ortegas: Какой именно?.. А если вы о CMS, тогда, повторюсь, полных реализаций даже не видел.
Ну вот ты сам и ответил на свой вопрос :) Сайтов на ЛЮБОМ паблик-движке несоизмеримо больше, чем на "приватных решениях", тем более закрытых. Поди найди жертву. А возвращаясь к топику - ПОКУПАТЕЛЯ системы.
ortegas: А перед этим, спарсим список всех сайтов на этой CMS и позаливаем шеллы. Потом (если не забудем), конечно, опубликуем. В случае с ПЗС, даже идентифицировать систему не так то просто.
Да брось ты! Разницы вообще нет. Уязвимость находят вне зависимости закрытый или открытый код.
И давай не начинать по кругу - чаще\реже. Я тебе опять про неуловимого Джо напомню.
ortegas: Лично для меня. Чтобы найти уязвимости ПОС, нужно просто прочитать код. Естественно, при этом нужно быть профи. В случае с ПЗС, нужно ждать полнолуния, искать жертву и в темном лесе потанцевать над огнем... каждый раз меняя танец и жертву.
Это потому что ты вообще не знаешь как взламывают сайты (и не только их) :) Говоря проще - 2 пути:
1. Взлом непосредственно сайта: Идут стандартные атаки на ВОЗМОЖНЫЕ уязвимости (начиная с XSS и всяким UPDATE в GET\POST и заканчивая персональными атаками).
2. Получение доступа к файлам. Через взлом хостера или тоже через сайт.
ortegas: наверное включена синхронизация паролей в Chrome
Да ты гонишь :) Я что, похож на идиота? Начнём с того, что я эту стучалку вообще не юзаю (у меня есть клон, не от гугла, но он изредка запускается для некоторых задач). Ну и привычки отправлять пассы (и тп инфу в сеть) у меня нет. (Да, я старый параноик ;) )
ortegas: Может используете LastPass?
Это кто? ;) Шутка. Конечно, я знаю название софтины.
Нет я не храню так пароли.
Да, я хранил пароли в тоталкоммандире когда юзал винду. И не боялся что они улетят. Т.е. абсолютно.
Да, я сейчас храню несколько паролей в ФФ. Тут я оценив риски пошел на компромисс с удобствами. Даже если они у улетят - ничего особо страшного не случится. Я даже доступы "туда" не потеряю. И инфы "там" нет секретной.
ortegas: Эту дыру бы никогда не нашли, если исходный код был закрыт. Ну возможно бы методом тыка
Но возможно же!
Однако, см что получается. Код открыт -> дыру нашли -> опубликовали /*ЛЮБОЙ (с достаточной квалификацией) может её закрыть, до того, как выйдет оф.патч */ -> дыру тут же закрыли. Некоторый % юзеров, конечно, мог пострадать до обновления.
Код закрыт -> дыру нашли -> пока вышел патч - пострадали юзеры.
А знаешь почему в первом случае % пострадавших пользователей системы больше?
1. Потому что пользователей открытой системы (ПОС) несоизмеримо больше пользователей закрытой (ПЗС)
2. Найти, атаковать и воспользоваться дырой ПОС сложнее, чем ПЗС. И потому что в ОС их кол-во больше и вариаций аддонов и (ВНИМАНИЕ!) собственных разработок (в тч и по безопасности) чуть менее чем на 100% больше чем ЗС;).
---------- Добавлено 30.06.2013 в 22:38 ----------
ortegas: От представьте, основная БД в облаке под шифром. В клиента установлен только клиент с механизмом кэширования и система управления лицензиями.
Вот в жисть бы не поставил что-то подобное. В кач-ве сайтодвижка в см. Если ПО для перманентной работы (в см для персонального юзания или относительно небольшим коллективом) - тогда да. Вполне нормально, я считаю. Тот же хруммер где-то так и работает ;)
Блин, да что за бред?! Кому безопаснее? Юзерам, которые пострадают из-за того что, что в коде ЗАКРЫТАЯ дыра.
Ты же, как я наблюдаю, вроде кодер. Так неужели ты не знаешь, что для нахождения дыр лицезреть код совсем не обязательно. (Да, имея его перед глазами мб. кое в чём и легче, но и без этого дыры щелкаются)
Ок, будем считать что где-то помогло. НО! Отнюдь не закрытость кода, а много другое. Начиная от железа (закрытого, да) и заканчивая маркетингом. И, конечно, талант Джобса во многих отраслях.
ortegas: У меня другие кумиры.
Ой-ой.. линейку-то спрячь ;)
Ок, оставив монстров - ты знаешь хоть одно популярное ПО с закрытым кодом, которое не было бы взломано?
DenisVS: Я взял всех своих за шкирку, написал статью по установке и на стройке pidgin. Никуда не делись,
Плавали-знаем. Всё это временно. А вот зачем это тебе - непонятно :)
Я помню, как в филиале одной конторе, где я тогда только пришел аська была запрещена дятло-пароноиками админами головной конторы. Был джаббер со шлюзом, а в кач-ве клиента.. не помню уже что но такого убогое... чуть ли не нетмин (или как там его, забыл). Через пару-тройку месяцев я-таки нашел способ обойти этот маразм. Как все стали довольны, что смогли юзать нормальные клиенты (а это ещё в докпипоскую эпоху было. Или только первые версии этого недоклиента появлялись). А ещё через некоторое время и глобально этот маразм был отключен
DenisVS: pidgin
Да ты злой, оказывается :). Это тяжелючее убожество.. Я давно не встречал что-то тяжелее и столь криво-глючное.. Хотя, не, вру..скайп же. Он он хоть менее глючен.
После Миранды (в которой кстати тоже есть джаббер) это просто рукомозговыворачивательство.
Не, DenisVS, я как бэ не против джаббера как такового, но его возможности (насколько я помню ограничены протоколом) оставляют желать лучшего. Хотя если кому скайп хорош для тексточата, то тут конечно супер.
Какой именно?.. А если вы о CMS, тогда, повторюсь, полных реализаций даже не видел.
Ну вот ты сам и ответил на свой вопрос :) Сайтов на ЛЮБОМ паблик-движке несоизмеримо больше, чем на "приватных решениях", тем более закрытых. Поди найди жертву. А возвращаясь к топику - ПОКУПАТЕЛЯ системы.
А перед этим, спарсим список всех сайтов на этой CMS и позаливаем шеллы. Потом (если не забудем), конечно, опубликуем. В случае с ПЗС, даже идентифицировать систему не так то просто.
Да брось ты! Разницы вообще нет. Уязвимость находят вне зависимости закрытый или открытый код.
И давай не начинать по кругу - чаще\реже. Я тебе опять про неуловимого Джо напомню.
Лично для меня. Чтобы найти уязвимости ПОС, нужно просто прочитать код. Естественно, при этом нужно быть профи. В случае с ПЗС, нужно ждать полнолуния, искать жертву и в темном лесе потанцевать над огнем... каждый раз меняя танец и жертву.
Это потому что ты вообще не знаешь как взламывают сайты (и не только их) :) Говоря проще - 2 пути:
1. Взлом непосредственно сайта: Идут стандартные атаки на ВОЗМОЖНЫЕ уязвимости (начиная с XSS и всяким UPDATE в GET\POST и заканчивая персональными атаками).
2. Получение доступа к файлам. Через взлом хостера или тоже через сайт.
В общем в 99% взломщикам код не нужен.
У вас
У кого это у нас? Я один.
наверное включена синхронизация паролей в Chrome
Да ты гонишь :) Я что, похож на идиота? Начнём с того, что я эту стучалку вообще не юзаю (у меня есть клон, не от гугла, но он изредка запускается для некоторых задач). Ну и привычки отправлять пассы (и тп инфу в сеть) у меня нет. (Да, я старый параноик ;) )
Может используете LastPass?
Это кто? ;) Шутка. Конечно, я знаю название софтины.
Нет я не храню так пароли.
Да, я хранил пароли в тоталкоммандире когда юзал винду. И не боялся что они улетят. Т.е. абсолютно.
Да, я сейчас храню несколько паролей в ФФ. Тут я оценив риски пошел на компромисс с удобствами. Даже если они у улетят - ничего особо страшного не случится. Я даже доступы "туда" не потеряю. И инфы "там" нет секретной.
В WP была уязвимость с WP Cache.
Ага, как бэ уязвимость ;)
Эту дыру бы никогда не нашли, если исходный код был закрыт. Ну возможно бы методом тыка
Но возможно же!
Однако, см что получается. Код открыт -> дыру нашли -> опубликовали /*ЛЮБОЙ (с достаточной квалификацией) может её закрыть, до того, как выйдет оф.патч */ -> дыру тут же закрыли. Некоторый % юзеров, конечно, мог пострадать до обновления.
Код закрыт -> дыру нашли -> пока вышел патч - пострадали юзеры.
А знаешь почему в первом случае % пострадавших пользователей системы больше?
1. Потому что пользователей открытой системы (ПОС) несоизмеримо больше пользователей закрытой (ПЗС)
2. Найти, атаковать и воспользоваться дырой ПОС сложнее, чем ПЗС. И потому что в ОС их кол-во больше и вариаций аддонов и (ВНИМАНИЕ!) собственных разработок (в тч и по безопасности) чуть менее чем на 100% больше чем ЗС;).
Как-то так в общем.
никто до этого времени попросту не реализовал закрытую CMS
Если ты таких не знаешь - это не значит что их не было :) Ключевой момент - прошедшее время.
Хотя справедливости ради - они и сейчас существуют. В основном это "личные движки" студий - разработчиков сайтов.
Антивирусы разве все открыли? Тот же AVG.
Гугл говорит, что да ;)
---------- Добавлено 30.06.2013 в 22:38 ----------
От представьте, основная БД в облаке под шифром. В клиента установлен только клиент с механизмом кэширования и система управления лицензиями.
Вот в жисть бы не поставил что-то подобное. В кач-ве сайтодвижка в см. Если ПО для перманентной работы (в см для персонального юзания или относительно небольшим коллективом) - тогда да. Вполне нормально, я считаю. Тот же хруммер где-то так и работает ;)
но эта строка по-моему лишняя.
Не лишняя. Это правильный хтацесс. Его генерит ВП. Но только в случае если включается ЧПУ.
какой-нить из плагинов ЧПУ?
В ВП ЧПУ из коробки. Включается в настройках.
господа, закрытый код безопаснее.
Блин, да что за бред?! Кому безопаснее? Юзерам, которые пострадают из-за того что, что в коде ЗАКРЫТАЯ дыра.
Ты же, как я наблюдаю, вроде кодер. Так неужели ты не знаешь, что для нахождения дыр лицезреть код совсем не обязательно. (Да, имея его перед глазами мб. кое в чём и легче, но и без этого дыры щелкаются)
Apple довольно таки помогло.
:) Китайцам это не рассказывал? :)
Ок, будем считать что где-то помогло. НО! Отнюдь не закрытость кода, а много другое. Начиная от железа (закрытого, да) и заканчивая маркетингом. И, конечно, талант Джобса во многих отраслях.
У меня другие кумиры.
Ой-ой.. линейку-то спрячь ;)
Ок, оставив монстров - ты знаешь хоть одно популярное ПО с закрытым кодом, которое не было бы взломано?
SeVlad, почему бред?
Потому что закрытие кода ну никак не делает систему лучше. Лучше её делает функционал и тд.
То что каждый может найти дыру прямо в коде, это достоинство?
Одно из множества других. Найти, опубликовать (или не публикуя сообщать автору) и дать возможность закрыть.
С закрытым кодом дыру найти в разы сложнее.
Тут не поспоришь :). Будет очередной неуловимый Джо, который нафик никому не нужен.
Догадываешься почему или объяснять?
Заодно можно и лицензирование со временем вести.
Закрытый код и лицензирование сильно помогло Биллу Гейтсу? :)
кодировка автоматом созданного .htaccess не utf8 получается?
А что, там есть русские (не латинские) символы? ;)
сидят в джаббере теперь.
.. и мучаются :)
Я взял всех своих за шкирку, написал статью по установке и на стройке pidgin. Никуда не делись,
Плавали-знаем. Всё это временно. А вот зачем это тебе - непонятно :)
Я помню, как в филиале одной конторе, где я тогда только пришел аська была запрещена дятло-пароноиками админами головной конторы. Был джаббер со шлюзом, а в кач-ве клиента.. не помню уже что но такого убогое... чуть ли не нетмин (или как там его, забыл).
Через пару-тройку месяцев я-таки нашел способ обойти этот маразм. Как все стали довольны, что смогли юзать нормальные клиенты (а это ещё в докпипоскую эпоху было. Или только первые версии этого недоклиента появлялись). А ещё через некоторое время и глобально этот маразм был отключен
pidgin
Да ты злой, оказывается :). Это тяжелючее убожество.. Я давно не встречал что-то тяжелее и столь криво-глючное.. Хотя, не, вру..скайп же. Он он хоть менее глючен.
После Миранды (в которой кстати тоже есть джаббер) это просто рукомозговыворачивательство.
Не, DenisVS, я как бэ не против джаббера как такового, но его возможности (насколько я помню ограничены протоколом) оставляют желать лучшего. Хотя если кому скайп хорош для тексточата, то тут конечно супер.