Электронная почта и номер телефона это дыра в безопасности сайта
17.11.2024
|
velkin |
Читал сегодня в очередной раз о законе о защите персональных данных. Так же читал альтернативную пропаганду с той стороны, что всё это лишь для защиты путинских силовиков.
Чтобы давать им доступ в базы данных сайтов и позволить подменять данные. Тех кто не согласен в мягком варианте забанит и оштрафует роскомнадзор. А в не мягком сами понимаете.
Но речь сегодня не об этом. Закон о защите персональных данных подталкивает даже не стереть эти данные с сайта, а не собирать. И то в России всё может пойти по беспределу.
Я вот уже даже не уверен, что статический сайт не нарушает этот закон. А почему, ну просто потому что власти России так захотели. Был бы человек, а статья найдётся.
Но предположим сайт динамический. Для динамики с персональной авторизацией нужен лишь логин и пароль. Динамический сайт без авторизации я не рассматриваю в текущем обсуждении.
Получается электронную почту может просматривать сразу два сервиса, тот откуда она пришла и тот куда она пришла. Это помимо владельца учётки почты.
Тоже самое касается операторов мобильной связи. Плюс мы знаем, что у них к этому везде стоят фсбшные стойки записывающие всю информацию, кто куда звонил, координаты, сами разговоры.
С электронной почтой ещё смешнее. Для чего она нужна. Например, для того чтобы не дать зарегистрироваться спамерам. Типа другой сайт проверил контакт и вы тоже можете доверять.
Или вот забыли пароль от какого-нибудь сайта, можно восстановить его по электронной почте. Забыли пароль от электронной почты, тогда восстанавливаем пароль от этой почты по другой почте. И это не стёб, а текущая реальность.
С другой стороны учётка оператора мобильной связи. Оператор всегда может обнулить симку в своей сети, да и смартфон тоже. Но всё может быть даже проще, авторизация на сайте по телефону просто не сработает.
Тот же Viber сейчас, если слетит авторизация может обратно уже и не включиться. На смартфоне авторизация по мобильной связи, а на компьютере по смартфону.
Уже даже люди начали писать шутки про то, что в целях безопасности роскомнадзор решил заблокировать все сайты в интернете. Но если вы живёте в России, то уже должны понимать, что это не совсем шутка или даже вовсе не шутка.
Кому интересно можете почитать в интернетах пока они ещё работают как изменилось законодательство в России за последние несколько лет.
Но речь не о том кто к кому пришёл с паяльником и плюс к этому ограбил, потому что беспредел можно прописать в законе, что успешно и делается.
Речь о том действительно ли сайту или другой информационной системе нужно что-то кроме логина и пароля.
А я говорю в том числе об интернет магазинах и цифровых товарах. Один раз забудешь учётку от скачки купленного товара, в следующий раз может станешь умнее.
Кстати, персональные данные предпринимателей или владельцев доменов напротив не защищают, я всё про ту же почту и номер телефона.
Напротив эти данные может получить кто угодно. Их даже специально публикуют в открытом доступе, даже искать не нужно.
Просто если забыть о том, что истинная цель спец. служб прослушивать, отключать и подменять данные, а вовсе не кого-то защищать, то смысл в их словах есть.
Независимость от контактов через сторонние сервисы будь-то электронная почта, мобильная связь, чат, соц сеть и что угодно.
Защищённые шифрованием каналы связи, хотя бы https. И здесь тоже огромный вопрос про сертификаты не от вас лично, а от третьих лиц именующих себя центрами сертификации.
Иначе чего бы иностранная пресса начала вонять, когда появились сертификаты минцифры. Посредник в канале который сейчас блокирует ютуб и другие сайты и такой вот сертификат.
Но постойте, а другие прямо не могут так делать что-ли. Могут и возможно и делают. Вообще перехватывать каналы связи на мой взгляд слишком геморно, когда можно подсунуть свою бесплатную почту или другое средство обмена и хранения информации.
Всё в глубоких сетях, а на поверхности одна помойка. Кстати, вспоминается фильм Джонни Мнемоник. На кой было куда-то переться с хранилищем данных у себя в голове.
Но в России это бы имело смысл, да и в США тоже. Короче кто что думает пишите, пока ещё можете. А там уже может когда-нибудь встретимся в чебурнете.
Чтобы давать им доступ в базы данных сайтов и позволить подменять данные. Тех кто не согласен в мягком варианте забанит и оштрафует роскомнадзор. А в не мягком сами понимаете.
Но речь сегодня не об этом. Закон о защите персональных данных подталкивает даже не стереть эти данные с сайта, а не собирать. И то в России всё может пойти по беспределу.
Я вот уже даже не уверен, что статический сайт не нарушает этот закон. А почему, ну просто потому что власти России так захотели. Был бы человек, а статья найдётся.
Но предположим сайт динамический. Для динамики с персональной авторизацией нужен лишь логин и пароль. Динамический сайт без авторизации я не рассматриваю в текущем обсуждении.
Получается электронную почту может просматривать сразу два сервиса, тот откуда она пришла и тот куда она пришла. Это помимо владельца учётки почты.
Тоже самое касается операторов мобильной связи. Плюс мы знаем, что у них к этому везде стоят фсбшные стойки записывающие всю информацию, кто куда звонил, координаты, сами разговоры.
С электронной почтой ещё смешнее. Для чего она нужна. Например, для того чтобы не дать зарегистрироваться спамерам. Типа другой сайт проверил контакт и вы тоже можете доверять.
Или вот забыли пароль от какого-нибудь сайта, можно восстановить его по электронной почте. Забыли пароль от электронной почты, тогда восстанавливаем пароль от этой почты по другой почте. И это не стёб, а текущая реальность.
С другой стороны учётка оператора мобильной связи. Оператор всегда может обнулить симку в своей сети, да и смартфон тоже. Но всё может быть даже проще, авторизация на сайте по телефону просто не сработает.
Тот же Viber сейчас, если слетит авторизация может обратно уже и не включиться. На смартфоне авторизация по мобильной связи, а на компьютере по смартфону.
Уже даже люди начали писать шутки про то, что в целях безопасности роскомнадзор решил заблокировать все сайты в интернете. Но если вы живёте в России, то уже должны понимать, что это не совсем шутка или даже вовсе не шутка.
Кому интересно можете почитать в интернетах пока они ещё работают как изменилось законодательство в России за последние несколько лет.
Но речь не о том кто к кому пришёл с паяльником и плюс к этому ограбил, потому что беспредел можно прописать в законе, что успешно и делается.
Речь о том действительно ли сайту или другой информационной системе нужно что-то кроме логина и пароля.
А я говорю в том числе об интернет магазинах и цифровых товарах. Один раз забудешь учётку от скачки купленного товара, в следующий раз может станешь умнее.
Кстати, персональные данные предпринимателей или владельцев доменов напротив не защищают, я всё про ту же почту и номер телефона.
Напротив эти данные может получить кто угодно. Их даже специально публикуют в открытом доступе, даже искать не нужно.
Просто если забыть о том, что истинная цель спец. служб прослушивать, отключать и подменять данные, а вовсе не кого-то защищать, то смысл в их словах есть.
Независимость от контактов через сторонние сервисы будь-то электронная почта, мобильная связь, чат, соц сеть и что угодно.
Защищённые шифрованием каналы связи, хотя бы https. И здесь тоже огромный вопрос про сертификаты не от вас лично, а от третьих лиц именующих себя центрами сертификации.
Иначе чего бы иностранная пресса начала вонять, когда появились сертификаты минцифры. Посредник в канале который сейчас блокирует ютуб и другие сайты и такой вот сертификат.
Но постойте, а другие прямо не могут так делать что-ли. Могут и возможно и делают. Вообще перехватывать каналы связи на мой взгляд слишком геморно, когда можно подсунуть свою бесплатную почту или другое средство обмена и хранения информации.
Всё в глубоких сетях, а на поверхности одна помойка. Кстати, вспоминается фильм Джонни Мнемоник. На кой было куда-то переться с хранилищем данных у себя в голове.
Но в России это бы имело смысл, да и в США тоже. Короче кто что думает пишите, пока ещё можете. А там уже может когда-нибудь встретимся в чебурнете.
17.11.2024 15 комментариев |
V>Кому интересно можете почитать в интернетах пока они ещё работают как изменилось законодательство в России за последние несколько лет.
Гораздо интереснее почитать в инетрнетах, как изменялось законодательство в США за последние несколько десятилетий. Россия просто пытается нагнать этот разрыв, и делает это с учетом ошибок допущенных первопроходцами.
SK>Гораздо интереснее почитать в инетрнетах, как изменялось законодательство в США за последние несколько десятилетий. Россия просто пытается нагнать этот разрыв, и делает это с учетом ошибок допущенных первопроходцами.
У меня ощущение, что Россия пытается нагнать Китай. Типа публичные сайты только по специальному разрешению ком. партии. А все эти запреты это преддверие, чтобы люди уж точно пошли регистрироваться в гос. органы.
Здесь проблема в том, что тогда надо обрубать внешний интернет, что как бы местами и делают. Есть же ещё закон о митингах. Больше двух не собираться, прыжок на месте попытка улететь.
Но не смотря на всю бредятину в том числе про то, что ip это личные данные и сайты сразу нарушают закон, есть некий здравый смысл в шифровании всего и вся.
Я то хочу обсудить действительно ли сайту нужны сторонние каналы связи с пользователем, то есть не полностью обезличенные.
SK>>Гораздо интереснее почитать в инетрнетах, как изменялось законодательство в США за последние несколько десятилетий. Россия просто пытается нагнать этот разрыв, и делает это с учетом ошибок допущенных первопроходцами.
V>У меня ощущение, что Россия пытается нагнать Китай.
Нет. Китай для России тестовая площадка.
V>Здесь проблема в том, что тогда надо обрубать внешний интернет, что как бы местами и делают. Есть же ещё закон о митингах. Больше двух не собираться, прыжок на месте попытка улететь.
Это про другое, и вообще следствие а не причина.
V>Но не смотря на всю бредятину в том числе про то, что ip это личные данные и сайты сразу нарушают закон, есть некий здравый смысл в шифровании всего и вся.
шифрования чего и с какой целью?
V>Я то хочу обсудить действительно ли сайту нужны сторонние каналы связи с пользователем, то есть не полностью обезличенные.
Вспомни что стало с сайтами 20 лет назад — все было завалено рекламой центра американского и английского, детской порнографией, наркотиками и мошенниками. Только переход пользователей в соцсети позволил сократить этот поток до приемлемого.
V>>Но не смотря на всю бредятину в том числе про то, что ip это личные данные и сайты сразу нарушают закон, есть некий здравый смысл в шифровании всего и вся.
SK>шифрования чего и с какой целью?
Шифровании данных в хранилище с целью их защиты от утечек. Вроде как были утечки у яндекс и государственных контор. У яндекса штраф в 60 тысяч рублей, но по новым задумкам остальные так легко не должны отделаться.
Но я так понял тут главное наградить непричастных и наказать невиновных. Быстренько накатав новый закон решили вздрючивать до кого смогут дотянуться за отсутствие или неправильно составленной политики конфиденциальности.
Как это поможет защитить персональные данные непонятно. Такими темпами придётся усиленно читать Ричарда Столлмана. Нет сервера, телефона и прочего, нет проблем.
SK>Вспомни что стало с сайтами 20 лет назад — все было завалено рекламой центра американского и английского, детской порнографией, наркотиками и мошенниками. Только переход пользователей в соцсети позволил сократить этот поток до приемлемого.
Во-первых, неправда, такого не было. Во-вторых, вы так говорите, как будто это что-то плохое.
SK>>Вспомни что стало с сайтами 20 лет назад — все было завалено рекламой центра американского и английского, детской порнографией, наркотиками и мошенниками. Только переход пользователей в соцсети позволил сократить этот поток до приемлемого.
С>Во-первых, неправда, такого не было. Во-вторых, вы так говорите, как будто это что-то плохое.
мусор — это всегда плохо. информационный мусор — это отвратительно.
SK>>Гораздо интереснее почитать в инетрнетах, как изменялось законодательство в США за последние несколько десятилетий. Россия просто пытается нагнать этот разрыв, и делает это с учетом ошибок допущенных первопроходцами.
V>У меня ощущение, что Россия пытается нагнать Китай. Типа публичные сайты только по специальному разрешению ком. партии. А все эти запреты это преддверие, чтобы люди уж точно пошли регистрироваться в гос. органы.
Я не думаю, что в Китае такая политика. К примеру когда я делал свой VPN, я создал VPS в Лондоне (до него почему-то был самый лучший пинг). Потом я просканировал подсеть (IP-адреса рядом с выданным мне), обнаружил там какой-то сайт ювелирного магазина в этом самом Лондоне и замаскировал свой VPN под него. Это я всё в Китае делал. И этот сайт открывался. Я уверен на 99%, что никакого отношения к Китаю он не имеет и никто ему никакого специального разрешения не выдавал.
Поэтому всё же полагаю, что в Китае по умолчанию все сайты разрешены, а часть — заблокированы. А не наоборот.
Единственный нюанс, который я замечу — когда я с китайского IP зашёл на сайт этого магазина, первое открытие страницы происходило около 20 секунд. А потом работало всё моментально. Полагаю, что великий китайский фаервол просканировал IP-адрес на предмет наличия портов с VPN, может быть ещё как-то, и после этого дал разрешение на работу. Хотя может быть просто какая-то задержка в сети была, ручаться за эту теорию не буду.
Это скрипты на которых магазин сделан прогружались, а потом из кеша грузились.
V>Читал сегодня в очередной раз о законе о защите персональных данных. Так же читал альтернативную пропаганду с той стороны, что всё это лишь для защиты путинских силовиков.
Беспокоиться о номере телефона и электронной почте , когда продаются базы с пасп. данными , СНИЛС а иногода и сканами паспортов , верх наивности .
А если посмотреть на опыт некоторых скандинавских стран , то вся эта история с перс данными похожа на мыльный пузырь.
V>>Читал сегодня в очередной раз о законе о защите персональных данных. Так же читал альтернативную пропаганду с той стороны, что всё это лишь для защиты путинских силовиков.
J>Беспокоиться о номере телефона и электронной почте , когда продаются базы с пасп. данными , СНИЛС а иногода и сканами паспортов , верх наивности .
J>А если посмотреть на опыт некоторых скандинавских стран , то вся эта история с перс данными похожа на мыльный пузырь.
Беспокойство вызывают штрафы, причём даже не за утечки данных, а за отсутствие страницы конфиденциальности в неком специальном формате на сайте.
Случайные статьи.
Инструкция: как уберечь компанию от штрафов по закону о персональных данных
Штрафы в области персональных данных в 2024 году
Понятно, что 18 лямов заплатить смогут не все. Вернее заплатить смогут не только лишь все, мало кто сможет это сделать.
А ещё пишут, что сейчас штрафуют вручную, и уже очень много кого поимели. А подавали заявку на создание автоматической системы. Но тут же надо работать, что-то делать, а не просто с холопов деньги собирать, потому по этому направлению пока глухо.
Российское правительство видимо не хочет убить все сайты в интернете, только забанить. Но с россиян и российского бизнеса ещё можно поиметь деньжат, как на утиль сборе для машин. Кто верит, что утиль сбор для утилизации или что правительство этим занимается, а не просто побор из ничего.
Я думаю можно так же ввести суперналог на недвижку. Или просто грабить всех через банки, ну а что? Просто взял и списал деньги с банковского счёта.
Кстати, вот интересная статья, В чем разница между даркнетом и глубокой сетью? Хотя они там по моему напутали с приставками.
В России думаю будет как всегда, своих не трогаем, а чужих обдираем по полной. Чужие это понятное дело народ России, свои это прикормленные олигархи. А те кто сбежал от иностранных санкций вынуждены будут шкериться и в России в той же глубокой сети.
Так то понятно, что формальные писульки никого не защищают, но зато можно брать штрафы. Как всегда уничтожать производства.
Кстати, вот сейчас рулят беспилотники. А в России была такая штука.
Запрет на полеты: как запустить беспилотник в 2024 году и что нового в правилах использования дронов
Круто, конечно, но производство беспилотников уехало в другие страны. В том числе в те, которые сейчас поставляют оружие используемое против России.
Куда денутся сервера и вообще технологии, если владельцев штрафовать по чёрному. Наверное все будут платить штрафы и останутся в России. Да нет конечно, или глубокий веб или чемодан, вокзал, дорога.
Никто и не спорит, что всё это мыльный пузырь, но крайне вредительский.
V>С электронной почтой ещё смешнее. Для чего она нужна.
Главная беда — в пионерских похапэ сайтиках и форумах.
По хорошем у пользователя должен быть
секретный (не публичный) логин. (1 фактор)
секретный (не публичный) пароль. (2 фактор)
секретный (не публичный) емэйл. (доп. фактор и для сброса-восстановления доступа)
публичный никнейм не совпадающий ни с одним из предыдущего.
Что мы видим на большинстве сайтов и форумов? В качестве публичного никнейма и логина используется емейл. Лишь на небольшом проценте сайтов никнейм может отличаться от логина, но в этом случае емэйл (логин) публично открыт в подписи или профиле пользователя.
вот и всё.
"добавление" в эту схему номера телефона для "двухфакторной аутентификации" по факту не добавляет, а только заменяет емэйл и убирает пароль.
с учетом того, что большинство обычных пользователей-домохозяек сидят в интернете с телефонов (с малварью) — это снижает защищенность.
V>>С электронной почтой ещё смешнее. Для чего она нужна.
SK>Главная беда — в пионерских похапэ сайтиках и форумах.
Кстати, если говорить о сайтиках, то я не понимаю логики регистрации или восстановления паролей по почте. По идее сайт должен выдать ссылку на создания письма email с его адресом, темой и содержимым в виде какого-нибудь кодового ключа на действие. Далее пользователь нажимает на эту ссылку, которую он по сути заказал на сайте и переходит в свой почтовый ящик и оттуда направляет запрос сайту.
Но в реальности всё происходит наоборот. Пользователь пишет свой предполагаемое email, а потом сайт куда-то что-то спамит. Потом все начинают бороться со спамерами. Банят в ЦОДах 25 порт и не только его. И вообще развлекаются как могут.
Говорят адрес почты можно подменить, но временный кодовый ключ в содержимом письма не подберёшь. А можно нагенерить много что. Это, конечно, не относится к российским законам. Там если пользователь зашёл по ip, то сайт может быть даже и виноват, что видит ip. По ip же можно идентифицировать и даже выследить пользователя. Нет защиты, нет приватности, нет конфиденциальности.
При этом то, что позволено РКН и давайте уж скажем прямо ФСБ, не позволено сайту россиянина. Там-то у них спокойно стоят ТСПУ, это нормально. Тут утекают не просто идентификаторы, а вообще все данные.
Но это ладно, проблема построения информационных систем есть не только в России. Можно ведь сделать сайт и в глубокой сети. А это не говоря о том, что вообще-то даже логины с паролями в среде гнулинуксоидов давно не в моде. Это считается не безопасным и вместо этого используют ключи, а логины с паролями в том же ssh вообще отключают.
Я, конечно, рассуждаю может быть по нубски, администрирование не моя специальность. Но генерацию асимметричных ключей и так далее ума много сделать не нужно. Вопрос больше как это потом использовать.
Если даже так подумать высылаешь пользователю сгенерированный ключ. Там просто какой-то массив данных, и уж личных данных там точно нет. Закону на это конечно плевать, ему главное чтобы человек жил в России и имел счёт в банке. И в принципе чтобы за ним можно было выехать, всё отобрать и поделить.
Но это всё нытьё и не технологично. Потому что мне бы хотелось порассуждать именно о технологиях. Хотя криптографию в России тоже вроде пытались запретить насколько я помню.
В России могут запретить шифрование интернет-сайтов
И не только. Я вижу схема здесь всегда одна, не сделаешь — репрессируем. Но так мягонько, неподъёмным штрафом, чтобы ты бомжевать пошёл. Не зря в России выживают не технологии, а те кто ничего не делает или если заставлять под дулом автомата делает, но лучше бы не делал.
V>>>С электронной почтой ещё смешнее. Для чего она нужна.
SK>>Главная беда — в пионерских похапэ сайтиках и форумах.
V>Кстати, если говорить о сайтиках, то я не понимаю логики регистрации или восстановления паролей по почте. По идее сайт должен выдать ссылку на создания письма email с его адресом, темой и содержимым в виде какого-нибудь кодового ключа на действие. Далее пользователь нажимает на эту ссылку, которую он по сути заказал на сайте и переходит в свой почтовый ящик и оттуда направляет запрос сайту.
И почтовый сервер сайта падает, так как оказывается завален тоннами писем со всех адресов интернета.
Или миллионом писем с одного адреса одного пользователя, его автоматически вносят в блэклист и он теряет возможность восстановить аккаунт.
Плюс ещё десятки вариантов шалостей.
V>Но в реальности всё происходит наоборот. Пользователь пишет свой предполагаемое email, а потом сайт куда-то что-то спамит. Потом все начинают бороться со спамерами. Банят в ЦОДах 25 порт и не только его. И вообще развлекаются как могут.
не куда-то, а на адрес пользователя. не спамит, а шлет одно письмо.
V>Там если пользователь зашёл по ip, то сайт может быть даже и виноват, что видит ip. По ip же можно идентифицировать и даже выследить пользователя. Нет защиты, нет приватности, нет конфиденциальности.
это о чём сейчас?
V>При этом то, что позволено РКН и давайте уж скажем прямо ФСБ, не позволено сайту россиянина. Там-то у них спокойно стоят ТСПУ, это нормально. Тут утекают не просто идентификаторы, а вообще все данные.
ECHELON PRISM FVEY чем-то лучше?
V>>Там если пользователь зашёл по ip, то сайт может быть даже и виноват, что видит ip. По ip же можно идентифицировать и даже выследить пользователя. Нет защиты, нет приватности, нет конфиденциальности.
SK>это о чём сейчас?
Напиши в поиске — является ли ip адрес персональными данными.
Персональные данные
Я думаю понятен прикол. А самое главное я читал стёб по этому поводу. Вот какое отношение выдуманный адрес электронной почты имеет к идентификации пользователя. А первая часть до собаки это именно, что логин от почты.
И вот люди рассуждают, что если пользователь хочет ввести в любом месте свою фамилию, имя, отчество, адрес проживания, то кто ему это запретит. Пользователь ввёл, сайту штраф.
Чисто для примера, если я подниму свой почтовый сервер и начну выдавать пользователям логины, которые они напишут как login@mysite.com, то это типа я их посчитал, то есть дал возможность однозначно их идентифицировать.
А пользователь пишет vasjapupkinnagibator@mysite.com. Ну всё, теперь я знаю, что фамилия и имя пользователя Вася Пупкин, здесь к гадалке не ходи. А если он написал vladimirputin@mysite.com, ну тоже понятно не иначе президент зашёл на сайт.
А если это ещё не какой-то там mysite.com, а yandex.ru, то тут точно дело верняк в идентификации пользователя. Причём у яндекса можно связать идентификатор и свои паспортные данные, я так сделал для яндекс денег когда-то. И это не просто так, пришлось выйти из дома и дойти до нужного места, а там уже зарегистрироваться.
Я же с этого и начал, одну выдумку идентифицируют другой выдумкой. Почтовый адрес это выдумка пользователя, а не идентификатор. Почему логин почты это персональные данные, а логин сайта не персональные данные. А потому что судьи что хотят, то и делают, так же как правительство. В технологиях они не разбираются от слова совсем, зато законы и штрафы выдумывают под себя каждый день.
V>>>Там если пользователь зашёл по ip, то сайт может быть даже и виноват, что видит ip. По ip же можно идентифицировать и даже выследить пользователя. Нет защиты, нет приватности, нет конфиденциальности.
SK>>это о чём сейчас?
V>Напиши в поиске — является ли ip адрес персональными данными.
И так известно — ip не является ПД.
В законе четко однозначно написано что именно является ПД. всё остальное — нет, даже если выглядит чем-то похожим.
V>Я же с этого и начал, одну выдумку идентифицируют другой выдумкой. Почтовый адрес это выдумка пользователя, а не идентификатор. Почему логин почты это персональные данные,
Логин почты не является ПД.
V>А потому что судьи что хотят, то и делают, так же как правительство. В технологиях они не разбираются от слова совсем,
Им и не нужно. для разбирания есть эксперты.