Как стать автором
Обновить

Комментарии 32

Весьма спорный способ борьбы.
Не очень понятно, что именно взломали. Сформулируйте яснее. Хостеры, пользующиеся продуктом, в опасности? Их клиенты?
Что за ссылка на поиск по Хабру? Она дает ровно ноль информации, что же такое WHMCS. Не повторяйте ошибки того парня, который поспешил запостить на Slashdot.
Ну и ссылку на источник поставьте, с которого переводили.
Источник

И вот ссылка на pastebin.com (так как страница уже удалена, ставлю ссылку на кеш гугла)
Сайт WHMCS: http://www.whmcs.com/

Сломали сервер. В слитых файлах все файлы с сервера + базы данных.

Хорошо, сейчас добавлю больше информации.
Появилась идея защиты карточек. Есть пароль он в md5+соль, а карточка закодирована каким нибудь алгоритмом ключем к которому является несколько комбинаций md5 и других хэшей на основе пароля и логина. То есть при работе с картой пользователь например будет вводить пароль, и далее он будет участвовать в раскодировании данных карты. Однако от перехвата данных это не спасет. Ну хоть если утащили базу то не получат карточку, паролей ведь в базе нет и чтобы подобрать ключ надо знать пароль и алгоритм работы, а его еще можно неплохо зашить в систему… короче сложностей злоумышленникам можно было бы придумать.
Позвонил саппорту?????????

Извините, как представитель ДЦ, я могу сказать, что этот «хостер» — унылое говно.

Поясняю: у нас любые операции, связанные с изменением чего-либо производятся только через панель управления и тикет-систему (через ту же панель управления). Если позвонит человек, ему ответят на вопросы, посоветуют что делать, объяснят как написать тикет, но до появления тикета никто пальцем не шевельнёт тронуть хоть одну настройку хоть одного сервера. Даже если там всё плохо и надо прямо сейчас.

Что за идиотизм с телефонным правом в XXI веке?
Не очень понятно чем конкретно Вы возмущаетесь, но если мы правильно поняли контекст Вашего сообщения… хостер (ДЦ, реселлер, прочее) который по телефону категорически отказывается делать что-то, что сделать нужно — УГ. Более того, есть особый, циничный вид УГ хостеров — хостеры у которых заявлен 24/7 суппорт по телефону, суть которого выражается в ответе вида «напишите тикет» (с)… и сверхцинично это когда при всем при этом на тикеты отвечают только «в рабочие дни, с 12 до 17» (с)… а так да, есть телефонный суппорт 24/7 ***.

Есть целый ряд ситуаций, когда телефон это единственный нормальный вид коммуникации (спорить об идиотизме человека который попадает в такую ситуацию давайте не будем — ситуации разные бывают), а интернеты с паролями и тикетами не особо доступны. И если в это время на сайте творится безобразие и надо срочно принять меры, а хостер тупо твердит «пишите тикет», то хостер идет лесом самым громким из возможных образом.

На западе кстати на такое ни разу не натыкались, только в совке, более того, на западе для ряда действий еще и заставят позвонить воисом по телефону или позвонят сами, а не просто по записульке в тикет системе отформатируют половину серверов клиента.

Простите за многобукав, реально совок утомил.
Совок говорите?

А вы не боитесь, что кто-то услышит ваш разговор по телефону и повторит его? Просто just for fun? В отношении персонального vds'ика это звучит не слишком впечатляюще, а представьте себе крупного клиента (стоек так 10-15), который звонит и говорит «перезагрузите сервер такой-то».

А вы слушаете, что он там говорит, звоните, и говорите, мол, срочно переставьте местами жёсткие диски из сервера такого в сервер такой-то.

А потом постите кредитки с этих жёстких дисков.

Я вообще не понимаю, как можно говорить «совок» на отказ что-то делать по телефону в посте, где описывается кража персональных данных и номеров кредиток у полумиллиона людей именно методом телефонных переговоров?

Я вообще не понимаю, как можно говорить «совок» на отказ что-то делать по телефону в посте, где описывается кража персональных данных и номеров кредиток у полумиллиона людей именно методом телефонных переговоров?
Вы реально не понимаете разницы между «уязвимостью в системе аутентификации» и «недостатками телефона»?

А вы не боитесь, что кто-то услышит ваш разговор по телефону и повторит его?
А хостер у которого вход в тикетницу через http, а не через https сам дурак или это сам способ общения через тикеты такой плохой?
*отправилось раньше времени, сорри.
Суть сводится к тому, что есть 100-500 способов секьюрно идентифицировать владельца аккаунта и его распоряжения.
Даже если предположить, что на западе все сплошь идиоты… то один черт, даже в россии по телефону во многих банках можно отправить деньги со счета, увеличить лимиты на снятие, заблокировать карту, купить акции, продать акции и прочее и прочее. Одни Вы впереди планеты всей решили отказаться от телефонной связи?:)
Каждый раз, когда меня банк просит назвать «кодовое слово» по телефону, меня корёжит. Потому что я его произношу вслух, и всякий, кто это услышал, может много чего сделать с моей картой.

1. Мы имеем явный пример, когда «авторизация по телефону» привела к эпик фейлу. Прямо в этом посте.
2. Я с великим интересом выслушаю безопасные методы авторизации по телефону без использования компьютеров.

Вот понимаете, я реально этого не понимаю: людей подставил хостер, который делал «всякие операции по телефону», а вы мне тут рассказываете, что «так правильно, так и надо».

Я правильно вас понимаю?
когда меня банк просит назвать «кодовое слово» по телефону, меня корёжит.
А, так Вы сами-то пользуетесь телефоном, а не ИБ. Двойные стандарты цветут и пахнут.

1. Мы имеем явный пример, когда «авторизация по телефону» привела к эпик фейлу. Прямо в этом посте.
Нет. Не имеем тут такого примера.
Здесь пример того, как «неправильная авторизация» привела к эпик феилу. С тем же успехом после принятия Вашей тикетницей любого пароля к логину, можно было бы обозвать это «авторизация по логину привела к феилу».

2. Я с великим интересом выслушаю безопасные методы авторизации по телефону без использования компьютеров.
Коллбэк, смс — самое тупое и примитивное, набор вопросов-ответов, ОДНОРАЗОВОЕ принятие пароля для логина в тикетницу. Для особых параноиков можно включать опцию телефонного суппорта при заключении договора.
Но это конечно если у хостера есть желание и возможность предоставлять услуги телефонного суппорта, а если хостер ищет причин их не предоставлять…

Особенно это цинично звучит ввиду того, что Вы прекрасно знаете, что человек не могущий по телефону решить проблему, скорее всего позвонит кому-нибудь знакомому и даст ему по тому же телефону доступ в тикетницу, сделав ситуацию еще опаснее, при чем именно Вы его на это спровоцируете.

Вот понимаете, я реально этого не понимаю: людей подставил хостер, который делал «всякие операции по телефону», а вы мне тут рассказываете, что «так правильно, так и надо».,
Именно что хостер, а не выбранный им способ общения. А Вы пытаетесь все на выбранный способ общения свалить.
*да и вообще, что за дикость ссылаться на то, что «телефонный разговор кто-то услышит»? А набор пароля на клавиатуре «кто-то увидит» — так что теперь, от клавиатуры отказываться? А ссылку на восстановление пароля присланную по почте сможет углядеть админ этой почты, так что теперь, на электромыло ничего не присылать?
Самоочевидно, что практически любой способ аутентификации при разгильдяйстве клиента опасен. Телефон при этом один из самых безопасных, при правильном его использовании… однако… самый дорогой для хостера — вот и вся разгадка.
1. Время реакции на тикет в крупной компании меньше, чем на звонок. Поясняю: если проблема не может быть решена саппортом, она передаётся в соотв. отдел. «Передача» означает постановку задачи в ERP-системе компании. На нотификейшены из неё у всех настроены почтовые клиенты и т.д… При этом телефон я могу смело забыть в машине, или вообще не обратить внимания, что он там блямкает. А вот на issue в ERP — я точно обращу внимание.

Ситуация, когда саппорт 24/7, а отдел оплаты, например, только по будням — да, есть. Но если бы саппорт оказывался по телефону, это помогло бы? Нет. Ровно так же было бы сказано, что отдел оплаты будет только в будние дни.

Авторизация звонящего через SMS — это круто. Так себе и представляю — сидит товарищ в крупной конторе, звонит с офисного телефона. Этот же телефон в контактах указан. Ему в ответ «ща вам придёт СМС...». То же касается и callback'а.

Кроме того, тикет-система предоставляет полную ситуацию происходившего (особенно актуально, если у аккаунта компании несколько ответственных лиц). Каждый из них увидит все сообщения «коллеги».

Сравните с телефонным правом — когда один звонит и говорит одно, а потом звонит другой и говорит другое. (И не надо про единственного ответственного — в крупных компаниях множество людей отвечает за работу сервиса). Как восстановить за разумное время кто что кому сказал и кто кому что ответил? Да, в разборе полётов можно выяснить. А по ходу дела? А что делать, если товарищи позвонили одновременно и говорят с разными сотруниками саппорта?

Телефонное право для корпоративного взаимодействия — путь в хаос, не говоря уже про совершенную незащищённость такой схемы.
1. Время реакции на тикет в крупной компании меньше, чем на звонок. Поясняю: если проблема не может быть решена саппортом, она передаётся в соотв. отдел. «Передача» означает постановку задачи в ERP-системе компании. На нотификейшены из неё у всех настроены почтовые клиенты и т.д… При этом телефон я могу смело забыть в машине, или вообще не обратить внимания, что он там блямкает. А вот на issue в ERP — я точно обращу внимание.

Ситуация, когда саппорт 24/7, а отдел оплаты, например, только по будням — да, есть. Но если бы саппорт оказывался по телефону, это помогло бы? Нет. Ровно так же было бы сказано, что отдел оплаты будет только в будние дни.

Авторизация звонящего через SMS — это круто. Так себе и представляю — сидит товарищ в крупной конторе, звонит с офисного телефона. Этот же телефон в контактах указан. Ему в ответ «ща вам придёт СМС...». То же касается и callback'а.

Кроме того, тикет-система предоставляет полную ситуацию происходившего (особенно актуально, если у аккаунта компании несколько ответственных лиц). Каждый из них увидит все сообщения «коллеги».

Сравните с телефонным правом — когда один звонит и говорит одно, а потом звонит другой и говорит другое. (И не надо про единственного ответственного — в крупных компаниях множество людей отвечает за работу сервиса). Как восстановить за разумное время кто что кому сказал и кто кому что ответил? Да, в разборе полётов можно выяснить. А по ходу дела? А что делать, если товарищи позвонили одновременно и говорят с разными сотруниками саппорта?

Телефонное право для корпоративного взаимодействия — путь в хаос, не говоря уже про совершенную незащищённость такой схемы.
Вероятно уместным ответом на Ваш дабл-постинг будет напоминание о Вашей фразе
А вы не боитесь, что кто-то услышит ваш разговор по телефону и повторит его?


Что касается остального, Ваши аргументы сводятся к тому, что иногда телефонный суппорт не применим (собственно и тикетница не всегда применима). Но Вы напрасно пытаетесь сделать из этого вывод, что телефонный суппорт недопустим никогда и ни при каких условиях.
Если мы, как хостеры, хотим быть уверены, что включаем плату за $10k в железку за $50k по распоряжению клиента, а не потому что кто-то недорасслышал или плохо произнёс имя этой железки, то нет, телефонный саппорт для выполнения любых операций над оборудованием/данными клиента не допустим.

Консультации — пожалуйста. Вопросы, не подразумевающие disclose чьей-либо информации — пожалуйста.

Всё остальное — через тикеты и только.

Повторю, вопрос не в цене сопровождения клиента, а в рисках, которые за собой ведёт неформальное объяснение что именно нужно сделать с каким именно оборудованием.
Если в суппорте плохо слышат и неспособен попросить клиента повторить имя железки, то надо снижать риски наймом в суппорт хорошо слышащих и умных… а не отключением суппорта по телефону вообще.

А то с такой логикой завтра Вы и тикетницу закроете, вдруг клиент опечатается или суппорт не так прочитает:)
Если саппорт «не так прочитает», то

а) это наша (компании) вина
б) саппорту мало не покажется.

Если же клиент опечатается, то у нас будет ясное доказательство, что это написал клиент, а не «перепутали в спешке».
Если саппорт «не так прочитает», то
а) это наша (компании) вина
б) саппорту мало не покажется.
Вы как-то определитесь о чем Вы говорите и не прыгайте с темы на тему, пожалуйста. Когда Вы критиковали «телефон», у Вас аргументом была возможность ошибки по телефону. А когда Вам указали на такую же проблему в тикетнице, Вы тут же перепрыгнули на обсуждение ответственности.

Если же клиент опечатается, то у нас будет ясное доказательство, что это написал клиент
Добро пожаловать в мир где возможна запись телефонных разговоров.
Только вот не надо сейчас белого бычка на тему «кто будет разбирать это», если в случае конфликта у Вас некому это разбирать, то это опять же — проблема персонала, а не объективное препятствие.
Это одно и то же (возможность ошибки и обсуждение ответственности). Плохо рассылшал, не так поставил паузу в голосе, не так прочитал латинское название (я сказал вам перезагрузить ихкэс-12, нафига вы иксце-12 ребутнули?) — возникает непонятка, когда обе стороны правы, а на выходе фигня.

В условиях печатного текста такого быть не может — что написано, то написано.

Повторю, в масштабах «мой VDS за 300р в месяц» это всё звучит как ерунда, но как только речь идёт о сколь-либо крупных клиентах, такие моменты становятся критически важными.

И важным в логгинге является то, что клиент имеет возможность сам видеть свой текст. Не потом на уровне директоров обсуждается кто виноват, а прямо в контексте проблемы.

Если же всё идёт к разборке «достаточно ли хорошо это было слышно», то это во-первых бесит клиента (т.к. в оценке «слышимости» много субъективизма), а во-вторых это всё пост-фактум, а не в хронологии истории.

Даже если человек сделал ошибку в тикете, он её сам может увидеть.

Расскажите мне голосовую версию вот такой хронологии (вежливости и второстепенное пропускаю):

— Просьба перезагрузить msk-swt-4-12
— Выполнено
— Что-то не работает, посмотрите индикацию
— на втором лезвии мигает failure напротив link_err
— а на msk-swt-4-1?
— Индикация нормальная, act мигает
— Ок, замените в msk-swt-4-12 второе лезвие и перезагрузите его целиком
— Сделано. Индикация сохраняется.
— А на msk-swt-4-11 что?
— Мигает int_err.

(в этом месте пищущий видит, что написал msk-swt-4-1 вместо 11).

Просто опишите это голосом. Особенно интересует часть, где товарищ будет выяснять, почему раньше оно работало, а теперь показывает err.
(в этом месте пищущий видит, что написал msk-swt-4-1 вместо 11).

Просто опишите это голосом.
Не видим как можно голосом «описаться» 1 вместо 11. Это как раз очепятка, которую голосом допустить невозможно.

возникает непонятка, когда обе стороны правы,
Это в ситуации-то когда хостер не дал нормальные имена серверам, а суппорт хостера не уточнил название сервера при возможном разночтении правы ОБЕ стороны? Феерично.
Вот как диалог выглядит в нормальной компании.
-Перезагрузите сервер Канделябров-Иван-Юпитер
-Не расслышал, Юпитер или Уран?
-Юпитер. Канделябров-Иван-Юпитер.
-Ок, сделано.
(все счастливы, поют и танцуют).

А вот Ваш диалог
-Перезагрузить сервер иксэс
-(тут вроде несколько похожих на иксэс, да по фиг, перезагружу первый же попавшийся, на фига переспрашивать). сделано!
-как сделано, работает же до сих пор?!
-Мы оба правы!
(оба в депрессии и недовольны)
А теперь сравните эту же ситуацию с тикетами. Что написано — то и делаем. Без всяких граничных «а я точно правильно расслышал?».
А теперь сравните эту же ситуацию с тикетами. Что написано — то и делаем.
Сравниваем: "(в этом месте пищущий видит, что написал msk-swt-4-1 вместо 11), но уже поздно" ©
Ситуация аналогична «сказал по телефону». (Следующий звонок придёт на другого сотрудника и пока тот дойдёт до серверной, вероятнее всего, будет поздно).

Заметим, в данном случае телефон отлично сработает — звонишь, говоришь «я сделал ошибку в тикете» и параллельно в комментарии добавляешь исправление.

Опять же, это надёжнее, чем просто телефонное право в режиме «ой я там сделал ошибку, 11 вместо 1» (где там? Так ли поймут?)
странно, но это не первый дамп выложенный в сеть размером 1.7Гб
Через несколько часов работа системы была восстановлена, но потери клиентов ощутили много пользователей.
не имеет ничего общего (кроме времени) с оригиналом:
A few hours later, almost everything had been restored to normal and the site’s owners could make an estimate of the damages caused.
WHMCS — один из лидеров поставщиков систем управления клиентами, в том числе систем оплаты.
Нет там никаких «систем оплаты» — только интеграция с более-мене популярными процессингами/платежными шлюзами.
О переводах можно много спорить. В этом случае я также писал как пользователь и конечно же что часть текста не совпадает с одним из источников. Тем не менее:

Через несколько часов работа системы была восстановлена, но потери клиентов ощутили много пользователей.


соответствует реальности.

almost everything had been restored to normal and the site’s owners could make an estimate of the damages caused
Все же более точно: «почти всё было восстановлено и владельцы сайтов смогли оценить причиненный ущерб», а никак не «потери клиентов ощутили много пользователей».
Какой реальности может соответствовать фраза «но потери клиентов ощутили много пользователей»?
С представлением источника, пожалуйста.

ПС Я также пользователь (несчастный). WHMCS об этом сообщила еще 21 мая (http://blog.whmcs.com/?t=47650).
Если я выложу здесь личные данные клиентов, которых потеряли пользователи WHMCS — я рискую быть наказан НЛО.

Кстати, я просмотрел файлы выплеснутые UGNazi — жуть. Не желаю никому такой потери.
Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.