Transparentna Slovenija #5: Spletni trgovini s spolnimi pripomočki razkrili svoje kupce

poweroff je 20. mar 2019 ob 11:46 izjavil:

Jype - zakon ni bil kršen (vdor ni, neupravičen vstop tudi ne, ker te spletna stran sama povabi da se registriraš in ti potem sama ponudi admin panel). Tako da jaz nimam nobenih problemov s tem.

Poleg tega sem vse, kar sem dobil od virov posredoval dalje na ustrezne institucije IP-RS in SI-CERT, objavil zakrite posnetke in to šele po tem, ko so bile zadeve sanirane.

Lahko da se komu to ne zdi etično, ampak glede tega se ne bom sekiral.

Mislim, da gre argument v smer, da zelo verjetno ni bil prvi kupec, na katerega si naletel, ta znana oseba in da si morebiti preiskoval "preveč podrobno" kot bi to zahtevala normalna državljanska skrb, da bi lahko rekel, da si po naključju naletel na znano osebo.

Zdaj, a je to res al ne, a si že takoj na začetku, po kliku ali dveh naletel na znano osebo, al si za to moral prebrskat 200 dokumentov, tega jasno ne ve nihče razen tebe.

poweroff je 20. mar 2019 ob 11:51 izjavil:

Glede na to, da je kupcev relativno malo (pri eni strani so se izpisali na en sam zaslon)...

V resnici bi lahko si-certu in ip-rs javil takoj, ko si zagledal wordpress admin bar. Vsaj jaz bi tako storil.

jype je 20. mar 2019 ob 11:54 izjavil:

poweroff je 20. mar 2019 ob 11:51 izjavil:

Glede na to, da je kupcev relativno malo (pri eni strani so se izpisali na en sam zaslon)...

V resnici bi lahko si-certu in ip-rs javil takoj, ko si zagledal wordpress admin bar. Vsaj jaz bi tako storil.

Kaj lahko dobimo "Trol" gumb na slotechu? Pol bi se po par glasovih tak post spremenil v mavrico ali pa nekaj. Tolko da vemo že vnaprej, da bo smešen...

Ni etično, da te podatke gledaš. Glede tega ni nobene dileme.

Z zaprtimi ocmi je tezko kaj pametnega nardit, ampak jasno je, da tebe to ne ovira pri pisanju neumnosti.

Vsaj jaz bi tako storil.

Lazes. Ti bi jim napisal, da so rasisti in naciji.

meni ni nič težko potrditi, da so tisti, ki se oklepajo rasističnih prepričanj, najbolj obsedeni z velikostjo penisov,

Zamesal si besedi potrditi in priznati. Ni se mi treba zahvalit.

Torej, po vaše, glede na to da mi naročniki ponavadi ne zahtevajo varne spletne strani oz. trgovine, skrbne obdelave osebnih podatkov, nekateri niti ne vejo da je potrebno slediti par zakonom (GDPR in famozni "eu cookies"), bi lahko strani delal brez vsega tega in bi na koncu bil kriv naročnik? Pa v katerem svetu vi živite? Mogoče bi to pravno res šlo skozi, kaj pa moralno? Glede na to da naj bi jaz bil strokovnjak, na drugi strani je pa nekdo ki nima pojma o programiranju, se mi ne zdi pošteno da se ga takole nategne. Kot strokovnjak moraš težit in vztrajat pri določenem minimumu in ne odstopat od njega. Ne pa da se dela po liniji najmanjšega odpora, samo da bo denar.

Če bi bilo po moje, lastniki teh "shekanih" strani nebi nič odgovarjal, programerji pa kazensko. Ker so oni odgovorni da je vse na nivoju, ne pa en Janez ki še za wordpress ni slišal. Ampak ker smo v Sloveniji, se bo zaključilo z kaznijo lastnikom, nato se bo pa pometlo pod preprogo, programer Francelj s.p. bo pa še naprej proizvajal taka skropucala.

DePalmo je 20. mar 2019 ob 13:19 izjavil:

Če bi bilo po moje, lastniki teh "shekanih" strani nebi nič odgovarjal, programerji pa kazensko.

Še dobr, da ni po tvoje.

Predstavljam si, da imajo take stvari rešene s pogodbami. Težko programer odgovarja za spletno stran, ki jo je postavil pred 5 leti, naročnik se ni odločil za vzdrževalno pogodbo, posledično strani programer ni vzdrževal in krpal lukenj, so pa v tem času zaposleni pri naročniku sami "nestrokovno" nastavljali neke public folderje pa podobno... Ampak, naj nas to ne zaustavi in naj programer odgovarja?

jype je 20. mar 2019 ob 13:28 izjavil:

Mislim, da reči niso tako absolutne, kot se zdi na prvo žogo.

Vem. Samo jaz sem odgovarjal na absolutno izjavo.

jype je 20. mar 2019 ob 12:47 izjavil:

Če na spletni trgovini vidiš wordpress admin bar, potem je očitno nekaj temeljito narobe, kajne?

Ni tako zelo očitno. Zagotovo pa na prvo žogo ne bo nič jasno tistim, ki točno tega nikoli prej nismo videli.

I swear, those were for my friend!

Sicer pa najboljše je it kar osebno v sexshop.
Ampak ja, očitno wordpress ni za delat spletne trgovine.

To ni default nastavitev v WordPressu ozrioma v WooCommerce. :)

Seveda je odgovorna trgovina, ki je najela malomarnega izvajalca. V resnih okoljih se izvajalce storitev preverja na najrazlicnejse nacine, kot denimo referencni projekti, certifikati in standardi, delovne izkusnje zaposlenih, financno stanje podjetja.. Imam obcutek, da so v teh primwrih v ozadju vecinoma hobi podjetniki, ki najemajo hobi razvojnike. Morda to gre, ce imas zgolj predstavitev dejavnosti, pri trgovini pa je bolj kocljivo.

So pa res podatki od tu lahko pretvorljivi v btc valuto :)

St235 je 20. mar 2019 ob 15:23 izjavil:

poweroff je 20. mar 2019 ob 11:46 izjavil:

Jype - zakon ni bil kršen (vdor ni, neupravičen vstop tudi ne, ker te spletna stran sama povabi da se registriraš in ti potem sama ponudi admin panel). Tako da jaz nimam nobenih problemov s tem.

V bistvu je kršen. Če so vrata odklenjena te težko obtožijo vloma, ni pa zato nič manj kraja, če kaj odneseš.

Da se pa potem še na forumu hvališ s tem... in to po vseh visoko moralnih izpadih na tem forumu...

Bolj primerna analogija bi bila, da je pošteni najditelj najdeno predal pristojnim organom, svoje kopije pa uničil (zakril osebne podatke strank).

Kako to, da ob vsem tem pompu še ni bilo nič govora o obveščanju prizadetih strank (34. člen GDPR-ja)?

Najbolj taktna pa bi bila prijava napake najprej upravljalcu zbirke osebnih podatkov, 72 ur in 1 minuto kasneje pa se pozanimati pri IP-RS če so se samoprijavili (33. člen GDPR-ja).

St235 je 20. mar 2019 ob 15:23 izjavil:

Da se pa potem še na forumu hvališ s tem... in to po vseh visoko moralnih izpadih na tem forumu...

Mislim, da se vas je v tej temi kar nekaj zvrstilo, ki ste glede moraliziranja bistveno večji svetohlinčki.
Sami brezmadežneži.
Res bi vam rad gledal preko rame, ko bi po nekem naklučju naleteli na informacije, katere 'nočete videti'.

Če nekdo opozarja na faile v varnosti, se gre za popolnoma drugo 'moralo', kakor tisto vašo "mi bi takoooooooooooj zaprli brskalnik!".

Malo morgen bi zaprli. Za nobenega od vas nebi dal roke v ogenj, da nebi naredili kup screenshotov, se pasli po dolgem in počez po podatkih, najbolj sočne še malo skopirali kakšnemu kolegu,.....

Res da imam dve roke.... ampak rabim obe - brez opeklin!

jype je 20. mar 2019 ob 12:47 izjavil:

Kaboom je 20. mar 2019 ob 12:46 izjavil:

Kaj lahko dobimo "Trol" gumb na slotechu? Pol bi se po par glasovih tak post spremenil v mavrico ali pa nekaj. Tolko da vemo že vnaprej, da bo smešen...

Če na spletni trgovini vidiš wordpress admin bar, potem je očitno nekaj temeljito narobe, kajne?

Kaki Wordpress admin bar? Kaj bi blo narobe s tem, da jaz kliknem na link "Nadzorna plošča", ko hočem spremenit svoje podatke, pogledat svojo zgodovino nakupov ipd., mogoče spremenit temo in personalizirat menije ... jaz sem samo uporabnik, ki uporabljam spletno, kot mi je ponujena. Jaz ne gledam URL povezav in ne vem kaj pomeni /wp-admin/

Jah saj je v prejšnjih stavkih zelo lepo napisano :). Bistvo je: Sistem ni bil varovan ali zaščiten, sploh.

Bolj zanimiva je "Ob morebitnem "vdoru" v računalniški sistem ne nosimo odgovornosti!", tole se mi kot laiku nekako ne zdi vredu. Bi bilo res uporabno, če bi še kakšen pravnik informacijskega prava sodeloval v teh debatah (če sploh je kak na Slo-Techu)... Osebo Lakotnik29 ne bi ravno poslušal, ko omenja neka fizična vrata in vlome.

GDPR ni direktiva ampak uredba. Od lani velja neposredno.

V tem primeru pa v Sloveniji že velja. Ampak del o kaznovanju pa je v domeni države. Ampak ESČP je vseeno legalna pot za kakšne bolnika z Izole.

https://val202.rtvslo.si/spored/
15.30 Dogodki in odmevi (od 17:55 naprej)

Mimogrede, v 7 dneh sem IP-RS poslal maile z 12 problematičnimi povezavami. Zaposlenih imajo pa 15 nadzornikov.

Za pregledat prijavo pa potrebuješ koliko?

Odpreš nov primer v SPIS-u in notri uvoziš prijavo - recimo 5, 10 minut.
Poklikaš linke in narediš zaslonske posnetke - pol ure.
Narediš generični uradni zaznamek kaj si delal in kaj ugotovil - 1 ura.
Identificiraš lastnika spletne strani in ga začneš klicati - 15 minut.
Človeku vse razložiš - pol ure.
Če je popravil, napišeš generičen UZ, da je zadeva zaključena - 10 minut.

Recimo da je skupaj 3 ure na prijavo. Recimo da človek to dela 6 ur na dan (ostalo je malica, kakšen sestanek,...). Za to rabi ena oseba 6 dni.

Kot rečeno - zaposlenih imajo pa 15 nadzornikov.

DePalmo je 20. mar 2019 ob 13:19 izjavil:

Torej, po vaše, glede na to da mi naročniki ponavadi ne zahtevajo varne spletne strani oz. trgovine, skrbne obdelave osebnih podatkov, nekateri niti ne vejo da je potrebno slediti par zakonom (GDPR in famozni "eu cookies"), bi lahko strani delal brez vsega tega in bi na koncu bil kriv naročnik? Pa v katerem svetu vi živite? Mogoče bi to pravno res šlo skozi, kaj pa moralno? Glede na to da naj bi jaz bil strokovnjak, na drugi strani je pa nekdo ki nima pojma o programiranju, se mi ne zdi pošteno da se ga takole nategne. Kot strokovnjak moraš težit in vztrajat pri določenem minimumu in ne odstopat od njega. Ne pa da se dela po liniji najmanjšega odpora, samo da bo denar.

Če bi bilo po moje, lastniki teh "shekanih" strani nebi nič odgovarjal, programerji pa kazensko. Ker so oni odgovorni da je vse na nivoju, ne pa en Janez ki še za wordpress ni slišal. Ampak ker smo v Sloveniji, se bo zaključilo z kaznijo lastnikom, nato se bo pa pometlo pod preprogo, programer Francelj s.p. bo pa še naprej proizvajal taka skropucala.

haha. janez, ki je naročil spletno stran je rekel "budget je 300e" in potem izbiral izvajalca. vsi pametni so šli stran, privoščil si je lahko le študenta. ta mu je stran postavil in pokazal kako se ureja, ker Janez ni nor, da bi podpisoval vzdrževalno pogodbo in vsak mesec plačeval nekomu, da mu stran vzdržuje. nekoga v firmi bodo "priučili" dodajanja artiklov in to je to za ta dnar. ponavadi ima naročnik nekje že en zahojen hosting, kamor mu je študent butnil spletno stran, pobasal 300e in predal zadevo v upravljanje. večina spletnih strani pa je danes "živ organizem". non-stop posodobitve, popravki, trubleshooting, seo drkarije, security hardening.

dejstvo je, da varnost STANE. wordpress hardening stane. in naročniki tega _NOČEJO_ plačevati, ker je drago in ker menijo, da je to nepotreben strošek. zato se vzdrževanja lotijo sami in na strani počnejo kar hočejo. takrat se ponavadi začnejo bedarije.

za varnost podatkov odgovarja naročnik. če ugotovijo, da je bil za šalamastiko kriv izvajalec, pa bodo to urejali na relaciji naročnik - izvajalec in pristojno sodišče, ki bo rešilo njun spor.

Saul Goodman je 20. mar 2019 ob 23:56 izjavil:

haha. janez, ki je naročil spletno stran je rekel "budget je 300e" in potem izbiral izvajalca. vsi pametni so šli stran, privoščil si je lahko le študenta. ta mu je stran postavil in pokazal kako se ureja, ker Janez ni nor, da bi podpisoval vzdrževalno pogodbo in vsak mesec plačeval nekomu, da mu stran vzdržuje. nekoga v firmi bodo "priučili" dodajanja artiklov in to je to za ta dnar. ponavadi ima naročnik nekje že en zahojen hosting, kamor mu je študent butnil spletno stran, pobasal 300e in predal zadevo v upravljanje. večina spletnih strani pa je danes "živ organizem". non-stop posodobitve, popravki, trubleshooting, seo drkarije, security hardening.

dejstvo je, da varnost STANE. wordpress hardening stane. in naročniki tega _NOČEJO_ plačevati, ker je drago in ker menijo, da je to nepotreben strošek. zato se vzdrževanja lotijo sami in na strani počnejo kar hočejo. takrat se ponavadi začnejo bedarije.

za varnost podatkov odgovarja naročnik. če ugotovijo, da je bil za šalamastiko kriv izvajalec, pa bodo to urejali na relaciji naročnik - izvajalec in pristojno sodišče, ki bo rešilo njun spor.

Lahko ti iz prve roke povem, da večja pr agencija pri nas računa za magento in themeforest temo dobrih 3000eur, postavlja jo pa študent, ki je plačan 8eur/uro. In koliko misliš, da se temu študentu fučka za to koliko je stran varna?

Problem je v temu, ker ni nekih meril, da boš tudi pri izvajalcih ločil zrno od plevela. Varnostni strokovnjaki? Isto. Samo se mi zdi, da je še hujše. Vsak, ki zna zagnati scanmyserver in ostale spletne ponudnike, je že kar varnostni strokovnjak.

jype je 21. mar 2019 ob 01:29 izjavil:

Skratka, trgovine se bodo še bolj konsolidirale in malih kmalu ne bo več nikjer drugje kot na Amazonu.

Jah, če ne znajo zagotovit nekih osnovnih standardov... se strinjam, je problem. Ampak po drugi strani pa samo zato, da bodo male trgovine preživele res ne moremo požreti vsega s**, ki nam ga prodajajo.

rkasteli je 21. mar 2019 ob 04:40 izjavil:

Lahko ti iz prve roke povem, da večja pr agencija pri nas računa za magento in themeforest temo dobrih 3000eur, postavlja jo pa študent, ki je plačan 8eur/uro. In koliko misliš, da se temu študentu fučka za to koliko je stran varna?

To je še en razlog več, da se razkriva take malomarnosti. Ker za ta denar bi morala agencija za študentom poslat nekoga, ki bo preveril kako je narejeno. Če pa ne... pa naj odgovarjajo.