul 2011 00:35:59 +0400

Каким образом этот "кто-то" подделал кеш Яндекса?

Что-то в этом

martini — Thu, 21 Jul 2011 00:14:54 +0400

Что-то в этом роде я и пытаюсь сообщить, ДА! Кто-то всех обманул и подставил! А Мегафоновские функционеры запаниковали, ибо "все ведь видели страницы".

Я же об этом и пишу, что под уайлдкард sendsms.megafon.ru/* НАСТОЯЩИЕ страницы должны были подходить! А они не походили. Пустой был поиск почти, никаких смс, только обычный текст страницы отправки.

А "смс" в результатах были только только по sendsms.megafon.ru* что могло быть где угодно на сам деле. Там после ru могло быть еще 250 букв имени.

Я собственно уже наверное 4й раз это пишу :)

Вы хотите

igor-krein — Wed, 20 Jul 2011 23:41:48 +0400

Вы хотите сказать, что кеш Яндекса содержал какие-то другие страницы, а ссылался на них, как на мегафоновские? А ссылки именно их были, между прочим.

Но содержание сообщений, конечно, странноватые.

Куча людей

martini — Wed, 20 Jul 2011 23:14:53 +0400

Куча людей видела кэш яндекса с пометкой откуда, якобы, взято содержание. Я сам его видел, да. Но ни одна страница не открывалась вживую по ссылке на источник. Хотя я и не перебирал 9000 страниц, конечно.

Да кто вообще пишет такие смс?! Причем, _исключительно_ "такие". Люди так вообще не говорят и не пишут. Где смски "да", "нет", "не знаю"?

Надо же. А

vladdsspb — Wed, 20 Jul 2011 21:36:45 +0400

Надо же. А "Мегафон"-то не знает... Они-то уверены, что не фейк. Расследуют что-то, готовятся отвечать перед Роскомнадзором... Готовятся к искам от пострадавших...

Вы мегафонцам бы рассказали, что не было никаких текстов, а то ведь оштрафуют их и еще бабла отсудят. Не пойму, что вы здесь сидите с такой ценной информацией. Идите в "Мегафон", вас там ждут с распростертыми объятиями. Кроме вас, им никто пока не открыл глаза насчет фейка.

SMS-ки лежали на

igor-krein — Wed, 20 Jul 2011 21:24:15 +0400

SMS-ки лежали на домене МегаФона, что бы вы там себе ни думали. Куча людей это видела, пока это дело не прикрыли.

Хорошо,

l_e_x_a — Wed, 20 Jul 2011 21:08:00 +0400

Хорошо, почитайте скучные технические метафоры:
http://prm.ru/perm/2011-07-19/108657

И скажите мне - это ли та дорога, по которой "все ездили"?

Ездили. Все,

martini — Wed, 20 Jul 2011 17:07:46 +0400

Ездили. Все, кому не лень - отправка смс не требует авторизации. Требует капчи всего лишь.

Хотя сам-то я по-прежнему думаю, что смс лежали не на домене Мегафона, а где-то на sendsms.megafon.rubracadabra.net, но вы полемизируете приводя беллетристически богатые, выпуклые, но неприменимые, неприемлемые в конкретном случае аналогии и метафоры, которые выбешивают технодемона внутри меня. Поэтому я никак не уймусь.

Это была совсем

l_e_x_a — Wed, 20 Jul 2011 16:01:16 +0400

Это была совсем даже не проезжая часть. Там никто не ходил и не ездил. Это все равно как если бы ваш дворник решил бы "подмести" не улицу, внутренность банкомата - заметив, что там есть некая щелочка, которую достаточно ковырнуть ломиком. Хотя всем понятно, что это место не предназначено для ковыряния ломиком.

Сваливать все на "технические проблемы" довольно нечестно. Потому что ответ на это очень простой: техника - это продолжение человеческих рук. Деньги, заработанные с помощью робота, получают люди. Значит, они должны за это отвечать. Любишь кататься, люби и саночки возить.

Во. Я понял, что

martini — Wed, 20 Jul 2011 15:06:38 +0400

Во. Я понял, что если вы любите аналогии, то подойдет такая: вы уронили, например, тыщу бачей на проезжую часть. И не заметили сами(!). А машина-дворник их подмела. И чо? Не убирать улицы, или что? Микроскоп под бампер ставить, разглядывать мусор? Таджика пешего впереди пускать? Или следить за своими бабосами? А то вы все как-то про карманников загибаете. А он - дворник. Он может таких денег и не видел никогда, иностранных. Ему любые фантики одинаковы.

Упс. Не вам :)

martini — Wed, 20 Jul 2011 15:06:20 +0400

Упс. Не вам :)

Позиция

martini — Wed, 20 Jul 2011 15:01:48 +0400

Позиция понятна. Но технически в www все устроено иначе чем "в жизни", вы же профи, вы понимаете. Технически.

И как на уровне этой техники дожен поступать робот и его создатели? Изобретать искусственный интеллект на уровне казуального мента хотя бы, а то и правозащитника какого? Или может быть можно, в здравом уме и на данной планете, положиться на то, что тот кому не хочется публичности, положит в папочку единственный файлик про роботов?

А тот, кому было насрать на файлик, может быть, пусть не орёт потом, что робот его обидел?

>>Объясните мне,

Гость — Wed, 20 Jul 2011 12:30:47 +0400

>>Объясните мне, почему ментов постоянно тыкают в нос разными нарушениями законов - а роботов тыкать в нос нельзя?"

А почему господа из МегаФона вообще записывали SMS где-то снаружи своего сервиса [не в какой-то внутренней базе, которую надо охранять средствами, сертифицированными ФСТЭК, а на сервере в общественной сети Интернет]? Это главный вопрос, а все остальное, типа "робот нашел - бейте робота" - вторично.

Но вопрос не в

Гость — Wed, 20 Jul 2011 11:13:23 +0400

Но вопрос не в том, виноват ли Мегафон, а в том, есть ли прокол Яндекса.

Этой дыре у мегафона уже чёрти сколько лет, и наверняка куча народу ей пользуется.

Давайте скажем яндексу спасибо за то что их бот выступил в роли тестировщика на уязвимости и благодаря ему эту дыру таки закроют.

Но линки не

Гость — Wed, 20 Jul 2011 11:10:10 +0400

Но линки не утекают из Яндекс.Бара, иначе, к примеру, яндекс индексировал бы вашу почту, ваш интранет и все подобное.

Нет,если и почта и интранеты нормально сделаны.

Идея "я сделаю админку без пароля, по урле которую никто не знает" это фантазия конца 90-х.

И уже тогда были счётчики, рефереры и бары.

Тогда это было простительно, но в 2011 году да ещё крупной компании это непростительно ни разу

> Если линки

igor-krein — Wed, 20 Jul 2011 11:02:24 +0400

> Если линки утекали из Яндекс.Метрики (и любого другого севиса для server side, который должен ставить и настраивать владелец сайта) - виновата Мега из-за своих кривых рук.

Давайте оставим Мегафон в покое уже. То, что они плохо (никак не) защитили эту информацию - с этим никто не спорит. Собственно, я об этом в тексте, кажется, не один раз сказал.

Но вопрос не в том, виноват ли Мегафон, а в том, есть ли прокол Яндекса. Так вот, насколько я могу судить, Яндекс.Метрика не предназначена для сбора информации о страницах для поискового робота. Ни в пользовательском соглашении этого нет, ни где-либо ещё у них на сайте. Максимум, что я нашёл в пользовательском соглашении, это: "Пользователь понимает и соглашается с тем, что счётчик, установленный на сайте Пользователя, собирает анонимные (без привязки к персональным данным посетителей сайта) данные о посещениях сайта Пользователя и в автоматическом режиме передаёт их Яндексу для получения обобщённой статистической информации, доступной для дальнейшего использования с помощью Сервиса как Пользователю, так и Яндексу". Тут речь явно идёт о сборе данных, но, как видим, для обобщённой статистики.

Если вы найдёте хоть где-нибудь на сайте Яндекс.Метрики фразу о том, что Метрика может передавать урлы для индексации, я скажу вам спасибо. Если такой фразы нет, а Метрика это делает, это называется, скажем мягко, прокол. Яндекс должен его признать, чтобы сохранить лицо.

> ЛК подходит,

igor-krein — Wed, 20 Jul 2011 10:51:32 +0400

> ЛК подходит, но с натяжкой. Как и Яндекс, как и прочие IT-компании

Да кончайте уже выкручиваться, в самом деле. Мы об IT пишем в первую очередь, остальное нас мало касается.

> Как видно даже из этой статьи, хрена с два вы получите комментарий от компании, не совсем тесно связанной с IT (а Лента получила, к примеру), хрена два вы сможете получить что-то индивидуальное от Мегафона, МТС, Газпрома, Сбербанка, РЖД, Автоваза.

То есть, по-вашему, Лента получила индивидуальный комментарий от Мегафона? Идите перечитайте его внимательно.

Но зато теперь я точно знаю, что Мегафон круче МТС. Потому что Мегафон не снизошёл до заштатного сайта, а МТС этим грешил.

Газпром, РЖД и Автоваз - это не наш профиль, нам они могут понадобиться в очень редких случаях. С РЖД, помню, один раз нужно было связаться, но они любят официальные запросы на бумаге, а нам нужно было оперативно. Сбербанк - было дело как-то. Ответили. Стандартной фразой, но ответили (подозреваю, что они всем так отвечали, кто догадался с ними связаться).

Но вы продолжайте выкручиваться, это забавно.

> Ну может не надо, а? Это по крайней мере непрофессионально. В любом нормальном издании, которое хотя бы изредка пишет на IT-темы, есть компетентные в этой сфере журналисты и обозреватели, которые тоже могут задать правильные вопросы. Я сильно сомневаюсь, что вы настолько их круче. Если б это было так, вы бы не сидели в вебланете.

Я бы не говорил, если бы не наблюдал этого неоднократно. Может, они и могут задать, но в ряде случаев не задают. По-моему, вы сильно преувеличиваете профессионализм журналистов "серьёзных изданий". Они лажают, ну, скажем дипломатично, не намного реже, чем подзаборные псевдожурналисты заштатных сайтов.

Я не отрицаю

l_e_x_a — Wed, 20 Jul 2011 10:48:43 +0400

Я не отрицаю необходимость поисковиков. Я отрицаю их юридический иммунитет.

Ситуация соврешенно шизовая уже: когда у нас менты задерживают говнофотографа - начинается психодрама на всю блогосферу. Никто не задается философским вопросом о том, как менту безошибочно различать преступников. Просто все пишут, что мент превысил свои полномочия, или мент был продажным, или психопатом, или еще чего-то.

А когда робот сдает тысячи персональных сообщений, то начинается вот такая хуйня на тему "да он же слепой, он не виноват".

Объясните мне, почему ментов постоянно тыкают в нос разными нарушениями законов - а роботов тыкать в нос нельзя?

Страстная

Гость — Wed, 20 Jul 2011 09:51:26 +0400

Страстная нелюбовь к жёлто-белой суке всёже недостаточная причина для того что бы человек с таким опытом нёс такую хню

Это лишний раз подтверждает, что в открытии этих персональных данных виноват именно "Яндекс"

Если мегафон выкладывал личную переписку на незапароленых страницах, вызываемых по GET, да ещё по урлам которыеоднозначноформировались исходя из номера телефона, то это большая лажа со стороны мегафона.

независимо от того насколько яндекс любит роем больше чем вебпланету.

Вот она, твоя

Гость — Wed, 20 Jul 2011 09:07:16 +0400

Вот она, твоя аудитория, Лексей. Посмотри в глаза своих чудовищ. Этого ты хотел, да?
Продолжай в том же духе, похоризмотичный ты наш.

ЛК подходит, но

Гость — Wed, 20 Jul 2011 09:02:52 +0400

ЛК подходит, но с натяжкой. Как и Яндекс, как и прочие IT-компании, они по, скажем, специфике своего подхода к работе и специфике людей, там работающих, значительно более открыты к веб-интервью и веб-изданиям, чем компании другой отрасли. Там половина сотрудников сидят в блогах, PR-отделы блоги мониторят, владельцы и топ-менеджеры делают ретвит, лайк и рисерч. При удаче даже я, хрен с горы, или любой простигосссподи блоггер может получить вполне себе нормальный ответ от достаточно высокопоставленного сотрудника этих компаний, просто задав им вопрос в блоге.

Поэтому, возможно, вы не будете искать легких путей, а дадите более впечатляющий пример?

Как видно даже из этой статьи, хрена с два вы получите комментарий от компании, не совсем тесно связанной с IT (а Лента получила, к примеру), хрена два вы сможете получить что-то индивидуальное от Мегафона, МТС, Газпрома, Сбербанка, РЖД, Автоваза. Ответ типа "мы пишем про интернет, поэтому не-интернет компании нас не волнуют" не принимается - вот случится скандал с РЖД или Сбером, как случился с Мегой, и вы уже будете бессильны написать интересный материал из первых рук, так как вам опять не дадут комментариев.

>Я им могу задать вопросы, которые в "серьёзном издании" даже не догадаются задать.

Ну может не надо, а? Это по крайней мере непрофессионально. В любом нормальном издании, которое хотя бы изредка пишет на IT-темы, есть компетентные в этой сфере журналисты и обозреватели, которые тоже могут задать правильные вопросы. Я сильно сомневаюсь, что вы настолько их круче. Если б это было так, вы бы не сидели в вебланете.

Если линки

Гость — Wed, 20 Jul 2011 08:51:22 +0400

Если линки утекали из Яндекс.Бара (того, что яндекс распространяет конечным пользователям) - виноват яндекс. Но линки не утекают из Яндекс.Бара, иначе, к примеру, яндекс индексировал бы вашу почту, ваш интранет и все подобное.
Если линки утекали из Яндекс.Метрики (и любого другого севиса для server side, который должен ставить и настраивать владелец сайта) - виновата Мега из-за своих кривых рук.

>Лично я очень не уверен, что Яндекс должен индексировать такие страницы.
Два момента - у яндекса нет ясновидящих, он не отличает страницу с общедоступной информацией от страницы с приватной. Это различие должен понимать админ сайта и прописывать все в робот.тэикстэ, нет?
Второй момент - должен или не должен яндекс индексировать, вопрос дискуссионный. А вот то, что Мегафон не должен был и не имел ни малейшего права сохранять тексты приватных смс-ок на публичных веб-страницах, единственной защитой которых был их хэшированный URL - это пугающе очевидно.

Игорь, вы реально думаете, что Яндекс виноват, или вы всеми силами пытаетесь хоть как-то притянуть их к ответственности, хоть в чем-то обвинить просто потому, что у вашего главреда на них зуб?

Бывает у меня

mvkozyrev — Wed, 20 Jul 2011 06:34:29 +0400

Бывает у меня иногда желание просто слить спор. Поэтому просто иди нахуй.

Да ну и бред же

Гость — Wed, 20 Jul 2011 04:19:50 +0400

Да ну и бред же там народ пишет так и хочется в чёрном пиаре обвинить, нафига только этот архив качал скрина иж жж хватило зато добились мировой твитоты :) .писи. кому то тролю вебпланета разонравилась ну так иди в жж там не обманут и покажут что скрыто замлёваным , мне лично нравится Леха как главред ток писал бы сам больше похоризматичней

Ура,

Гость — Wed, 20 Jul 2011 02:45:04 +0400

Ура, справедливость восторжествовала (после 2(?) смен заголовков)!

> Моя позиция в

igor-krein — Wed, 20 Jul 2011 00:05:22 +0400

> Моя позиция в том, что веб-планета на свои запросы получает ответы типа 1) и в лучшем случае - ответы типа 3).

Часто получаю ответы типа 2) и ответы типа 4). Четвёртый тип дают далеко не все, конечно. Но, скажем, "Лаборатория Касперского" вас устроит? Я им могу задать вопросы, которые в "серьёзном издании" даже не догадаются задать. Разумеется, они составят для меня особый ответ (или не ответят вообще, конечно, но в "ЛК" такое редко бывает).

(обновлено) "Яндекс" показал тысячи персональных SMS

igor-krein — Mon, 18 Jul 2011 16:11:34 +0400

Поисковик проиндексировал более 8000 страниц сервиса отправки SMS-сообщений абонентам "МегаФона", раскрыв номера телефонов и содержание SMS. Аналогичное раскрытие случилось на пермском портале, откуда рассылались SMS.