Комментарии 325
Ну ребята же сами открытым текстом признаются, что да, окурели в край.
НЛО прилетело и опубликовало эту надпись здесь
Ну, кто-то мог бы предложить радикальный вариант — заDDoS'ть их сайт и сервисы, но я предложил бы более цивилизованный вариант — не ходить к ним и ничего не покупать. Я вот если и ем фастфуд, то стараюсь брать в местных (но проверенных) ларьках, которые или вообще одиночные, или сетевые, но сеть в пределах одного города. У них нет следящих приложений, у них и цены обычно ниже, и не менее вкусно. И заплаченные за эту еду деньги остаются в стране, а не идут за океан.
БК это франшиза. Головной офис обычно очень критично относится к репутационным потерям (см недавнюю историю с Papa John's)…
удалил приложуху, поставил кол в плей маркет с претензией о записи, и да, ходить больше к ним не буду.
приложение они переписывали с нуля за год полтора раза 3 точно, есть три разных приложения бургер кинг, они менялись как обувь в сезон, возможно разные разработчики и наконец нашлись те которые окурели так как нужно
приложение они переписывали с нуля за год полтора раза 3 точно, есть три разных приложения бургер кинг, они менялись как обувь в сезон, возможно разные разработчики и наконец нашлись те которые окурели так как нужно
Нужно настучать на них в головной офис Burger King. Если репутация им важна, то они вероятно расторгнут контракт с AppSee, а все эти наглые менеджеры российского офиса пойдут искать новую работу.
Я, например, там обычно беру типа капучино. В несетевых можно вместо капучино разве что растворимый нескафе 3-в-1 получить, а в сетевых — ну точно не дешевле, даже в макдаке.
PS. Из ларьков, вероятно, деньги на Кавказ идут, а не в стране остаются.
PS. Из ларьков, вероятно, деньги на Кавказ идут, а не в стране остаются.
Ну, кто-то мог бы предложить радикальный вариант — заDDoS'ть их сайт и сервисы
по мне так было бы логичнее если бы РосКомНадзор вспомнил о том, зачем он вообще существует, и отправил в блокировку сервера AppSee…
я и так давно к ним не хожу. Где-то года три назад испортились, и теперь там есть невозможно.
Вступлюсь уже немного за бургер ). Все таки чувствуется возраст автора статьи, в конце совсем в демагогию полез. Вот ему там хамят, матом отвечают, не нравится ему) Тебе отвечает такое же пацанье. У нас нет культуры открытой обратной связи по техническим вопросам. Неужели это новость?
Тот, который главный, мог просто тебе лапши навешать что по ip тебя вычислил, а потом удалил, понял что хрень написал. Почему? Потому что это работает. У них там работа кипит, отпуска, а тут какой то хрен про галочки с карточками пишет, да все плевали на это. Делают как удобнее пока вот случай типа твоего не попадется)
Их теперь главная задача не рисовать скриншоты, а начать топить конкурентов, ковыряя их приложения и поднимая шухер громче своего. По мне самая верная маркетинговая стратегия))
Тот, который главный, мог просто тебе лапши навешать что по ip тебя вычислил, а потом удалил, понял что хрень написал. Почему? Потому что это работает. У них там работа кипит, отпуска, а тут какой то хрен про галочки с карточками пишет, да все плевали на это. Делают как удобнее пока вот случай типа твоего не попадется)
Их теперь главная задача не рисовать скриншоты, а начать топить конкурентов, ковыряя их приложения и поднимая шухер громче своего. По мне самая верная маркетинговая стратегия))
Вступлюсь уже немного за бургер ). Все таки чувствуется возраст автора статьи, в конце совсем в демагогию полез. Вот ему там хамят, матом отвечают, не нравится ему) Тебе отвечает такое же пацанье. У нас нет культуры открытой обратной связи по техническим вопросам. Неужели это новость?
Отличное оправдание! На самом деле нет, если отвечают действительно представители бургер кинга, то это неприемлимо вне зависимости от их возраста.
Тот, который главный, мог просто тебе лапши навешать что по ip тебя вычислил, а потом удалил, понял что хрень написал
С чего бы это вдруг мне не верить, если они сами говорят, что следят за пользователями? А если не следят, то не надо было делать подобных заявлений, в любом случае уже никто не поверит, что они такие святые.
На самом деле нет, если отвечают действительно представители бургер кинга, то это неприемлимо вне зависимости от их возраста
Неприемлемость, это свойство общества, если вы пишите в стиле «я вас воров всех тут раскусил» на неофициальной площадке, нечему удивляться, что кто то из разрабов покрутит пальцем у виска.
То что они не соблюдают требования законодательства с этим уже разобрались.
Пост в котором автора якобы кроют матом — вброс. Можете проверить, ящика zhenya@burgerking.ru не существует и никогда не существовало. Я это проверил через пару минут после того, как этот пост только появился.
И даже сообщил об этом автору. Но он этот факт почему-то проигнорировал.
Более того, личные ящики сотрудников, судя по всему, так не именуются. Немного погуглил, нашел парочку вот таких ящиков: alexey.kozminskiy@burgerking.ru
Скорее всего, это был просто тролль. Или даже фейк самого автора, который решил подкинуть дровишек, чтобы полыхало сильнее.
И даже сообщил об этом автору. Но он этот факт почему-то проигнорировал.
Более того, личные ящики сотрудников, судя по всему, так не именуются. Немного погуглил, нашел парочку вот таких ящиков: alexey.kozminskiy@burgerking.ru
Скорее всего, это был просто тролль. Или даже фейк самого автора, который решил подкинуть дровишек, чтобы полыхало сильнее.
Alexufo если бы твою карточку похитили, ты бы и в этом случае посчитал бы нормой, что тебя кроют матом в качестве отрицания?
Во-первых, о факте кражи речи не идет нигде. Речь о банальной разработке, где кладут на
безопасность. Во-вторых, официальный ответ написан в куда более приятном виде.
безопасность. Во-вторых, официальный ответ написан в куда более приятном виде.
Во-первых, о факте кражи речи не идет нигде
А как вы собрались о нем узнать? Когда банковские данные через месяц/полгода/год будут продаваться в даркнете?
Не говоря о том что определить был ли слив именно из этой конторы невозможно.
Не говоря о том что определить был ли слив именно из этой конторы невозможно.
Об этом и речь. Поэтому доверенные терминалы по снятию бабла в супермаркетах от 1000р у меня просят ввести пинкод, а оплата через интернет — подтверждения смс кода. Кто-то там говорил о дубликате симки — каждый раз при дубликате мне нужно звонить в техподдержку и активировать ее.
Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаны — я бы не вводил ее вообще никуда.
Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаныЗря Вы так.
Выкладывайте сюда в топик карту и дайте явное разрешение использовать ее данные для оплаты чего угодно.
А через 50 дней напишите какой минус на карте образовался.
Мне не нужны покупки без уведомлений до 1000р, не нужны кучи смс которых я не запрашивал — спасибо.
А куда делось «Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаны»?
Могут, и больше 1000р, и даже без уведомления в момент самой операции.
Могут, и больше 1000р, и даже без уведомления в момент самой операции.
Никуда. 1000р это не деньги а риски, на которые идет банк, чтобы облегчить процедуру покупки. Снять их может очень доверительный запрос в банк, (точнее факт транзации происходит через день или пару) но я не верю в страшных тупых хакеров, у которых есть доступ к такому верифицированному терминалу ради 1000 рублей, а вот в школоту верю и потерю своего времени верю.
Не надо никаких «доверительных отношений с банком», равно как и «сумм меньше 1000р», что бы загнать Вам карту в минус (даже не в ноль) зная лишь «цифирки с нее».
Вы хотите сказать, что служба безопасности банка замечает мой запрос вывода 5тр на яндекс деньги, но прозевает более подозрительную транзакцию, загибающую карту аж в минус?
Я это допускаю, конечно, но тут уже вопрос веры.
Я это допускаю, конечно, но тут уже вопрос веры.
Вы хотите сказать, что служба безопасности банка замечает мой запрос вывода 5тр на яндекс деньги, но прозевает более подозрительную транзакцию, загибающую карту аж в минус?Это достаточно частая ситуация, но не об этом речь.
Проводимость операции списания зависит от мерчанта.
Все меры безопасности банка (смс, пин-коды, 3д-секьюре, внутренний контроль) работают только при желании мерчанта их запрашивать и наличии у мерчанта возможности их запросить.
Если мерчант забил на меры безопасности и провел платеж без них, то банк всё равно захолдит этот платеж, а если мерчант не пришлет его отмену, то даже спишет.
Да, по Вашей своевременной претензии, в большинстве случаев, платеж можно будет отменить, но не более того.
Если мерчант забил на меры безопасности и провел платеж без них
То он лишится вскоре возможности работать с любым банком, если будет допускать такие вольности. Вы так пишите, как будто они не несут вообще никакой ответственности и просто за красивые глаза имеют доступ к списанию средств.
То он лишится вскоре возможности работать с любым банком, если будет допускать такие вольности.amazon уже стоит и боится Вашей угрозы:) И куча других магазинов (не будем называть, что бы не плодить мамкиных хакеров).
А есть еще оффлайн операции, где онлайн проверка в принципе невозможна, как бы мерчант не хотел выпендриться.
А еще «белую эмбоссированную карту с полосой и пейпассом» с нынешними технологиями стоит сделать рублей 500р в обычной лавке, тут не надо быть «крутым хакером», что дает поистинне широкие возможности по снятию.
Вы так пишите, как будто они не несут вообще никакой ответственности и просто за красивые глаза имеют доступ к списанию средств.Уголовной не несут. А штрафы и возвраты по претензиям — это просто риск и доп. расходы заложенные в бизнес-модель.
Бизнес это не церковь с их заповедями, у каждого решения (требовать подтверждения оплаты или нет) есть своя цена, если она приемлимая — бизнес ее платит.
В общем выкладывать цифирки своих карт — беспредельная глупость, если не ставить целю потом закопаться в куче исков и оспариванию кучи платежей, часть из которых оспорить и вернуть не получится.
Aliexpress, например, sms-коды при оплате не спрашивает. Чего-то до сих пор возможностей работать с банками не лишился.
Тут всё дело в анализе рисков. Если не спрашиваешь sms-коды, увеличиваются шансы оплаты с краденной карты и отзыва платежа. Если стоимость внедрения проверки кодов выше чем потери на возвратах, то коды спрашивать не имеет смысла. И речь не только про цену написания и внедрения кода — люди, похоже, намного охотнее покупают онлайн, если их не заставляют каждый раз вводить какие-то данные.
Тут всё дело в анализе рисков. Если не спрашиваешь sms-коды, увеличиваются шансы оплаты с краденной карты и отзыва платежа. Если стоимость внедрения проверки кодов выше чем потери на возвратах, то коды спрашивать не имеет смысла. И речь не только про цену написания и внедрения кода — люди, похоже, намного охотнее покупают онлайн, если их не заставляют каждый раз вводить какие-то данные.
Коды часто не спрашивают там, где физическая доставка по адресу (DeliveryClub тот же), понятно с кого спрашивать. Или там, где товар виртуальный и возврат не принесёт убытков (билеты в кино).
Позанудствуем.
Нельзя спрашивать с получателя, его единственная обязанность это получить товар. Он не всегда может и не должен нести ответственность за плательщика.
Нельзя спрашивать с получателя, его единственная обязанность это получить товар. Он не всегда может и не должен нести ответственность за плательщика.
Как минимум, он должен плательщика знать, а товар сохранить.
А вот получать обязанности нет. Брать себе чужие товары, случайно присланные на твой адрес — это такое себе. В лучшем случае, надо будет вернуть в товарном виде. В худшем — окажешься крайним.
А вот получать обязанности нет. Брать себе чужие товары, случайно присланные на твой адрес — это такое себе. В лучшем случае, надо будет вернуть в товарном виде. В худшем — окажешься крайним.
Как минимум, он должен плательщика знать, а товар сохранить.Нет, не должен.
А вот получать обязанности нет.Ок. Право. Вы правы.
Брать себе чужие товары, случайно присланные на твой адрес — это такое себе. В лучшем случае, надо будет вернуть в товарном виде. В худшем — окажешься крайним.О_о? Где тут вообще был разговор о чужом товаре присланном случайно на твой адрес?
Получатель сам по себе никак не может быть крайним с точки зрения закона, получение товара ни в какой уголовной статье Вы не найдете.
> Нет, не должен.
Нет, должен.
> получение товара ни в какой уголовной статье Вы не найдете.
Вам, видимо, кажется, что подходящая уголовная статья должна называться именно «получение товара» — нет.
Да и в гражданском я пару статей найду.
> Где тут вообще был разговор о чужом товаре присланном случайно на твой адрес?
«По неосторожности»?
Или вы таки на свой адрес ворованной картой заказываете?
Нет, должен.
> получение товара ни в какой уголовной статье Вы не найдете.
Вам, видимо, кажется, что подходящая уголовная статья должна называться именно «получение товара» — нет.
Да и в гражданском я пару статей найду.
> Где тут вообще был разговор о чужом товаре присланном случайно на твой адрес?
«По неосторожности»?
Или вы таки на свой адрес ворованной картой заказываете?
Amazon это не только доставка товаров — но еще и облачный сервис — и там тоже не спрашивают ни CVC, ни СМС не присылают.
Алиэкспресс кстати периодически просит ввести разные части данных с карты для проверки при попытке оплатить заказ.
Alexufo не зависимо от ситуации, профессионал должен оставаться профессионалом, а не быдлом из подворотни. Автор, конечно, сам немного сглупил, указав свой возраст, а не укажи — воспринимался бы совсем по другому…
Вы не совсем правы, возраст был указан для подчеркивания уникальности, это нормально, ( я как-то патча ждал на прошивку вообще от 15 летнего). возраст часто виден по обидам, сильному отстаиванию и признанию своей персоны в мире с 7млрд человек.
Автор, конечно, сам немного сглупил, указав свой возраст, а не укажи — воспринимался бы совсем по другому…Как раз не сглупил, а очень правильно сделал. Статья хотя написана и по делу, но подача информации такова, что читателю необходимо понимать причины такой подачи, иначе тяжело воспринимать статью и ее автора серьезно.
ЦРУ, Ми-6, Моссад, Бургер Кинг — чья разведка круче?
Вёрстка «статьи» в «лучших традициях». Понимаю, что вы наверняка под большими эмоциями писали всё это, но стиль изложения откровенно ужасен. Во-первых, не следует перебарщивать с жирным текстом. Вы выделили так много всего, что смысл от этого выделения пропадает напрочь. Во-вторых:
Я уверен, что у вас в мыслях должен был получиться сарказм, но, увы, он не вышел. Сарказм вышел здесь.
Зачем вы так часто используете прилагательное «нагло/наглая»? Вы можете себе представить более-менее серьёзную статью, где автор будет так разъясняться? Что будет, если «доказательства прямой лжи Burger King» окажутся вовсе не доказательствами, а домыслами или неверным интерпретированием? Пусть даже часть, пусть даже малая, но всё же.
Я понимаю вашу обиду по причине хамских ответов, угроз и неадекватной реакции (не важно чьих), но разве это повод зажигать факел, поднимать вилы и худшим образом отвечать на всё это?
Сейчас ваша запись больше похожа на истеричный крик ребёнка, истерику, очень самоуверенную:
Это вам кажется, что вы разбили что-либо в пух и прах. Насколько убедительны и правдивы ваши доказательства и прочее — это уже читателям решать (и прочим).
Что же до самой темы статьи (хотя это и не совсем статья, скорее запись в личном блоге на Хабре) — полностью поддерживаю основной призыв к проверке всех причастных. Аргументы вида «это аналитика, ничего страшного, расходимся» лично мне не кажутся убедительными, как и отписка компании-разработчика о том, что всё шито-крыто. Даже если согласие на запись экрана было бы прописано где-то в дебрях Политики или Правил (насколько я понял, там об этом не написано — могу ошибаться), такая практика явно не согласуется с прозрачностью, которую пропагандирует GDPR и прочее. От согласия на использования куков стократно меньше толку, чем от явного и информированного согласия на запись экрана (хотя бы потому что обыватель с большей долей вероятности поймёт, что такое запись экрана, чем какие-то куки). Нет никаких гарантий, что видео, даже если там все поля по сто раз закрашены/заблюрены, не сопоставляются с пользователями, да и толку от видео без сопоставления? (не просматривать же все подряд в поисках бага, скорее багрепорт или лог об ошибке должен сопровождаться записью экрана). Если система не прозрачна, тогда исходить следует из самого худшего и «полезная функция» по-умолчанию не только не полезна, но и вредна.
Особенный пламенный привет хотелось бы выразить от лица тех, у кого wi-fi такой же лимитированный, как и мобильная сеть. Считаю крайне порочной практикой тратить трафик пользователя, пусть даже через wi-fi на то, что не имеет прямого отношения к заявленным функциям приложения. Кто-то удивится, но wi-fi может раздаваться с такой же обычной сим-карты, с другого смартфона, а в некоторых странах есть как лимитированный трафик для wi-fi, так и система «добросовестного использования» (это когда у вас есть условные 50 ГБ «быстрого» интернета, после чего скорость режется до начала следующего месяца). Так что гонять видео, пусть и в плохом качестве в нон-стоп режиме для 10% пользователей (как заявляет разработчик приложения) это ой как расточительно. И без этого видео всякие метрики наверняка жрут не меньше, а то и больше самого функционала, так ещё и видео не хватало. Так что да, wi-fi нисколько не гарантирует, что неудобства не причиняются. Избежать этого легко — спрашивать разрешение на такое необязательное логирование.
они сразу же пытаются манипулировать мнением говоря «или об этом уже нельзя говорить?»
Я уверен, что у вас в мыслях должен был получиться сарказм, но, увы, он не вышел. Сарказм вышел здесь.
очередная наглая ложь
наглая ложь
нагло игнорировала
наглейшим образом игнорировали
нагло Вам наврёт
Зачем вы так часто используете прилагательное «нагло/наглая»? Вы можете себе представить более-менее серьёзную статью, где автор будет так разъясняться? Что будет, если «доказательства прямой лжи Burger King» окажутся вовсе не доказательствами, а домыслами или неверным интерпретированием? Пусть даже часть, пусть даже малая, но всё же.
Я понимаю вашу обиду по причине хамских ответов, угроз и неадекватной реакции (не важно чьих), но разве это повод зажигать факел, поднимать вилы и худшим образом отвечать на всё это?
Сейчас ваша запись больше похожа на истеричный крик ребёнка, истерику, очень самоуверенную:
Каждый пункт «опровержения» Burger King — разбит мною в пух и прах.
Это вам кажется, что вы разбили что-либо в пух и прах. Насколько убедительны и правдивы ваши доказательства и прочее — это уже читателям решать (и прочим).
Что же до самой темы статьи (хотя это и не совсем статья, скорее запись в личном блоге на Хабре) — полностью поддерживаю основной призыв к проверке всех причастных. Аргументы вида «это аналитика, ничего страшного, расходимся» лично мне не кажутся убедительными, как и отписка компании-разработчика о том, что всё шито-крыто. Даже если согласие на запись экрана было бы прописано где-то в дебрях Политики или Правил (насколько я понял, там об этом не написано — могу ошибаться), такая практика явно не согласуется с прозрачностью, которую пропагандирует GDPR и прочее. От согласия на использования куков стократно меньше толку, чем от явного и информированного согласия на запись экрана (хотя бы потому что обыватель с большей долей вероятности поймёт, что такое запись экрана, чем какие-то куки). Нет никаких гарантий, что видео, даже если там все поля по сто раз закрашены/заблюрены, не сопоставляются с пользователями, да и толку от видео без сопоставления? (не просматривать же все подряд в поисках бага, скорее багрепорт или лог об ошибке должен сопровождаться записью экрана). Если система не прозрачна, тогда исходить следует из самого худшего и «полезная функция» по-умолчанию не только не полезна, но и вредна.
Особенный пламенный привет хотелось бы выразить от лица тех, у кого wi-fi такой же лимитированный, как и мобильная сеть. Считаю крайне порочной практикой тратить трафик пользователя, пусть даже через wi-fi на то, что не имеет прямого отношения к заявленным функциям приложения. Кто-то удивится, но wi-fi может раздаваться с такой же обычной сим-карты, с другого смартфона, а в некоторых странах есть как лимитированный трафик для wi-fi, так и система «добросовестного использования» (это когда у вас есть условные 50 ГБ «быстрого» интернета, после чего скорость режется до начала следующего месяца). Так что гонять видео, пусть и в плохом качестве в нон-стоп режиме для 10% пользователей (как заявляет разработчик приложения) это ой как расточительно. И без этого видео всякие метрики наверняка жрут не меньше, а то и больше самого функционала, так ещё и видео не хватало. Так что да, wi-fi нисколько не гарантирует, что неудобства не причиняются. Избежать этого легко — спрашивать разрешение на такое необязательное логирование.
в некоторых странах
Но ведь это приложение работает только в России по сути. Зачем ты будешь заказывать в Россию бургеры, находясь в другой стране? Это же и касается утверждения, что баланс уйдет в минус в роуминге.
гонять видео, пусть и в плохом качестве в нон-стоп режиме
Mp4 очень хорошо сжимается, и минутное видео может весить даже меньше чем картинка(сам делал обучающий ролик на 90секунд в хорошем качестве, весил меньше 1мбайта). Ведь завалить трафиком пользователя можно и всего одной кривой картинкой сочного бургера на 10мбайт, почему такой аргумент тогда не берется в счёт? А если таких картинок будет 20? Но ведь нет, жирные картинки — это нормально, а запись видео — тяжело для трафика.
Картинка бургера имеет прямое отношение к функциональности приложения. Лучше бы её, конечно, сжать, но она хотя бы полезна для пользователя напрямую. А аналитика просто ест трафик. Насчёт локальной природы приложения – в России точно так же можно раздавать мобильный интернет по wi-fi. Ну и я лично не проверял, но некоторые пользователи скидывали скриншоты статистики использования сети приложением Burger King, и порой за месяц набегал гигабайт трафика в фоновом режиме, при чём именно по сотовой сети. Это очень-очень-очень много в фоне для приложения для заказа бургеров.
По теме статьи нечего добавить к словам chesterset, он прекрасно всё сформулировал. Нужно всё проверять. Лично мне «видеодоказательства» автора кажутся крайне сомнительными, как и статьи. Полезный в целом позыв, который может быть разрушен маленькой «ложью во спасение», которая может оказаться не такой уж и маленькой. А может и не ложью. Нужно разбираться.
По теме статьи нечего добавить к словам chesterset, он прекрасно всё сформулировал. Нужно всё проверять. Лично мне «видеодоказательства» автора кажутся крайне сомнительными, как и статьи. Полезный в целом позыв, который может быть разрушен маленькой «ложью во спасение», которая может оказаться не такой уж и маленькой. А может и не ложью. Нужно разбираться.
Это же и касается утверждения, что баланс уйдет в минус в роуминге.
Разве в России уже все операторы отменили роуминг между городами (серьезно не в курсе, давно в России не был)?
И разве в Россию не приезжают иностранцы (особенно из ближнего зарубежья), которые как раз будут в роуменге?
жирные картинки — это нормально, а запись видео — тяжело для трафика.
Жирная картинка грузится один раз, а видео если оставить включеным приложение может писаться всю ночь, заодно убив батарею в ноль (и кстати тому кто грузит на мелкий экран мобильного HD картинку для гиганского десктопного дисплея тоже руки нужно оторвать и переставить в правильое место).
Плюс я готов заплатить за основой функционал приложения, но почему за мой счет производится его отладка (причем без предупреждения), а жирные картинки при этом тоже никуда не деваются? С таким же успехом они могли в фоне майнить криптовалюту (это тоже полезно для улучшения приложения, ведь надо же платить программистам).
НЛО прилетело и опубликовало эту надпись здесь
Та история закончилась хорошо, самодовольному программиста дал по шапке его тимлид
Хорошо — это когда тимлид предпочел дать по шапке, вместо того, чтобы написать разрабу таску?
НЛО прилетело и опубликовало эту надпись здесь
Кроме субъективного понимания в компании могут быть объективные регламенты. А на личной практике было когда генеральный директор запрещал мне лично брать в работу задачи, поставленные не через тасктреккер и обещал штрафовать депремировать. В описанной вами ситуации максимум бы на что я пошёл — это прямое указание от него начинать заниматься задачей, пока тимлид её оформляет в треккере.
Понимаете, для разработчика внутренний учёт времени может быть единственным явным фактором, влияющим на его удовлетворенность работой. И это обычно компания его ставит в такие условия, что без таски ему начинать работать над задачей себе дороже. Даже если флоу работы над заадчей разработал сам разработчик, то утверждал его кто-то другой. Получив несколько раз по шапке за отклонения от флоу от тимлида, даже устное распоряжение генерального директора может быть не указ.
Понимаете, для разработчика внутренний учёт времени может быть единственным явным фактором, влияющим на его удовлетворенность работой. И это обычно компания его ставит в такие условия, что без таски ему начинать работать над задачей себе дороже. Даже если флоу работы над заадчей разработал сам разработчик, то утверждал его кто-то другой. Получив несколько раз по шапке за отклонения от флоу от тимлида, даже устное распоряжение генерального директора может быть не указ.
НЛО прилетело и опубликовало эту надпись здесь
Поразмышляйте над другой ситуацией — срочное решение тимлида было ошибочным. И когда это вскрылось умный тимлид смекнул, что кроме слов программиста никаких доказательств его вины нет и он начинает врать, что никакого указания не давал, а это все программист сам сломал. Лично я именно поэтому ничего без тикета не делаю. Так же еще бывает, что задача огромная, с кучей нюансов, все запомнить невозможно, а потом эти забытые моменты делают твоим косяком, потому что ты не сделал, что приказано. А возможно и сам тимлид забыл тебе об этом нюансе сказать, но теперь не хочет признавать свой косяк.
Сразу вспомнился скандал с Volkswagen
https://m.habr.com/post/268899/
Тикет должен быть. Хотя бы для того, чтобы программисту быть уверенным, что именно не так, как оно должно быть и с описанным результатом сверять свой труд.
Согласен с вами, что без таска делать что-то себе дороже. Особенно это актуально для аутсорсинговых компаний, когда у заказчика все срочно-немедленно. Хотя в большинстве случаев задачи имеют срочный статус только по вине самого заказчика, который заранее не озаботился поставить задачу на требуемый функционал.
Доводите тогда уж свою линию «Лид чудак и на все пойдет чтобы отмазаться», до конца))
А именно, когда доходит дело до разборок, а ведь лид бескомпромиссный, он договаривается с админом трекера или сам имея доступ, подчищает в БД все концы, так что он становится совершенно чистым. Ведь все забытое при создании такси там есть или же наоборот, нет вообще никаких упоминаний задачи и «никакого указания не давал, а это все программист сам сломал»…
такие дела)))
А именно, когда доходит дело до разборок, а ведь лид бескомпромиссный, он договаривается с админом трекера или сам имея доступ, подчищает в БД все концы, так что он становится совершенно чистым. Ведь все забытое при создании такси там есть или же наоборот, нет вообще никаких упоминаний задачи и «никакого указания не давал, а это все программист сам сломал»…
такие дела)))
Это вряд ли. Хотя бы потому, что любой уважающий себя трекер шлет уведомления о любых изменениях статуса задачи на почту. И если потом найти эту несуществующую задачу, будет очень «ой». Особенно учитывая, что номера у задач обычно идут по порядку, и если после 10204 задачи идет сразу 10206, то это вызывает подозрения. Лид за такое быстро вылетит.
А у меня лично была похожая ситуация, где даже наличие таски мне не помогло, ведь я «не догадался» и не расписал всё на 200% в этой самой таске. Там было типа «да, мы решили, что Selenium единственный вариант реализации, но мы не решили, что мы его внедряем. Зачем ты потратил 2 дня на это внедрение? ататата». Собственно, я в той конторе меньше года проработал из-за таких приколов.
А у меня лично была похожая ситуация, где даже наличие таски мне не помогло, ведь я «не догадался» и не расписал всё на 200% в этой самой таске. Там было типа «да, мы решили, что Selenium единственный вариант реализации, но мы не решили, что мы его внедряем. Зачем ты потратил 2 дня на это внедрение? ататата». Собственно, я в той конторе меньше года проработал из-за таких приколов.
И почему мне вспоминается анекдот про "шашечки таски или ехать?"
Но в данном примере, решить проблему с потерей денег для всей кампании — это важно,Это важно для компании, в чьё положение рекомендуется (бесплатно?) входить разработчику.
внутренний учёт времени они смогут решить и позже.А могут и не решить, как, вероятно и сделали в предыдущий раз.
Простите, а вы на работе обычно чем занимаетесь, если решать проблемы заказчика вам из раза в раз не оплачивают?
В данном кейсе предполагается, что указание об немедленном начале работы над новой задачи даёт лицо не имеющее таких полномочий и(или) надлежащим образом не оформившего его. Впоследствии может оказаться, что человек ничего не делал, так как текущую задачу делать прекратил, а ни к одной из имеющихся не приступил.
Плюс личное наблюдение — в бизнесе каждый отдел, каждое направление считает себя самым важным. Например, отправка смс для входа в ЛК перестала работать: «мы теряем миллионы, срочно разбирайся!!». И никто кроме, например, юристов и бухгалтерии не знает, что если текущую задачу хоть на день задержать, то фирма вообще потеряет право работать.
Плюс личное наблюдение — в бизнесе каждый отдел, каждое направление считает себя самым важным. Например, отправка смс для входа в ЛК перестала работать: «мы теряем миллионы, срочно разбирайся!!». И никто кроме, например, юристов и бухгалтерии не знает, что если текущую задачу хоть на день задержать, то фирма вообще потеряет право работать.
По треду выше «Исправляйте проблему, а потом хотите пишите себе таску.», то есть проблема не в наличии другой срочной задачи, а в наличии таски вообще.
С другой стороны, если речь не про абстрактный фичареквест, а отправка СМС не работает — чинить это программисту надо, может быть завтра, но надо. Что пришло «лицо не имеющее таких полномочий» этого не меняет. Так что проблема только в «надлежащим образом не оформившего его», что сделать задним числом проблемы не составит (ну, технически).
Так что нет, в комменте, на который я отвечаю проблема в том, что разработчик не хочет «бесплатно» оценить важность, а начальство не хочет «бесплатно» визировать задним числом сделанную работу.
> И никто кроме, например, юристов и бухгалтерии не знает, что если текущую задачу хоть на день задержать, то фирма вообще потеряет право работать.
Если они не донесли важность задачи и соблюдения её дедлайна — у меня для них плохие новости…
С другой стороны, если речь не про абстрактный фичареквест, а отправка СМС не работает — чинить это программисту надо, может быть завтра, но надо. Что пришло «лицо не имеющее таких полномочий» этого не меняет. Так что проблема только в «надлежащим образом не оформившего его», что сделать задним числом проблемы не составит (ну, технически).
Так что нет, в комменте, на который я отвечаю проблема в том, что разработчик не хочет «бесплатно» оценить важность, а начальство не хочет «бесплатно» визировать задним числом сделанную работу.
> И никто кроме, например, юристов и бухгалтерии не знает, что если текущую задачу хоть на день задержать, то фирма вообще потеряет право работать.
Если они не донесли важность задачи и соблюдения её дедлайна — у меня для них плохие новости…
Разработчик обычно и не может оценить важность с одной стороны, а с другой, если «войдёт в положение», то крайним он останется, а не инициатор.
Я про ситуацию когда маркетинг прибегает с смсками, а разработчик пилит интеграцию с налоговой. Разработчик знает, что интеграция сейчас самая важная задача, так ему сказали или его начальник и кто-то типа директора. А маркетинг «мы деньги теряем» кричит.
Я про ситуацию когда маркетинг прибегает с смсками, а разработчик пилит интеграцию с налоговой. Разработчик знает, что интеграция сейчас самая важная задача, так ему сказали или его начальник и кто-то типа директора. А маркетинг «мы деньги теряем» кричит.
> Я про ситуацию когда
Вас это беспокоит? Вы хотите поговорить об этом? Я то отвечаю на
этот камент, там другая ситуация.
Вас это беспокоит? Вы хотите поговорить об этом? Я то отвечаю на
этот камент, там другая ситуация.
Там ситуация неизвестная в этом плане. Судя по всему бизнес «кричит» «почините багу» и бизнес же дал распоряжение не брать задачи без формальной таски.
> бизнес же дал распоряжение не брать задачи без формальной таски.
Судя по всему, вы тред не читали
> самодовольному программиста дал по шапке его тимлид
Судя по всему, вы тред не читали
> самодовольному программиста дал по шапке его тимлид
Из этого ничего не следует. Лиды и прочее руководство бывают противоречивы. Сначала сами говорят, а то расписываться под приказом или регламентом заставляют, «без таски даже думать над задачей не начинай», а потом «ну это же форс-мажор был, должен же понимать». И кстати, не факт, что дал. Мог сказать начальству, что дал, а по факту сказал «в следующий раз сразу меня набирай — я скажу что делать».
Эк вы от «Судя по всему» перешли к «бывают». Могли бы просто сказать типа «да, не читал» вместо «во рту могли расти грибы»
Я читал, информации от участников ноль.
То есть вы пришли мне рассказать что «В данном кейсе предполагается» и «судя по всему» получив перед этим ноль информации?
В следующий раз начинайте с «я тут нафантазировал, что ...»
В следующий раз начинайте с «я тут нафантазировал, что ...»
Из фактов у нас только то, что программист не присутпил к задаче, которую ставил не его руководитель без оформления таски, и приступил когда его руководитель её поставил. Логично предположить, что первый постановщик не имел полномочий давать указания программисту. Иначе это очень странный программист — одного начальника слушается, а другого нет.
К чему это всё я, ваш менторский тон и снобизм, что не так в оформлении, в выделениях жирным, небольшие факапы в используемых оборотах это всё настолько мелочь, как та таска из истории выше, где скорость освещения и решения проблемы важнее.
Для вас — мелочь. Я не утверждаю, что просчёты в оформлении статьи нивелируют её посыл, но даже голый plaintext лучше, чем халтурное и бездумное оформление. Если нет времени что-либо оформлять достаточно не использовать никакой вёрстки, просто абзацы разделить и заголовки использовать.
Ваша аналогия вовсе не аналогия, там речь идёт о бюрократизме. Правильной аналогией было бы оформление таска в худших традициях, чтобы читать аж больно было, вместо того, чтобы хотя бы просто в чате расписать сплошным текстом.
Я не знаю чем закончится эта история в итоге, даже гадать не буду, но давайте будем терпимы в молодым специалистам, ибо сейчас именно они (в частности он) 18 летний парень, нашёл и пытался разобраться, а не великовзрослые дяденьки, что считают многие вещи в порядке вещей, как например запись видео с экрана телефона.
Терпимость != не подвергать критике, иначе он и в 20, и в 30 и т.д. будет делать такие же ошибки. Я не зря сначала высказал своё мнение относительно оформления статьи, а после — вполне себе поддержал и выводы, и призывы автора. Коль вы любите аналогии: если я вижу правильно работающее приложение, но плохой код, я похвалю за работающее приложение и отмечу ошибки в коде, но никак не промолчу по принципу «ну раз работает приложение, то грех на код жаловаться».
И я надеюсь, что не решили скопом меня к великовозрастным дядькам причислить, для которых запись экрана — норма жизни?)
Вы вероятно не инженер, раз не поняли диалога. Программисты просят тикет не потому (или не всегда потому), что они хотят отморзиться от работы, а потому, что начальство утверждает, что он ничего не делал без него. Я примером работал в компаниях, где просто так самому создать тикет нельзя и когда я делал задачи ребятам потому, что они просто просили в меседжере — это не было достаточным аргументом моей занятости.
Вы не очень разбираетесь в технологиях?
Автор статьи после просьбы доказательства, словил и сохранил видео с открытыми данными своей банковской карты — ЗА ПРЕДЕЛАМИ СВОЕГО ТЕЛЕФОНА. Данные ушли в сеть, где он их перехватил на своем маршрутизаторе/десктопе (и т.д. нужное подчеркнуть).
Что помешает мне повесить снифера на ваш домашний маршрутизатор (или вообще провайдеру на маршрутизатор) и собирать все эти видео всех пользователей? (Эксплойты захвата маршрутизаторов почти на все модели действуют, и пока не устраняются разработчиками программного обеспечения этих маршрутизаторов — взломать ваш роутер, дело времени, равного обнаружению ваших портов сканером).
Автор статьи после просьбы доказательства, словил и сохранил видео с открытыми данными своей банковской карты — ЗА ПРЕДЕЛАМИ СВОЕГО ТЕЛЕФОНА. Данные ушли в сеть, где он их перехватил на своем маршрутизаторе/десктопе (и т.д. нужное подчеркнуть).
Что помешает мне повесить снифера на ваш домашний маршрутизатор (или вообще провайдеру на маршрутизатор) и собирать все эти видео всех пользователей? (Эксплойты захвата маршрутизаторов почти на все модели действуют, и пока не устраняются разработчиками программного обеспечения этих маршрутизаторов — взломать ваш роутер, дело времени, равного обнаружению ваших портов сканером).
Автор для перехвата HTTPS установил на телефон сертификат, а вы, получив контроль над роутером, все равно не сможете читать HTTPS трафик.
Но проблема действительно есть: хотя в видеозаписях и закрыт номер карты, но там не закрыт номер телефона (перс данные), и без уведомления и согласия пользователя его номер телефона передается в израильскую компанию AppSee. AppSee никак не связана российским законодательством и может делать с ПД россиян что хочет (позиция AppSee: согласно договору разработчик обязан пометить все области экрана, где есть перс. или другие чувствительные данные, если он забыл это сделать то это он и виноват, а AppSee не при чем, это лишь инструмент).
Странно, что некоторые люди беспокоятся об утечке номера карты, которая легко перевыпускается, и не беспокоятся о персональных данных, которые достаточно один раз слить в сеть или в базы дата-брокеров и потом никак оттуда не удалить.
Но проблема действительно есть: хотя в видеозаписях и закрыт номер карты, но там не закрыт номер телефона (перс данные), и без уведомления и согласия пользователя его номер телефона передается в израильскую компанию AppSee. AppSee никак не связана российским законодательством и может делать с ПД россиян что хочет (позиция AppSee: согласно договору разработчик обязан пометить все области экрана, где есть перс. или другие чувствительные данные, если он забыл это сделать то это он и виноват, а AppSee не при чем, это лишь инструмент).
Странно, что некоторые люди беспокоятся об утечке номера карты, которая легко перевыпускается, и не беспокоятся о персональных данных, которые достаточно один раз слить в сеть или в базы дата-брокеров и потом никак оттуда не удалить.
Карта пере-выпускается, когда с неё уже снял деньги кто-то, и правда, чего беспокоится то?
Какие поля скрыты? Автор предоставил видео — все поля открыты, все данные карты есть — бери и покупай что хочешь.
Сниф на маршрутизаторе — на его работу между устройствами пользователя и интернетом — не кому даже и «матюкнутся» (ибо его софт никто не контролирует из сторонних АВ и прочих защитников).
Общается то с внешним миром именно снифер со своим сертификатом, он свой запрос подписанный своим сертификатом шлет на сервак, получая ответы, а затем дублирует сквозной исходный запрос, отвечая на свой запрос дропом соединения с ошибкой.
Усё Уася, два запроса, два идентичных ответа, один мне в сниф, второй юзеру на устройство. При чем дубль запроса и сбор данных идет только на интересующие домены (чтобы критично не тормозить трафик пользователю).
Какие поля скрыты? Автор предоставил видео — все поля открыты, все данные карты есть — бери и покупай что хочешь.
Сниф на маршрутизаторе — на его работу между устройствами пользователя и интернетом — не кому даже и «матюкнутся» (ибо его софт никто не контролирует из сторонних АВ и прочих защитников).
Общается то с внешним миром именно снифер со своим сертификатом, он свой запрос подписанный своим сертификатом шлет на сервак, получая ответы, а затем дублирует сквозной исходный запрос, отвечая на свой запрос дропом соединения с ошибкой.
Усё Уася, два запроса, два идентичных ответа, один мне в сниф, второй юзеру на устройство. При чем дубль запроса и сбор данных идет только на интересующие домены (чтобы критично не тормозить трафик пользователю).
Нет. У вас не получится перехватить HTTPS трафик на роутере без установки своего сертификата на устройство (или без похищения приватного ключа сертификата компании AppSee).
Если вы смотрите HTTPS трафик, то он зашифрован временными ключами, которых у вас нет (они хранятся в памяти устройства и сервера). Если вы пытаетесь прикинуться сервером, то вы не сможете без сертификата доказать, что вы это настоящий сервер.
Деньги на карту наверняка вернут при незаконном снятии. А вот если ваше имя или телефон утекли в сеть или иностранным компаниям, которые вам ничего не должны, то вы их не удалите. А если они попали в базы NSA — то вообще ничего не сделаете.
Если вы смотрите HTTPS трафик, то он зашифрован временными ключами, которых у вас нет (они хранятся в памяти устройства и сервера). Если вы пытаетесь прикинуться сервером, то вы не сможете без сертификата доказать, что вы это настоящий сервер.
Деньги на карту наверняка вернут при незаконном снятии. А вот если ваше имя или телефон утекли в сеть или иностранным компаниям, которые вам ничего не должны, то вы их не удалите. А если они попали в базы NSA — то вообще ничего не сделаете.
У моей мамы со сберской карты увели 3000 руб. Полгода обращений вбанк ни к чему не привели, деньги никто не вернул.
Я не знаю деталей, и не могу что-то прокомментировать, но ведь это всего лишь небольшие деньги. По идее, банк должен возвращать деньги, если они были сняты без разрешения владельца карты так как только он может ими распоряжаться. Но персональные данные будут всю жизнь у кого-то храниться, передаваться и распространяться. Это гораздо хуже.
И то и другое плохо. А факты таковы — есть пострадавшие от утечки ПД, причем в ряде случаев ПД сливались спецслужбами (и не только российскими), которые клали с прибором что на GDPR, что на 152-ФЗ. Есть пострадавшие от кардеров, которым банки не стремятся возвращать деньги. Я не знаю, как у нее угнали карту, я не знаю как бы развивалась ситуация, если бы там было 300тыр. Так что что хуже — не ясно.
Вы промахнулись веткой?)
хакер_и_солонки.txt, ИМХО
Не самая приятная функция, и по-хорошему разработчики должны бы спрашивать подтверждения — но тут из неё сделали какую-то детективно-шпионскую историю, местами переходящую в драму.
В общем «Ну да, ну ужас. Но не ужас-ужас-ужас!!!».
Но вектор атаки интересный, да.
Не самая приятная функция, и по-хорошему разработчики должны бы спрашивать подтверждения — но тут из неё сделали какую-то детективно-шпионскую историю, местами переходящую в драму.
В общем «Ну да, ну ужас. Но не ужас-ужас-ужас!!!».
Но вектор атаки интересный, да.
Ну спросят они подтверждения. Ну откажешь ты. А они не послушают и все равно будут писать видео. Как будто ваша галочка под EULA что-то значит…
… когда вас надо засудить — «вы же сами все подписывали»
… когда им надо отмазаться — «мы не знаем, что там написано»
… когда вас надо засудить — «вы же сами все подписывали»
… когда им надо отмазаться — «мы не знаем, что там написано»
> Как будто ваша галочка под EULA что-то значит
Да, значит. Открывайте ГК РФ и читайте что такое акцепт публичной оферты. Ставя галочку или нажимая кнопку «Согласен» вы совершаете юридически значимое действие. А то что вы об этом не задумываетесь — ваши проблемы.
Да, значит. Открывайте ГК РФ и читайте что такое акцепт публичной оферты. Ставя галочку или нажимая кнопку «Согласен» вы совершаете юридически значимое действие. А то что вы об этом не задумываетесь — ваши проблемы.
Закон может добавлять более строгие требования. Например, для рассылки спама нужно получить письменное согласие пользователя, а не галочку под соглашением из 10000 слов. А в банке обязаны назвать точную стоимость кредита, а не прятать ее в куче длинных условий и предложений.
И это правильно, так как компаниям, понятно, выгоднее спрятать важную информацию. Банку выгоднее не говорить сумму кредита, а составить такой план, чтобы казалось, что он дешевле, чем есть. Приложениям выгоднее не рассказывать пользователю, какую информацию они извлекают из телефона.
И конечно, если где-то есть недоработки, то значит нужны новые законы, которые запретят тайную слежку за пользователем. Если программа хочет следить — то пусть скажет об этом явно и открыто, не пряча ничего в EULA. И даст возможность покупать бургеры, отказавшись от слежки.
Для работы с персональными данными во многих случаях галочки недостаточно. Тем более что тут и галочки не было, как я понял. Юридически ли значимо нажатие кнопки в общем случае — вопрос спорный. Так ведь можно сделать условие, что «нажав на галочку, вы обязуетесь пожизненно платить 10 000 рублей в месяц за аренду программы и оплатить неустойку в размере 1 000 000 р за досрочный разрыв соглашения». Но я что-то сомневаюсь, что вы сможете этот миллион отсудить у пользователя.
Здесь приложение, никак не предупредив пользователя, ведет скрытую видеозапись экрана и тайно собирает информацию об устройстве, вроде номера IMEI. Больше напоминает шпионский функционал, не находите? Зачем им номер IMEI? Вычислять тех, кто ввез телефон из Китая нелегально?
> А то что вы об этом не задумываетесь — ваши проблемы.
А вы когда приходите в кафе, магазин, гостиницу или клинику, читаете все договоры, соглашения, дополнительные условия? Вы ведь сами можете оказаться в ситуации, когда у вас появятся проблемы. Скажите спасибо, что по нашим законам такие соглашения сильно ограничены Гражданским Кодексом. Если бы законодатели рассуждали как вы, то тогда вообще на улицу нельзя было бы выйти, не нарушив какое-нибудь соглашение и не попав на деньги.
И это правильно, так как компаниям, понятно, выгоднее спрятать важную информацию. Банку выгоднее не говорить сумму кредита, а составить такой план, чтобы казалось, что он дешевле, чем есть. Приложениям выгоднее не рассказывать пользователю, какую информацию они извлекают из телефона.
И конечно, если где-то есть недоработки, то значит нужны новые законы, которые запретят тайную слежку за пользователем. Если программа хочет следить — то пусть скажет об этом явно и открыто, не пряча ничего в EULA. И даст возможность покупать бургеры, отказавшись от слежки.
Для работы с персональными данными во многих случаях галочки недостаточно. Тем более что тут и галочки не было, как я понял. Юридически ли значимо нажатие кнопки в общем случае — вопрос спорный. Так ведь можно сделать условие, что «нажав на галочку, вы обязуетесь пожизненно платить 10 000 рублей в месяц за аренду программы и оплатить неустойку в размере 1 000 000 р за досрочный разрыв соглашения». Но я что-то сомневаюсь, что вы сможете этот миллион отсудить у пользователя.
Здесь приложение, никак не предупредив пользователя, ведет скрытую видеозапись экрана и тайно собирает информацию об устройстве, вроде номера IMEI. Больше напоминает шпионский функционал, не находите? Зачем им номер IMEI? Вычислять тех, кто ввез телефон из Китая нелегально?
> А то что вы об этом не задумываетесь — ваши проблемы.
А вы когда приходите в кафе, магазин, гостиницу или клинику, читаете все договоры, соглашения, дополнительные условия? Вы ведь сами можете оказаться в ситуации, когда у вас появятся проблемы. Скажите спасибо, что по нашим законам такие соглашения сильно ограничены Гражданским Кодексом. Если бы законодатели рассуждали как вы, то тогда вообще на улицу нельзя было бы выйти, не нарушив какое-нибудь соглашение и не попав на деньги.
Я не защищал БК, я полностью поддерживаю автора поймавшего их на воровстве и вранье. Я лишь отвечал на глупость, что якобы акцепт публичной оферты ничего не значит.
Ладно, побуду диванным юристом. Давайте разделять понятия EULA и оферта. В США есть юридический трюк, там копирование программы в память при запуске регулируется авторским правом и если вы не принимаете EULA (которая это разрешение), то нарушаете авторское право. У нас в России, к счастью, такого маразма нет: если кто-то предлагает программу бесплатно, то ей можно бесплатно пользоваться без всяких EULA.
Теперь вернемся к оферте. ГК, ст. 435:
> 1. Офертой признается адресованное одному или нескольким конкретным лицам предложение, которое достаточно определенно и выражает намерение лица, сделавшего предложение, считать себя заключившим договор с адресатом, которым будет принято предложение.
> Оферта должна содержать существенные условия договора.
> 2. Оферта связывает направившее ее лицо с момента ее получения адресатом.
ГК, ст. 437:
> 2. Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
ГК, ст. 438:
> 3. Совершение лицом, получившим оферту, в срок, установленный для ее акцепта, действий по выполнению указанных в ней условий договора (отгрузка товаров, предоставление услуг, выполнение работ, уплата соответствующей суммы и т.п.) считается акцептом, если иное не предусмотрено законом, иными правовыми актами или не указано в оферте.
Обратите внимание на то, что я выделил. Оферта должна содержать существенные условия договора. Короткая фраза, «нажимая кнопку, вы соглашаетесь с условиями» не содержит существенных условий и потому на мой взгляд не может быть офертой.
Также, обратите внимание на ст 438. Пока вы не выполнили условия договора (к которым нажатие кнопки вряд ли можно принтянуть), например, пока не заплатили за услугу, можно смело считать, что оферту вы не принимали.
Наконец, как мне кажется, закон подразумевает свободный выбор — соглашаться или не соглашаться с офертой. Более того, ст. 443 даже предлагает третий вариант ответа:
> Ответ о согласии заключить договор на иных условиях, чем предложено в оферте, не является акцептом.
> Такой ответ признается отказом от акцепта и в то же время новой офертой.
Если приложение не дает возможности выбора, или предложения другого варианта ответа, то, как мне кажется, нельзя говорить о свободе выбора и о согласии.
Иначе бы любой магазин мог написать: «входя в наш магазин вы соглашаетесь пожизненно оплачивать наши услуги».
Я например не вижу разницы между «входя в наш магазин вы соглашаетесь..» и «нажимая кнопку регистрации, вы соглашаетесь ...». Вы видите?
Теперь вернемся к оферте. ГК, ст. 435:
> 1. Офертой признается адресованное одному или нескольким конкретным лицам предложение, которое достаточно определенно и выражает намерение лица, сделавшего предложение, считать себя заключившим договор с адресатом, которым будет принято предложение.
> Оферта должна содержать существенные условия договора.
> 2. Оферта связывает направившее ее лицо с момента ее получения адресатом.
ГК, ст. 437:
> 2. Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
ГК, ст. 438:
> 3. Совершение лицом, получившим оферту, в срок, установленный для ее акцепта, действий по выполнению указанных в ней условий договора (отгрузка товаров, предоставление услуг, выполнение работ, уплата соответствующей суммы и т.п.) считается акцептом, если иное не предусмотрено законом, иными правовыми актами или не указано в оферте.
Обратите внимание на то, что я выделил. Оферта должна содержать существенные условия договора. Короткая фраза, «нажимая кнопку, вы соглашаетесь с условиями» не содержит существенных условий и потому на мой взгляд не может быть офертой.
Также, обратите внимание на ст 438. Пока вы не выполнили условия договора (к которым нажатие кнопки вряд ли можно принтянуть), например, пока не заплатили за услугу, можно смело считать, что оферту вы не принимали.
Наконец, как мне кажется, закон подразумевает свободный выбор — соглашаться или не соглашаться с офертой. Более того, ст. 443 даже предлагает третий вариант ответа:
> Ответ о согласии заключить договор на иных условиях, чем предложено в оферте, не является акцептом.
> Такой ответ признается отказом от акцепта и в то же время новой офертой.
Если приложение не дает возможности выбора, или предложения другого варианта ответа, то, как мне кажется, нельзя говорить о свободе выбора и о согласии.
Иначе бы любой магазин мог написать: «входя в наш магазин вы соглашаетесь пожизненно оплачивать наши услуги».
Я например не вижу разницы между «входя в наш магазин вы соглашаетесь..» и «нажимая кнопку регистрации, вы соглашаетесь ...». Вы видите?
То есть в моем понимании, публичная оферта выглядит как-то так:
— Продам 10 кг сахара за 500 руб.
— Любой пришедший в БК с котом на голове может купить большой бургер со скидкой 50%.
Тут все есть: и существенные условия, и видно, какое действие надо сделать, чтобы принять оферту (заплатить за сахар или за бургер), и видны обязательства продавца (продать указанный товар по оговоренной цене).
Теперь посмотрим на соглашение, которое придумали в БК: burgerking.ru/legal_for_app
Оно явно сделано на американский манер и напоминает американскую EULA, а не оферту. Попробуйте найти там предмет договора. О чем этот договор? О том, что пользователь обязывается пользоваться приложением? Попробуйте найти обязанности компании. Что она должна сделать в рамках договора?
> 2.1. Настоящее Соглашение регламентирует отношения между Компанией и Пользователем, надлежащим образом, присоединившееся к настоящему Соглашению для использования мобильного Приложения.
Но никто не запрещает пользоваться приложением, не присоединяясь к соглашению. Нажатие кнопки или ввод номера телефона очевидно таким не является.
> 2.3. Условия настоящего Соглашения являются публичной офертой в соответствии с частью 2 ст. 437 Гражданского кодекса Российской Федерации, и использование Приложения возможно исключительно на условиях настоящего Соглашения.
Нет, так как пользователю не показываются существенные условия договора и не дается возможности выбора. Приложение распространяется бесплатно, следовательно пользоваться им можно без заключения договоров. Иначе оно бы выдавалось только под роспись.
> 2.4. Использование Приложения является акцептом публичной оферты и подтверждением согласия Пользователя с условиями настоящего Соглашения.
Такого в законе не предусмотрено.
> 2.5… Компания вправе вносить изменения и/или дополнения в Соглашение. При внесении изменений в Соглашение Компания публикует новую действующую редакцию Соглашения, и дата публикации является датой вступления в силу новой редакции Соглашения.
Насколько я помню, закон такого не допускает. По крайней мере, если новое соглашение ставит пользователя в менее выгодные условия.
> 5.1.… Компания вправе от своего имени направлять Пользователю… рекламные или иные сообщения на адрес электронной почты, номер телефона, указанные Пользователем,…
Это противоречит закону, который требует письменное согласие, если я не путаю.
Поищем теперь обязанности, выполнение которых Пользователем могло бы подразумевать принятие оферты в соотв-и со ст. 438 ГК, если бы она была предложена ему должным образом.
> 4.2. Пользователь обязуется не распространять ложную или конфиденциальную информацию о Приложении или о Компании.
То есть если пользователь распространяет ложную информацию, то он не выполнил условия и не принял оферту? Да и я не уверен, что это не противоречит свободе слова.
> 4.3. Пользователь обязуется не использовать стороннее ПО и другие технические средства, влияющие на работу Приложения.
Опять же, если использует — значит не принял оферту?
Если вы прочитаете соглашение, то вы не найдете там предмета договора. Там нет слов вроде «компания обязуется продать пользователю выбранный им бургер, а пользователь — оплатить и забрать его в установленный срок». Там только общие слова вроде пользователь разрешает обрабатывать свои данные, обязуется не декомпилировать приложение. А обязанностей компании там вообще нет. То есть это даже договором нельзя считать, так как он не обязывает одну из сторон ни к чему.
Также, как я понимаю, пользователю при запуске приложение существенные условия договора не показываются и он может пользоваться приложением без принятия каких-либо оферт.
В общем, у меня ощущение, что юристы там просто скопировали соглашение с какого-то американского сайта, либо у российской компании, которая скопировала его с американской EULA.
— Продам 10 кг сахара за 500 руб.
— Любой пришедший в БК с котом на голове может купить большой бургер со скидкой 50%.
Тут все есть: и существенные условия, и видно, какое действие надо сделать, чтобы принять оферту (заплатить за сахар или за бургер), и видны обязательства продавца (продать указанный товар по оговоренной цене).
Теперь посмотрим на соглашение, которое придумали в БК: burgerking.ru/legal_for_app
Оно явно сделано на американский манер и напоминает американскую EULA, а не оферту. Попробуйте найти там предмет договора. О чем этот договор? О том, что пользователь обязывается пользоваться приложением? Попробуйте найти обязанности компании. Что она должна сделать в рамках договора?
> 2.1. Настоящее Соглашение регламентирует отношения между Компанией и Пользователем, надлежащим образом, присоединившееся к настоящему Соглашению для использования мобильного Приложения.
Но никто не запрещает пользоваться приложением, не присоединяясь к соглашению. Нажатие кнопки или ввод номера телефона очевидно таким не является.
> 2.3. Условия настоящего Соглашения являются публичной офертой в соответствии с частью 2 ст. 437 Гражданского кодекса Российской Федерации, и использование Приложения возможно исключительно на условиях настоящего Соглашения.
Нет, так как пользователю не показываются существенные условия договора и не дается возможности выбора. Приложение распространяется бесплатно, следовательно пользоваться им можно без заключения договоров. Иначе оно бы выдавалось только под роспись.
> 2.4. Использование Приложения является акцептом публичной оферты и подтверждением согласия Пользователя с условиями настоящего Соглашения.
Такого в законе не предусмотрено.
> 2.5… Компания вправе вносить изменения и/или дополнения в Соглашение. При внесении изменений в Соглашение Компания публикует новую действующую редакцию Соглашения, и дата публикации является датой вступления в силу новой редакции Соглашения.
Насколько я помню, закон такого не допускает. По крайней мере, если новое соглашение ставит пользователя в менее выгодные условия.
> 5.1.… Компания вправе от своего имени направлять Пользователю… рекламные или иные сообщения на адрес электронной почты, номер телефона, указанные Пользователем,…
Это противоречит закону, который требует письменное согласие, если я не путаю.
Поищем теперь обязанности, выполнение которых Пользователем могло бы подразумевать принятие оферты в соотв-и со ст. 438 ГК, если бы она была предложена ему должным образом.
> 4.2. Пользователь обязуется не распространять ложную или конфиденциальную информацию о Приложении или о Компании.
То есть если пользователь распространяет ложную информацию, то он не выполнил условия и не принял оферту? Да и я не уверен, что это не противоречит свободе слова.
> 4.3. Пользователь обязуется не использовать стороннее ПО и другие технические средства, влияющие на работу Приложения.
Опять же, если использует — значит не принял оферту?
Если вы прочитаете соглашение, то вы не найдете там предмета договора. Там нет слов вроде «компания обязуется продать пользователю выбранный им бургер, а пользователь — оплатить и забрать его в установленный срок». Там только общие слова вроде пользователь разрешает обрабатывать свои данные, обязуется не декомпилировать приложение. А обязанностей компании там вообще нет. То есть это даже договором нельзя считать, так как он не обязывает одну из сторон ни к чему.
Также, как я понимаю, пользователю при запуске приложение существенные условия договора не показываются и он может пользоваться приложением без принятия каких-либо оферт.
В общем, у меня ощущение, что юристы там просто скопировали соглашение с какого-то американского сайта, либо у российской компании, которая скопировала его с американской EULA.
Кстати, в ГК можно найти много интересного, если покопаться. Как вам такое:
ГК, ст. 169:
> Статья 169. Недействительность сделки, совершенной с целью, противной основам правопорядка или нравственности
> Сделка, совершенная с целью, заведомо противной основам правопорядка или нравственности, ничтожна и влечет последствия, установленные статьей 167 настоящего Кодекса. В случаях, предусмотренных законом, суд может взыскать в доход Российской Федерации все полученное по такой сделке сторонами, действовавшими умышленно, или применить иные последствия, установленные законом.
На мой взгляд, тайная видеозапись экрана, а также тайное получение IMEI противно основам нравственности; это очевидно аморально. Да и реклама от БК, скажем прямо, балансирует рядом с границей нравственности.
> Статья 170. Недействительность мнимой и притворной сделок
> 1. Мнимая сделка, то есть сделка, совершенная лишь для вида, без намерения создать соответствующие ей правовые последствия, ничтожна.
Размытое пользовательское соглашение, которое не накладывает никаких обязательств на БК, очень напоминает «мнимую сделку», совершенную лишь для вида.
> Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
> 1. Сделка, совершенная под влиянием заблуждения, может быть признана судом недействительной по иску стороны, действовавшей под влиянием заблуждения, если заблуждение было настолько существенным, что эта сторона, разумно и объективно оценивая ситуацию, не совершила бы сделку, если бы знала о действительном положении дел.
Очевидно, что тут есть заблуждение: реклама обещала, что приложение просто раздает бесплатные купоны, а на самом деле приложение собирает персональные данные, номер IMEI и тайком проводит тесты на устройстве пользователя, жрет трафик как не в себя. И конечно многие бы не стали его ставить, если бы знали об этом.
> Статья 179. Недействительность сделки, совершенной под влиянием обмана, насилия, угрозы или неблагоприятных обстоятельств
> 2. Сделка, совершенная под влиянием обмана, может быть признана судом недействительной по иску потерпевшего.
> Обманом считается также намеренное умолчание об обстоятельствах, о которых лицо должно было сообщить при той добросовестности, какая от него требовалась по условиям оборота.
Я сначала думал, что «обмана» тут нет, но потом перечитал и вижу, что умолчание БК о тайных функциях приложения вполне можно посчитать таковым при желании.
Замечу, что я не юрист. Также, российские суды могут иногда очень причудливо трактовать законы, не обязательно так же, как я.
ГК, ст. 169:
> Статья 169. Недействительность сделки, совершенной с целью, противной основам правопорядка или нравственности
> Сделка, совершенная с целью, заведомо противной основам правопорядка или нравственности, ничтожна и влечет последствия, установленные статьей 167 настоящего Кодекса. В случаях, предусмотренных законом, суд может взыскать в доход Российской Федерации все полученное по такой сделке сторонами, действовавшими умышленно, или применить иные последствия, установленные законом.
На мой взгляд, тайная видеозапись экрана, а также тайное получение IMEI противно основам нравственности; это очевидно аморально. Да и реклама от БК, скажем прямо, балансирует рядом с границей нравственности.
> Статья 170. Недействительность мнимой и притворной сделок
> 1. Мнимая сделка, то есть сделка, совершенная лишь для вида, без намерения создать соответствующие ей правовые последствия, ничтожна.
Размытое пользовательское соглашение, которое не накладывает никаких обязательств на БК, очень напоминает «мнимую сделку», совершенную лишь для вида.
> Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
> 1. Сделка, совершенная под влиянием заблуждения, может быть признана судом недействительной по иску стороны, действовавшей под влиянием заблуждения, если заблуждение было настолько существенным, что эта сторона, разумно и объективно оценивая ситуацию, не совершила бы сделку, если бы знала о действительном положении дел.
Очевидно, что тут есть заблуждение: реклама обещала, что приложение просто раздает бесплатные купоны, а на самом деле приложение собирает персональные данные, номер IMEI и тайком проводит тесты на устройстве пользователя, жрет трафик как не в себя. И конечно многие бы не стали его ставить, если бы знали об этом.
> Статья 179. Недействительность сделки, совершенной под влиянием обмана, насилия, угрозы или неблагоприятных обстоятельств
> 2. Сделка, совершенная под влиянием обмана, может быть признана судом недействительной по иску потерпевшего.
> Обманом считается также намеренное умолчание об обстоятельствах, о которых лицо должно было сообщить при той добросовестности, какая от него требовалась по условиям оборота.
Я сначала думал, что «обмана» тут нет, но потом перечитал и вижу, что умолчание БК о тайных функциях приложения вполне можно посчитать таковым при желании.
Замечу, что я не юрист. Также, российские суды могут иногда очень причудливо трактовать законы, не обязательно так же, как я.
[сарказм]
Строгость законов компенсируется необязательностью их исполнения — раз.
Два — в EULA могут написать абсолютно что угодно. Законов, регулирующих возможные или невозможные последствия по EULA, насколько мне известно, у нас нет.
Иными словами, это что-то значит для вас — если вы вчитаетесь. Но 99% компаний знают, что никто это не читает. Можно написать туда любую вредоносную хрень и знать — и её акцепнут.
Юридически, формально согласятся! А значит она станет «законной» и «правомерной».
Поэтому вам скажут: «А вы сами подписали, мы то тут причем?» — когда надо будет вас обвинить.
И скажут «У нас длинная еула, но её никто не читает», когда надо будет обелить себя.
Исходный посыл был именно таким. Читайте пожалуйста не через слово.
Строгость законов компенсируется необязательностью их исполнения — раз.
Два — в EULA могут написать абсолютно что угодно. Законов, регулирующих возможные или невозможные последствия по EULA, насколько мне известно, у нас нет.
Иными словами, это что-то значит для вас — если вы вчитаетесь. Но 99% компаний знают, что никто это не читает. Можно написать туда любую вредоносную хрень и знать — и её акцепнут.
Юридически, формально согласятся! А значит она станет «законной» и «правомерной».
Поэтому вам скажут: «А вы сами подписали, мы то тут причем?» — когда надо будет вас обвинить.
И скажут «У нас длинная еула, но её никто не читает», когда надо будет обелить себя.
Исходный посыл был именно таким. Читайте пожалуйста не через слово.
Отвечаю. Читайте внимательно каждое слово.
Я ВСЕГДА читаю ВЕСЬ текст ВСЕХ договоров которые я подписываю или акцепчу. Всегда весь текст. И, да, я даже при установке программ о которых мне известно, что они распространяются под GNU GPL известной мне версии ОБЯЗАТЕЛЬНО читаю текст который показывает программа, прежде чем его акцептить.
Я ВСЕГДА читаю ВЕСЬ текст ВСЕХ договоров которые я подписываю или акцепчу. Всегда весь текст. И, да, я даже при установке программ о которых мне известно, что они распространяются под GNU GPL известной мне версии ОБЯЗАТЕЛЬНО читаю текст который показывает программа, прежде чем его акцептить.
Отлично! Рад за вас.
Сколько % пользователей этого не делают? Вот то-то и оно.
Нет механизмов, регулирующих добросовестность таких предложений…
Сколько % пользователей этого не делают? Вот то-то и оно.
Нет механизмов, регулирующих добросовестность таких предложений…
Есть. Например, в ГК РФ второй параграф 9-й главы описывает такие механизмы для разных случаев.
Разве что
Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
нам тут поможет в случае чего.
Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
нам тут поможет в случае чего.
Тут важно не забывать, что у EULA-подобных соглашений может быть разный статус в разных странах. Я, как диванный юрист, пока не нашел законов, которые бы обязывали вас соглашаться с ними или интерпретировали нажатие кнопки на сайте/установку бесплатного приложения как принятие оферты.
Договор присоединения — не оно?
Не оно, так как тут речь про присоединение путем подписи или электронной подписи. Нажатие кнопки на экране таковым не является.
Совершение лицом, получившим оферту, в срок, установленный для ее акцепта, действий по выполнению указанных в ней условий договора (отгрузка товаров, предоставление услуг, выполнение работ, уплата соответствующей суммы и т.п.) считается акцептом, если иное не предусмотрено законом, иными правовыми актами или не указано в оферте.
Даже обычное пользование приложением или сайтом (конклюдентные действия) вполне может обозначать акцепт соглашения, не говоря о нажатии кнопки "я согласен".
Во-первых, я уже разбирал в другом комментарии недочет:
habr.com/post/417161/#comment_18883373
> Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
В приложении БК явно нет предложения, которое бы содержало существенные условия договора и с которым пользователь ознакамливается перед использованием.
По поводу «действий по выполнению указанных в ней условий договора» — тут вопрос, насколько процентов надо выполнить указанные действия в оферте, чтобы ее принять? Ведь предмет договора — не нажатие кнопки, а обычно это оказание каких-то услуг (в нормальных договорах, а не в том что у БК, сделанном по американской модели с опорой на копирайт). И нажатие кнопки это лишь маленький шаг на пути к выполнению. Не может ли пользователь сказать, «я и не собирался принимать оферту, я просто хотел посмотреть бургеры в приложении».
Если бы так можно было делать, что мешало бы ресторану писать «войдя в ресторан, вы соглашаетесь...»?
И еще важный момент, из ст. 435,
> 2. Оферта связывает направившее ее лицо с момента ее получения адресатом.
Тут в договоре для БК не определено никаких обязательств и он никак не связывает их.
habr.com/post/417161/#comment_18883373
> Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
В приложении БК явно нет предложения, которое бы содержало существенные условия договора и с которым пользователь ознакамливается перед использованием.
По поводу «действий по выполнению указанных в ней условий договора» — тут вопрос, насколько процентов надо выполнить указанные действия в оферте, чтобы ее принять? Ведь предмет договора — не нажатие кнопки, а обычно это оказание каких-то услуг (в нормальных договорах, а не в том что у БК, сделанном по американской модели с опорой на копирайт). И нажатие кнопки это лишь маленький шаг на пути к выполнению. Не может ли пользователь сказать, «я и не собирался принимать оферту, я просто хотел посмотреть бургеры в приложении».
Если бы так можно было делать, что мешало бы ресторану писать «войдя в ресторан, вы соглашаетесь...»?
И еще важный момент, из ст. 435,
> 2. Оферта связывает направившее ее лицо с момента ее получения адресатом.
Тут в договоре для БК не определено никаких обязательств и он никак не связывает их.
Я так понимаю, что есть. Те самые «условия» с которыми надо согласиться — это и есть предложение, оферта с существенным условием договора — возможностью сделать в приложении заказ и оплатить его, а потом получить в ресторане. В это суть этой сделки.
Обычно не считают в процентах, обычно или указываются конкретные действия, которые считаются акцептом, или, если дело доходит до суда, например, действия, которые явно свидетельствуют о намерении совершить сделку типа оплаты заказа.
Определены обязательства обеспечивать выдачу оплаченных заказов в ресторанах.
Обычно не считают в процентах, обычно или указываются конкретные действия, которые считаются акцептом, или, если дело доходит до суда, например, действия, которые явно свидетельствуют о намерении совершить сделку типа оплаты заказа.
Определены обязательства обеспечивать выдачу оплаченных заказов в ресторанах.
Ну да, ну ужас. Но не ужас-ужас-ужас!!!
С одной стороны, вы правы, скорее всего сильной проблемы не будет (некоторые компании сами принимают и хранят данные карт и никто особо не возмущается).
С другой стороны, бить по рукам нужно каждый раз когда начинают творить фигню без спроса пользователя. И такой хайп ПОЛЕЗЕН в любом случае, следующая компания несколько раз подумает прежде чем включать подобную аналитику без явного разрешения. То есть лучше пусть хайп будет несильно обоснованым, чем это станет нормой и все будут пожимать плечами «гостиница пишет на скрытую камеру, приложение заливает вирус и получает рут аксес к телефону, все твои приватные фотки утекли непонятно кому и непонятно зачем» — но ВСЕ ЖЕ ТАК ДЕЛАЮТ.
да дело даже не в том, что сделали драму, а в реакции бк.
Не видел их рекламу до Вашего поста. Теперь мнение о компании вообще испорчено.
А у меня во время глюка бонусной системы пропало 300 балов БК с карты, которые я накопил, не щадя живота своего. Я уже месяц жду ответа. Написал три жалобы, ответов нет. Бургер Кинг, доколе?
Я все больше убеждаюсь, что никакие GDPR не помогут. Нужно не просто наказывать контору за такие утечки и дыры, а наказывать в пользу каждого пострадавшего (чтобы компании не договаривались за кулисами с чиновниками о штрафах в пользу государства), а так же запретить эту порочную строчку в любой EULA — «мы ни за что не несем ответственности — ни за баги, ни за глюки, ни за дыры». Вот когда ответственность за все это будет, причем перед всеми пострадавшими — тогда можно о чем-то говорить. А то сейчас очень многие хорошо устроились — можно наворотить чего угодно, заплатить штраф государству, а всем пострадавшим накатать отмазку «приносим извинения за неудобство» и этим ограничиться. А то, что пострадавшие могут получить кучу проблем из-за отсутствия ответственности компании — это уже никого не волнует. (Как пример — банк по ошибке блокирует карту, два месяца разбирательств и две недели походов, в итоге «извинения за неудобства» и все. А Можно, например, кредит так гасить — два месяца не платить, а потом извиниться? Если б банк платил всем пострадавшим хотя б по ставке пени по кредитам, то разбирательство б занимало часы, а не месяцы. Очень удобно рассчитываться за любые косяки извинениями)
Если запретить строчку об отказе от ответственности — не будет работать GNU GPL. А это уже совсем нехорошо.
Не будет работать любая публикация открытого исходного кода. "У меня из-за вашего leftpad самолёт упал, оплатите пожалуйста".
Но всё же где-то надо провести грань между "я тут сделал код, пользуйтесь, но аккуратно" и "я банк, взял ваши деньги на счёт и могу их морозить, удерживать полгода и мне на всё наплевать". Последнее кстати и так активно пытаются регулировать в разных странах, но индивидуально для каждой области.
Это, имхо. решаемо очень просто — если софт открытый, то ответственность несет тот, кто его бездумно использует («я скачал код с гитхаба, ничего не проверил, и самолет упал» — значит виноват ты, потому что должен был проверить). Если софт закрытый — то ответственность несет и разработчик и использующий — а кто больше, или кто не виноват — пусть выясняют потом в суде, а не сваливают с больной головы на юзеров. Потому что с софтом получается удивительная история, когда можно продать (именно продать, за деньги) глючный или того хуже продукт, и ничего за это продавцу не будет. На том же хабре были статьи о том. как адейты того или иного софта оказывались дырявыми, сливали пароли и тп. Почему-то копирасты очень любят сравнивать нематериальные продукты с материальными (кража и тп), но нести ответственность на том же уровне, как ее несут производители материальных продуктов, совершенно не хотят.
Как минимум это должно касаться любого софта, работающего с банковскими и прочими финансовыми данными, и софта, критичного для безопасности окружающих (управление коммуналкой, транспортом и тп). Если глючит игрушка или видеопроигрыватель — то это пережить можно.
Тема не такая простая, как может показаться. Закрытый софт тоже бывает бесплатным. Или может стоить очень дёшево. Я продам простенькую утилиту за $1, а у меня потом попытаются отсудить в сто тысяч раз больше. Проще тогда вообще не заниматься таким мелким бизнесом. Можно конечно сказать, мол давайте открывать вообще весь код. Но это тоже не выход. Заработать на открытом коде не всегда получается. Одно дело, когда человек открывает код осознанно. И совсем другое — когда он вынужден это делать. К тому же, если у приложения есть серверная часть, то вообще не важно открытый там код, или закрытый — нельзя проверить, из каких исходников собрано то, что крутится на сервере. То есть весь web пролетает. Да и не только он.
Вообще, я с вами согласен, что отказ от ответственности порой ведёт к беспределу. Проблема существует. Но, на мой взгляд, попытка её решить приведёт к ещё большим проблемам. Излишнее закручивание гаек, слишком сильно ударит по мелкому бизнесу — небольшим софтверным компаниям, и независимым разработчикам. Моментально появится куча троллей, которые будут профессионально выискивать баги, и подавать в суд. Крупные игроки потянут издержки. У них есть деньги. У них есть юристы, даже целые юридические отделы. У программиста одиночки юристов нет. Даже если в итоге он окажется прав, суд отнимет у него много времени и сил. А если окажется неправ — одна ошибка, возможно, будет стоить ему всего, что он заработал за несколько лет. И как-то это не выглядит справедливым. Мелкие игроки будут просто вытеснены с рынка. Конкуренции станет меньше. Издержек больше. Цены на софт взлетят до небес.
Вообще, я с вами согласен, что отказ от ответственности порой ведёт к беспределу. Проблема существует. Но, на мой взгляд, попытка её решить приведёт к ещё большим проблемам. Излишнее закручивание гаек, слишком сильно ударит по мелкому бизнесу — небольшим софтверным компаниям, и независимым разработчикам. Моментально появится куча троллей, которые будут профессионально выискивать баги, и подавать в суд. Крупные игроки потянут издержки. У них есть деньги. У них есть юристы, даже целые юридические отделы. У программиста одиночки юристов нет. Даже если в итоге он окажется прав, суд отнимет у него много времени и сил. А если окажется неправ — одна ошибка, возможно, будет стоить ему всего, что он заработал за несколько лет. И как-то это не выглядит справедливым. Мелкие игроки будут просто вытеснены с рынка. Конкуренции станет меньше. Издержек больше. Цены на софт взлетят до небес.
НЛО прилетело и опубликовало эту надпись здесь
А тут дело не всегда в программисте. Начинающий программист может просто не осознавать что он сделал что-то не так и его вины в этом нет. Тут больше вопрос к компании, которая не может нормально организовать свои процессы разработки, чтобы новички учились быстрее и не пропускать откровенную лажу в продакш.
Программисты и компании-разработчики (вернее их руководители) могут тоже понести уголовную ответственность за неосторожность при совпадении тех же, по которым её могут понести врачи, да и вообще любые люди. Никаких отдельных «врачебных» статей в УК РФ нет.
НЛО прилетело и опубликовало эту надпись здесь
В должностные обязанности какого программиста входит писать безошибочный код? Врачи несут ответственность не за любую ошибку, а за нарушение установленных процедур, приведшее к вреду.
НЛО прилетело и опубликовало эту надпись здесь
Так в том-то и дело, что не написано, потому и не за что привлекать. А вот попытка написать подобные стандарты обязательные для всех программистов, приведёт только к удорожанию разработки за счёт качественного увеличения трудоемкости с одной стороны, и уменьшения количества программистов, с другой. Отрасль пошла по другому пути, который кратко можно описать так: «заказчик определяет требования к качеству кода и проверяет их исполнение». Кому качество важно тратит кучу времени и денег на составление требований, а так же на аудит результата. Кому важен хоть какой-то результат — платит только за это. Ответственность за несоблюдение требований к коду созданному по общегражданскому договору — как ни странно, гражданская. По трудовому — дисциплинарная. За сознательные попытки выдать некачественный код за качественный с целью получения вознаграждения как за качественный — уголовная. Мало?
НЛО прилетело и опубликовало эту надпись здесь
Программисты отвечают. Уголовная отвественность за преступления по неосторожности общая, без профессий. Дисциплинарная. Гражданская.
Заказчик не должен понимать в разработке, но заказчик должен понимать в требованиях к разработке и контроле их выполнения, если заказывает разработку. Если нет таких компетенций, то можно нанять третьих лиц. Или принимать покликав мышкой «вроде работает».
Заказчик не должен понимать в разработке, но заказчик должен понимать в требованиях к разработке и контроле их выполнения, если заказывает разработку. Если нет таких компетенций, то можно нанять третьих лиц. Или принимать покликав мышкой «вроде работает».
НЛО прилетело и опубликовало эту надпись здесь
Так заказчик выбирает сам платить ему за качество или нет. Может прописать в договоре огромные штрафы за баги, например. Но тогда вероятно ему и цену пропишут, учитывающие эти штрафы.
Что значит «никак»? Как минимум увольняют людей за грубые ошибки часто. Дисциплинарная отвественность. Нет прецедентов? Никому они не нужны значит. Кстати, насчёт «неумения» — основаня отвественность тогда лежит на том, кто допустил до работы неумеху или выдал ему диплом или сертификат, который подразумевает умение.
Что значит «никак»? Как минимум увольняют людей за грубые ошибки часто. Дисциплинарная отвественность. Нет прецедентов? Никому они не нужны значит. Кстати, насчёт «неумения» — основаня отвественность тогда лежит на том, кто допустил до работы неумеху или выдал ему диплом или сертификат, который подразумевает умение.
> После чего неделями приходится вылавливать сервисных инженеров и заставлять вертать настройки взад?
Понимаете какая фигня, в лечении нельзя вертать настройки взад, поэтому там непозволительно не иметь государственные стандарты лечения.
Наличие же стандартов кодирования определяется экономической целесообразностью в каждом конкретном случае, обычно такой целесообразности нет. Вы не хотите платить за каждый сайтик как за разработку лекарства, впрочем можете — тогда и соответствующего подхода требовать сможете.
Экономическую целесообразность можно менять через добавление ответственности компании-разработчика в договор. Как, впрочем, и через возмещение вреда [здоровью] по суду.
Разработчика, откровенно не соблюдающего стандарты увольняют задолго до того, как его код попадёт в продакшен. Контроль за соблюдением этого предиката находится вне компетенции конкретного разработчика.
Т.е. если вам нужен софт хорошего качества — это надо не разработчиков наказывать, а нанимателей.
Разработчиков же надо наказывать за их личную недобросовестность (пример — Мурат Уртембаев), стандарты для этого не нужны.
Понимаете какая фигня, в лечении нельзя вертать настройки взад, поэтому там непозволительно не иметь государственные стандарты лечения.
Наличие же стандартов кодирования определяется экономической целесообразностью в каждом конкретном случае, обычно такой целесообразности нет. Вы не хотите платить за каждый сайтик как за разработку лекарства, впрочем можете — тогда и соответствующего подхода требовать сможете.
Экономическую целесообразность можно менять через добавление ответственности компании-разработчика в договор. Как, впрочем, и через возмещение вреда [здоровью] по суду.
Разработчика, откровенно не соблюдающего стандарты увольняют задолго до того, как его код попадёт в продакшен. Контроль за соблюдением этого предиката находится вне компетенции конкретного разработчика.
Т.е. если вам нужен софт хорошего качества — это надо не разработчиков наказывать, а нанимателей.
Разработчиков же надо наказывать за их личную недобросовестность (пример — Мурат Уртембаев), стандарты для этого не нужны.
НЛО прилетело и опубликовало эту надпись здесь
> Например, что примеры были приведены как раз про мед.лабораторию?
Вы таки хотите из-за частностей ввести стандарты медлабораторий для сайтиков? А ходить по домам, проверять кухни на соответствие стандартам пищевых производств не хотите?
> Ведь про реальность — я там выше примеры написал.
Вы таки как-то более конкретно озвучивайте, а не «я где-то что-то написал». Какой-то был пример где стандарт был нарушен, а прогер не наказан? Или просто похвастались, что пример из реальности, но к контексту не относится?
> Виртуально выдуманных вида отбивать не пробелами, а табами и писать комментарии подробные?
Ну, какие вы напишите — такие и будут. Да, проблему с Therac-25 решает CR при подробных комментариях.
> Каким образом? На основе чего? Что такого в описании они нарушили, за что их можно наказать?
На основании договора.
На основании причиненного вреда.
Вы как-будто не читаете что я пишу, в третий раз писать не буду.
> То есть, если они пишут точно зная, что так писать нельзя — они не виноваты?
Ну, что вы их мысли читать можете — это хорошо. Теперь мне объясните. Почему так нельзя и откуда именно они должны об этом точно знать? Что такое «нормальное тестирование» в 1985 году? С чего вы взяли, что программист выпускает в продакшн оборудование?
> Но вообще имелось ввиду совокупность всех, кто разрабатывает программу, то есть от менеджеров, до разработчиков, которые «просто выполняли приказы».
Где именно имелось в виду? И почему вы уборщиц исключили из списка («те вообще звери, им даже оружие в руки не дают» ©)?
Вы таки хотите из-за частностей ввести стандарты медлабораторий для сайтиков? А ходить по домам, проверять кухни на соответствие стандартам пищевых производств не хотите?
> Ведь про реальность — я там выше примеры написал.
Вы таки как-то более конкретно озвучивайте, а не «я где-то что-то написал». Какой-то был пример где стандарт был нарушен, а прогер не наказан? Или просто похвастались, что пример из реальности, но к контексту не относится?
> Виртуально выдуманных вида отбивать не пробелами, а табами и писать комментарии подробные?
Ну, какие вы напишите — такие и будут. Да, проблему с Therac-25 решает CR при подробных комментариях.
> Каким образом? На основе чего? Что такого в описании они нарушили, за что их можно наказать?
На основании договора.
На основании причиненного вреда.
Вы как-будто не читаете что я пишу, в третий раз писать не буду.
> То есть, если они пишут точно зная, что так писать нельзя — они не виноваты?
Ну, что вы их мысли читать можете — это хорошо. Теперь мне объясните. Почему так нельзя и откуда именно они должны об этом точно знать? Что такое «нормальное тестирование» в 1985 году? С чего вы взяли, что программист выпускает в продакшн оборудование?
> Но вообще имелось ввиду совокупность всех, кто разрабатывает программу, то есть от менеджеров, до разработчиков, которые «просто выполняли приказы».
Где именно имелось в виду? И почему вы уборщиц исключили из списка («те вообще звери, им даже оружие в руки не дают» ©)?
НЛО прилетело и опубликовало эту надпись здесь
> Кстати, где я написал, что стандарты должны охватывать ВСЮ отрасль и каждый чих разработчиков?
Кстати, а чего вы хотите то, конкретно?
> Или покупая дом, квартиру или проект дома вы подразумеваете, что его разработчики обладают должными навыками и соблюдают стандарты?
гг
> А вот вы, к сожалению, не умеете читать, как и оппонент выше
«Одна я умная, в белом пальто стою красивая!».
Кстати, а чего вы хотите то, конкретно?
> Или покупая дом, квартиру или проект дома вы подразумеваете, что его разработчики обладают должными навыками и соблюдают стандарты?
гг
> А вот вы, к сожалению, не умеете читать, как и оппонент выше
«Одна я умная, в белом пальто стою красивая!».
а так же запретить эту порочную строчку в любой EULA — «мы ни за что не несем ответственности — ни за баги, ни за глюки, ни за дыры». Вот когда ответственность за все это будет, причем перед всеми пострадавшими — тогда можно о чем-то говорить.
Разработка ПО будет стоить на порядок-другой дороже, т.к. будет больше тестирования. А кроме того, невозможно полностью протестировать более-менее сложное ПО, так что баги всё равно будут.
А сейчас в подавляющем большинстве случаев баги приемлемы, и ответственность никому не нужна.
Вот прямо сейчас у меня в Firefox тексты "отрицательных" комментариев рендерятся некорректно — половина коммента чёрным, половина — серым. В данном случае мне безразлично, но гипотетически кто-то мог бы понести убытки из-за такого бага. Если бы разработчики несли ответственность, можно было бы засудить либо Mozilla, либо ТМ. Они бы перестали существовать.
С чего вы решили, что засудить можно по любой, даже самой банальной баге, которая вообще ни на что не влияет? Тогда бы любой косяк приводил к закрытию конторы. Ведь таких ситуаций было много в других секторах, не только ИТ. Но этого не происходит.
Вообще, вот эти самые «гипотетически понесённые убытки» еще доказать надо. А если это реальный кейс, то почему контора не должна отвечать за свои действия?
А так глядишь и не было бы у нас понятия «кросбраузерности»))
Все браузеры показывали бы одинаковый контент движками сделанными по стандартам, а не кто как хочет.
Вообще, вот эти самые «гипотетически понесённые убытки» еще доказать надо. А если это реальный кейс, то почему контора не должна отвечать за свои действия?
А так глядишь и не было бы у нас понятия «кросбраузерности»))
Все браузеры показывали бы одинаковый контент движками сделанными по стандартам, а не кто как хочет.
Я даже больше скажу — сбербанк, например. продает страховку от собственных багов! В частности, точно есть страховка от двойного списания средств с карты. Это гениальный рэкет бизнес — создать баги, и потом брать деньги за страховку от них.
У меня как раз в единственный раз, когда я решил оплатить картой ощутимую для меня сумму, списали ее два раза, и почти три месяца я бегал и выбивал возврат, добился только после скандала в банке.
Или вот месяца 4 назад было массовое обновление софта у Почты России — в итоге отделения ПР не работали несколько дней почти везде. И если бы ПР нагнула разработчиков этого глюкодрома на всю утраченную прибыль (которая в данном случае очевидна — простой всей системы) — было бы превосходно.
Или с той же ПР несколько лет назад — тоже после очередного обновления заказное письмо с критичными документами уехало по совсем другому адресу (система почему-то автозаменила один индекс на другой), а так как адрес там был условно Ленина 10, кв 4, то попасть эти документы могли к кому угодно. Хорошо, директор отделения ПР меня хорошо знает, и удалось с его помощью письмо завернуть назад, но побегать пришлось. В других конторах тоже бывали проблемы из-за глюков софта. Вот за них и надо дрючить, чтоб на будущее такое делать было неповадно.
У меня как раз в единственный раз, когда я решил оплатить картой ощутимую для меня сумму, списали ее два раза, и почти три месяца я бегал и выбивал возврат, добился только после скандала в банке.
Или вот месяца 4 назад было массовое обновление софта у Почты России — в итоге отделения ПР не работали несколько дней почти везде. И если бы ПР нагнула разработчиков этого глюкодрома на всю утраченную прибыль (которая в данном случае очевидна — простой всей системы) — было бы превосходно.
Или с той же ПР несколько лет назад — тоже после очередного обновления заказное письмо с критичными документами уехало по совсем другому адресу (система почему-то автозаменила один индекс на другой), а так как адрес там был условно Ленина 10, кв 4, то попасть эти документы могли к кому угодно. Хорошо, директор отделения ПР меня хорошо знает, и удалось с его помощью письмо завернуть назад, но побегать пришлось. В других конторах тоже бывали проблемы из-за глюков софта. Вот за них и надо дрючить, чтоб на будущее такое делать было неповадно.
Так это и сейчас можно сделать без проблем. Главное — грамотно договор составить.
Правда, согласится на такие условия либо фирма-однодневка, которой пофигу на ваши санкции (денег на компенсацию убытков у неё всё равно нет), либо нормальная фирма за олимпиард денег.
Вот Вы бы за сколько взялись разрабатывать программу, если Вам скажут, что сделать нужно за полгода, а за каждый найденный баг у Вас могут отсудить, скажем, сто тысяч рублей?
Правда, согласится на такие условия либо фирма-однодневка, которой пофигу на ваши санкции (денег на компенсацию убытков у неё всё равно нет), либо нормальная фирма за олимпиард денег.
Вот Вы бы за сколько взялись разрабатывать программу, если Вам скажут, что сделать нужно за полгода, а за каждый найденный баг у Вас могут отсудить, скажем, сто тысяч рублей?
Вы как-то в одну сторону все передергиваете.
История с ответственностью за свои действия есть во многих отраслях, но почему-то в ИТ, которое сейчас играет очень важную роль в жизни большого количества людей, его нет. Нельзя просто так взять и выпустить например лекарство. Никому даже в голову не придет заказать разработку лекарства левой конторе за 10000$ и потом выпустить его с формулировкой «Сделали как смогли, все проблемы ваши».
Но в ИТ это почему-то норма. Хотя цена бага может быть очень высока. В том числе и человеческие жизни.
История с ответственностью за свои действия есть во многих отраслях, но почему-то в ИТ, которое сейчас играет очень важную роль в жизни большого количества людей, его нет. Нельзя просто так взять и выпустить например лекарство. Никому даже в голову не придет заказать разработку лекарства левой конторе за 10000$ и потом выпустить его с формулировкой «Сделали как смогли, все проблемы ваши».
Но в ИТ это почему-то норма. Хотя цена бага может быть очень высока. В том числе и человеческие жизни.
Да нет, не передёргиваю.
Есть рынок, и он говорит, что разработка софта сейчас дорогая.
Хотите большее качество? Всё, что угодно — за ваши деньги. Но никто почему-то не готов эти деньги платить, вот же незадача.
Я очень сильно подозреваю, что в тех областях, где от софта действительно зависят жизни людей либо большие деньги (скажем, в авиастроении), разработка как раз-таки обложена кучей тестов и стоит как чугунный мост.
Ну и писать про "человеческие жизни" в теме про запись видео с экрана телефона тоже на передёргивание смахивает, не находите?)
Насчет двойного списания у меня в свое время была зарплатная карта в госучреждении, где я трудился (Балтийского банка) и я был один на миллион, по их мнению, кто пользовался картой VISA Classic для покупок в инете, поэтому на удобство людей можно забить и каждую мою покупку в продуктовом магазине (причем только в них!) банк всегда списывал 2 раза, и раз — два в месяц я приходил и просил вернуть 30-50 тысяч рублей обратно, там даже операционистки меня узнавали и не задавали лишних вопросов… Было правда это году в 2012, а сейчас и банка того не существует… Но было весело когда ощутимый кусок зарплаты на то время утекает просто на повторные платежи…
Человеческие жизни, здоровье, повреждение и уничтожение имущества в особо крупных размерах по неосторожности — разработчики программ несут уголовную ответственность, так же как врачи и вообще любые люди.
Теоретически да.
Но фактически тут 2 момента
а) Кто именно считается разработчиком программы. Архитектор не настоявший на защите от sql иньекций в проекте или «негр» ее не реализовавший ввиду не указания этого в спущенном ему ТЗ или клиент не посчитавший нужным за нее заплатить?
б) Что именно считать неосторожностью. Достаточно тонкая грань между случайностью и неосторожностью. По неосторожности не сделали защиту или по случайности?
Но фактически тут 2 момента
а) Кто именно считается разработчиком программы. Архитектор не настоявший на защите от sql иньекций в проекте или «негр» ее не реализовавший ввиду не указания этого в спущенном ему ТЗ или клиент не посчитавший нужным за нее заплатить?
б) Что именно считать неосторожностью. Достаточно тонкая грань между случайностью и неосторожностью. По неосторожности не сделали защиту или по случайности?
Не сделать защиту можно только по неосторожности, в УК нет опции «случайности». По случайности это не «стрельнуло» раньше.
www.consultant.ru/document/cons_doc_LAW_10699/f6d815944e2b47ca6241b467279838b180b09bd5
www.consultant.ru/document/cons_doc_LAW_10699/f6d815944e2b47ca6241b467279838b180b09bd5
Если тебя сломали — значит не была сделана какая-то защита, таким образом при любом взломе можно смело сажать весь отдел програмимистов:)
В УК действительно нет опции случайности — о том и речь, что если это случайность, то это не УК.
В УК действительно нет опции случайности — о том и речь, что если это случайность, то это не УК.
Вы не прочитали ссылку, да? «Случайно» небось?
Отмазываться «случайностью» — это детсад, который слушать никто не будет. Посадят по УК за неосторожность и будут правы.
Впрочем, вы можете привести оправдательный приговор, где написано, что «не по неосторожности, а случайно — свободен»
Отмазываться «случайностью» — это детсад, который слушать никто не будет. Посадят по УК за неосторожность и будут правы.
Впрочем, вы можете привести оправдательный приговор, где написано, что «не по неосторожности, а случайно — свободен»
Отмазываться «случайностью» — это детсад, который слушать никто не будет.Нет никакой нужды отмазываться случайностью.
Посадят по УК за неосторожностьЕсли докажут неосторожность. Презумпция невиновности знаете ли, все дела.
Впрочем, вы можете привести оправдательный приговор, где написано, что «не по неосторожности, а случайно — свободен»Все программисты чьи продукты когда-либо взламывали уже сидят или еще не все?
Таки ни одного оправданного за случайность нету? Ну да, в реальности такого не бывает.
> Если докажут неосторожность. Презумпция невиновности знаете ли, все дела.
Прелесть. А в вашем чудесном мире с розовыми единорогами как именно неосторожность доказывают? И кто? )
PS. Так и представляю как уронили вы человека с крыши дома (он оплаченный вами товар получил и протерял), за вами приходят, а вы такой «а вот не докажете, что по неосторожности», и следак с прокурором такие «ну да, не докажем»и отпускают.
> Если докажут неосторожность. Презумпция невиновности знаете ли, все дела.
Прелесть. А в вашем чудесном мире с розовыми единорогами как именно неосторожность доказывают? И кто? )
PS. Так и представляю как уронили вы человека с крыши дома (он оплаченный вами товар получил и протерял), за вами приходят, а вы такой «а вот не докажете, что по неосторожности», и следак с прокурором такие «ну да, не докажем»
Таки ни одного оправданного за случайность нету? Ну да, в реальности такого не бывает.Давайте в студию дело, где посадили за случайность.
Прелесть. А в вашем чудесном мире с розовыми единорогами как именно неосторожность доказывают? И кто? )Если Вы хотите говорить на уровне «захочут — посодют» то диалог смысла не имеет. В противном случае Вы и так знаете кто и как должен доказывать.
Вы и так знаете
А вы — нет. Зато совсем съехали в демагогию, досвидания.
Мы попросили от Вас конкретное дело где посадили за случайность.
Вы в ответ что-то сказали про демагогию и подосвиданькались.
Л — логика.
Вы в ответ что-то сказали про демагогию и подосвиданькались.
Л — логика.
Если вы хотите настаивать про необходимость приводить примеры дел — мой запрос тута. Потом можно будет ваш запрос обсудить.
Грань между случайностью (неопределенностью) и неосторожностью простая: знал или должен был знать опасные последствия своих действий или бездействия, или должен был и мог их предвидеть.
Но вот случаи с защитой от инъекций и прочих взломов не попадают, по -моему, под эти статьи, даже если кто-то погибнет. Виноват будет взломщик во взломе и будут выяснять допускал он или должен был допускать, что в результате взлома кто-то погибнет. Если вполне должен был понимать, что, например, удаление записи в базе приведёт к отключению реанимационного оборудования, то взлом и причинение смерти по неосторожности. Если не должен был, то только взлом с тяжкими последствиями, а смерть, увы, роковая случайность.
Но вот случаи с защитой от инъекций и прочих взломов не попадают, по -моему, под эти статьи, даже если кто-то погибнет. Виноват будет взломщик во взломе и будут выяснять допускал он или должен был допускать, что в результате взлома кто-то погибнет. Если вполне должен был понимать, что, например, удаление записи в базе приведёт к отключению реанимационного оборудования, то взлом и причинение смерти по неосторожности. Если не должен был, то только взлом с тяжкими последствиями, а смерть, увы, роковая случайность.
Не знаю на сколько глючный софт у ПР, но то что там играет большую роль человеческий фактор, знаю точно. Когда пришел получать на почту конверт, то операторы оправдывали длинную очередь и долго обслуживание, что новая программа и они в ней путаются. И я слышал, как одна другой ещё добавила «надо будет все-таки почитать документацию, как пользоваться новой программой». То есть, у них есть документация и они должны были с ней ознакомиться заранее, хотя бы бегло, но понадеялись на авось.
Там «новая» программа отличается от «старой» примерно как 95 винда от 10 винды, а в некоторых местах — как ДОС от 10 винды. Зачем это было сделано — я хз. При этом некоторые действия там полностью антиинтуитивны (я как раз эту документацию читал — она на стойке лежала, и я взял почитать — там интерфейсный ад на уровне фэйсбука и больше).
Это еще одна проблема — интерфейс тех же банкоматов с каждым обновлением перепиливают во все более упоротую сторону. По нескольку раз вводить одни и те же данные при оплате коммуналки или мобильника — это уже норма, хотя года 4 назад все было просто и понятно.
Это еще одна проблема — интерфейс тех же банкоматов с каждым обновлением перепиливают во все более упоротую сторону. По нескольку раз вводить одни и те же данные при оплате коммуналки или мобильника — это уже норма, хотя года 4 назад все было просто и понятно.
НЛО прилетело и опубликовало эту надпись здесь
… и будете покупать Internet Explorer как отдельную опцию за $5000))
>Разработка ПО будет стоить на порядок-другой дороже, т.к. будет больше тестирования.
Ну, не всё так плохо. Есть вещи вроде Ada Spark, или Frama-C для статической верификации. Правда, придётся засунуть аджайл туда, где ему самое место. Зарплату разработчикам поднять. Темпы разработки унять. Перестать заниматься фигнёй с undefined и выравниванием div'ов, а вместо этого заниматься таки программированием, унять нынешнее ликующее фронтендерство.
Софта станет поменьше, это да. Кое-кто пойдёт таксовать и сажать картошку, вместо того, чтобы выпекать сайтики и мобильные приложения, как шаурму из собачатины (я здоровый как кабан\я работал по канбан). В общем, make programming great again.
Ну, не всё так плохо. Есть вещи вроде Ada Spark, или Frama-C для статической верификации. Правда, придётся засунуть аджайл туда, где ему самое место. Зарплату разработчикам поднять. Темпы разработки унять. Перестать заниматься фигнёй с undefined и выравниванием div'ов, а вместо этого заниматься таки программированием, унять нынешнее ликующее фронтендерство.
Софта станет поменьше, это да. Кое-кто пойдёт таксовать и сажать картошку, вместо того, чтобы выпекать сайтики и мобильные приложения, как шаурму из собачатины (я здоровый как кабан\я работал по канбан). В общем, make programming great again.
Штрафовать на процент от оборота.
Если уж так любите российские законы, то на рассмотрение обращений граждан организациям даётся 30 (тридцать) дней. И исключительно на прямые. Что компания публично отвечает на неофициальное обращение на каких-то сторонних ресурсах, да ещё всего за день — жест доброй воли де-юре. И де юре, а не де факто GDPR не действует на территории России в отношениях между резидентами России. Де-факто же многие российские компании предпочтут удовлетворить требования гражданина Европы со ссылкой на GDPR.
жест доброй воли де-юре
Это конкуренция в маркетинге. Сейчас БК и eLegion вдвоем проталкивают идеи вида "а что такого?", "мы ничего не собираем", "всё собранное анонимно" и "будешь еще болтать — получишь проблемы"
Получается, что фокус аккуратно размывается, плюс добавляются аргументы с невиновностью БК.
Если БК будет молчать, то читатели просто поймут, что компания нарушает законы. А сейчас получается, что "не всё так просто", так что большинство людей просто не будет дальше вдаваться в тему.
В итоге, получаем:
- Компания БК еще раз попиарилась
- Градус накала страстей в итоге упал
- Все поняли, что БК может еще и вычислить по IP (так как исследователю публично угрожают)
жест доброй воли де-юре
Медаль размером с тарелку ответившему на неофициальное обращение на стороннем ресурсе!
Если бы БК потребовалось 30 дней до ответа — боюсь, отвечать было бы некому.
Далек от Бургер Кинга, потому не пинайте если что — спросил в одном из предшествующих постов, является ли разработчик приложения для российского БК только, или глобально? Поскольку ответа на коммент от них нет, может кто еще знает? Я тут своим коллегам в Германии рассказал, которые довольно регулярно питаются в расположенном около работы БК, и активно пользуются app Burger King Deutschland, ну реакцию пока можно описать как недоумение. Поскольку, если запись идет глобально, то, как минимум, БК может стать первой реальной жертвой по gdpr, и я думаю, это будет ноакаут. А как максимум — тут можно только гадать.)))
А если только в России, то может отделаться подмоченной репутацией, если сами сдадут выгодопреобретателя всего этого дела.
А если только в России, то может отделаться подмоченной репутацией, если сами сдадут выгодопреобретателя всего этого дела.
Не понимаю, почему хабр превратился в пикабу. Никакой технической информации. Как повторить результаты автора? Один сплошной цирк
Я, например, считаю, что комментарии от Жени из БургерКинга — это отличная работа отдела СММ. МакДональдза, само собой.
НЛО прилетело и опубликовало эту надпись здесь
Вообще-то King Burger — никто не заставлял записывать видео.
И отвечать по-хамски матом — их тоже никто не заставлял.
Так кто им злобный Буратино?
И отвечать по-хамски матом — их тоже никто не заставлял.
Так кто им злобный Буратино?
И отвечать по-хамски матом — их тоже никто не заставлял.
Просто интересно: А уже есть доказательства, что это были настоящие сотрудники БК, а то ведь я тоже могу сделать аккаунт Женя из БК на многих сайтах нета?
НЛО прилетело и опубликовало эту надпись здесь
Ну, БГ себя во многом ведет себя как гопота.
Они постоянно делают себе рекламу, высмеивая или портя репутацию своим конкурентам.
Иногда это получалось забавно.
Но, однажды над ними их конкурент пошутил в рекламе.
БГ начал кричать о суде и т.п.
И БГ постоянно в каких-то скандалах участвует. Можете погуглить.
Они постоянно делают себе рекламу, высмеивая или портя репутацию своим конкурентам.
Иногда это получалось забавно.
Но, однажды над ними их конкурент пошутил в рекламе.
БГ начал кричать о суде и т.п.
И БГ постоянно в каких-то скандалах участвует. Можете погуглить.
Во-первых — под «европейским законом о защите персональных данных» подразумевается GDPR. Он действует только для Европейского Союза, и Россия де-факто не имеет к нему никакого отношения.
GDPR работает в отношении любой компании, которая обслуживает хотя бы одного гражданина ЕС, независимо от того, где он или она находятся территориально. Так что если российская компания не хочет получить штрафы в Европе, то GDPR исполнять она будет для всех, ведь точно сегрегировать пользователей из России по их гражданству у них вряд ли получится.
Не совсем верно — гражданство ЕС никакой роли в GDPR не играет, играют роль два фактора (независимо):
— субъект обработки данных находится в ЕС (независимо от гражданства и срока нахождения — даже пролёт над ЕС достаточен, в теории);
— процессор данных или контроллер находится в ЕС.
И это всё. Голландец, находящийся в России, не защищен GDPR, если компания которая собрала его данные в России, не зарегистрирована в ЕС.
И наоборот — россиянин (и вообще гражданин любой страны или даже лицо без гражданства), заказавший услугу или продукт из любой компании в ЕС, уже защищен GDPR, независимо от того где он находится.
Совершенно теоретически, если кто-то, находящийся в ЕС, поставит и воспользуется приложением BK для России, и потом раскопает вот это все, это «подставит» BK Россия под GDPR, и вот тогда этот кто-то уже может набить морду BK, если окажется достаточно упорным, но «есть нюанс» — продукты или услуги должны предоставляться в ЕС, а BK Россия явно это делает в России, т.е. придётся долго и нудно доказывать что само приложение и его функциональность является услугой (ведь собственно бутерброды явно поставляются только в России).
— субъект обработки данных находится в ЕС (независимо от гражданства и срока нахождения — даже пролёт над ЕС достаточен, в теории);
— процессор данных или контроллер находится в ЕС.
И это всё. Голландец, находящийся в России, не защищен GDPR, если компания которая собрала его данные в России, не зарегистрирована в ЕС.
И наоборот — россиянин (и вообще гражданин любой страны или даже лицо без гражданства), заказавший услугу или продукт из любой компании в ЕС, уже защищен GDPR, независимо от того где он находится.
Совершенно теоретически, если кто-то, находящийся в ЕС, поставит и воспользуется приложением BK для России, и потом раскопает вот это все, это «подставит» BK Россия под GDPR, и вот тогда этот кто-то уже может набить морду BK, если окажется достаточно упорным, но «есть нюанс» — продукты или услуги должны предоставляться в ЕС, а BK Россия явно это делает в России, т.е. придётся долго и нудно доказывать что само приложение и его функциональность является услугой (ведь собственно бутерброды явно поставляются только в России).
> пролёт над ЕС достаточен, в теории
Нет такой теории. Самолет — территория страны приписки. Пока вы не пересечете пограничный контроль на выходе в аэропорту вы не в ЕС, хоть 10 дней кругами летайте.
Нет такой теории. Самолет — территория страны приписки. Пока вы не пересечете пограничный контроль на выходе в аэропорту вы не в ЕС, хоть 10 дней кругами летайте.
Не поделитесь, на какой правовой норме основано это утверждение (что самолёт — «территория страны приписки»)?
Значит ли это, что попав на самолёт страны, в которой я объявлен в розыск, меня могут просто арестовать и страна вылета (гражданином коей я являюсь) ничего не сможет сделать (если я успею заявить об этом до вылета)?
В США, к примеру, ребенок, родившийся в самолёте, просто пролетающим над территорией США, считается родившимся в США (со всеми вытекающими последствиями), так что теория имеет место быть — пока нет правовых оснований которые её опровергают. В ЕС подобного нет, но и о том что борт самолёта это «страна приписки» я не слышал.
Значит ли это, что попав на самолёт страны, в которой я объявлен в розыск, меня могут просто арестовать и страна вылета (гражданином коей я являюсь) ничего не сможет сделать (если я успею заявить об этом до вылета)?
В США, к примеру, ребенок, родившийся в самолёте, просто пролетающим над территорией США, считается родившимся в США (со всеми вытекающими последствиями), так что теория имеет место быть — пока нет правовых оснований которые её опровергают. В ЕС подобного нет, но и о том что борт самолёта это «страна приписки» я не слышал.
Согласно положениям ст. 17 Чикагской конвенции 1944 года, «воздушные суда имеют национальность государства, в котором они зарегистрированы», и не могут быть на законных основаниях зарегистрированы более чем в одном государстве (ст. 18). Кроме того, в соответствии с нормами Токийской конвенции о преступлениях и некоторых других актах, совершаемых на борту воздушных судов 1963 года, государство регистрации осуществляет юрисдикцию в отношении всех преступлений и актов, совершенных на борту воздушного судна во время нахождения в полете либо на поверхности в открытом море или на поверхности в любом другом районе вне пределов территории любого государства
«Статья 3
1. Государство регистрации воздушного судна правомочно осуществлять юрисдикцию в отношении преступлений и актов, совершенных на борту.
2. Каждое Договаривающееся государство принимает такие меры, какие могут оказаться необходимыми для установления своей юрисдикции в качестве государства регистрации в отношении преступлений, совершенных на борту воздушных судов, зарегистрированных в таком государстве.
3. Настоящая Конвенция не исключает осуществления любой уголовной юрисдикции в соответствии с национальным законодательством.»
А то что Штаты могут дополнительно что-то применять — их право. Хотя таки гражданство по рождению, с вероятность 99.(9)% дается не летевшим мимо, а летившим штатовскими самолетами.
«Статья 3
1. Государство регистрации воздушного судна правомочно осуществлять юрисдикцию в отношении преступлений и актов, совершенных на борту.
2. Каждое Договаривающееся государство принимает такие меры, какие могут оказаться необходимыми для установления своей юрисдикции в качестве государства регистрации в отношении преступлений, совершенных на борту воздушных судов, зарегистрированных в таком государстве.
3. Настоящая Конвенция не исключает осуществления любой уголовной юрисдикции в соответствии с национальным законодательством.»
А то что Штаты могут дополнительно что-то применять — их право. Хотя таки гражданство по рождению, с вероятность 99.(9)% дается не летевшим мимо, а летившим штатовскими самолетами.
Из приведенных ссылок не следует что пассажиры, находящиеся на борту, считаются находящимися на территории гос-ва приписки судна.
Статься 17 устанавливает национальность судна, но ничего не говорит о пассажирах. Точно также как американец, находящийся на территории ЕС, остается американцем но таки находися на территории ЕС.
Как раз нет:
И даже наоборот — рождение на борту самолёта США, если он не находился на/над территорией США, не даёт гражданства (что косвенно говорит о неприменимости Чикагской и Токийской конвенции к самим пассажирам).
Если рассматривать GDPR, Article 3 говорит:
Статься 17 устанавливает национальность судна, но ничего не говорит о пассажирах. Точно также как американец, находящийся на территории ЕС, остается американцем но таки находися на территории ЕС.
Государство регистрации воздушного судна правомочно осуществлять юрисдикцию в отношении преступлений и актов, совершенных на борту.И как это определяет территориальную «принадлежность» пассажиров? Просто частный случай, должен же кто-то «осуществлять юрисдикцию», пока самолёт в воздухе — вполне логично что это гос-во приписки судна (мало ли где он сядет в итоге), но чаще всего нарушителя просто сдают полиции ближайшего аэропорта (при вынужденной посадке), независимо от национальной принадлежности как судна, так и самого нарушителя.
Хотя таки гражданство по рождению, с вероятность 99.(9)% дается не летевшим мимо, а летившим штатовскими самолетами.
Как раз нет:
“The rules applicable to vessels obviously apply equally to airplanes. Thus a child born on a plane in the United States or flying over its territory would acquire United States citizenship at birth.”(это цитата из действующего руководства Госдепа США: fam.state.gov/FAM/07FAM/07FAM1110.html)
И даже наоборот — рождение на борту самолёта США, если он не находился на/над территорией США, не даёт гражданства (что косвенно говорит о неприменимости Чикагской и Токийской конвенции к самим пассажирам).
Если рассматривать GDPR, Article 3 говорит:
2. This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union...Заметьте, не «residents of the Union» или даже «visitors of the Union», а именно «who are in the Union», т.е. (в той самой теории) сам факт нахождения на территории (включая воздушное пространство или территориальные воды) уже достаточен. Даже если пассажир не пройдёт погранконтроль после посадки, он всё равно будет на территории гос-ва куда он прибыл (равно как и судно будет на территории того же гос-ва).
НЛО прилетело и опубликовало эту надпись здесь
Интересен момент про «данные собирают только с 10% пользователей».
fennikami легко смог повторить фокус с прослушкой данных, отправляемых приложением более одного раза («Когда проснулся — вспомнил что нужно сделать видео. Сделал»).
Во второй раз данные начали отсылаться сразу или пришлось выполнять манипуляции по попаданию в счастливые 10%?
Возникают вопросы, будут ли отправляются данные в Appsee, если
1) переустановить приложение / почистить данные приложения
2) залогиниться на другом устройстве a)Apple, b)Android
3) не залогиниваться вообще
4) залогиниться под другим аккаунтом на том же устройстве?
fennikami легко смог повторить фокус с прослушкой данных, отправляемых приложением более одного раза («Когда проснулся — вспомнил что нужно сделать видео. Сделал»).
Во второй раз данные начали отсылаться сразу или пришлось выполнять манипуляции по попаданию в счастливые 10%?
Возникают вопросы, будут ли отправляются данные в Appsee, если
1) переустановить приложение / почистить данные приложения
2) залогиниться на другом устройстве a)Apple, b)Android
3) не залогиниваться вообще
4) залогиниться под другим аккаунтом на том же устройстве?
НЛО прилетело и опубликовало эту надпись здесь
Не нужно видеть злой умысел там где есть место для простой глупости. Бургер Кинг скорее всего просто доверились топовой компании, а топовая компания сделала все тяп ляп, ибо они топовые и никто не станет их проверять.
Скорее всего так и есть, более того подобный факап может быть у любой компании. Нормальная реакция уважающей себя и клиентов конторы в такой ситуации — покаянный пресс-релиз, срочное выпиливание или как минимум блокировка Appsee, далее водопад нисходящих трендюлей от БК к е-Легиону, фикс проблемы, бонус исследователю (вплоть до job offer).
Однако что мы видим — тяп-ляпы из еЛегиона/БК начали материться, вычислять по IP, и лепить туповатые оправдания и отмазки, а то и срочно записывать фейковые видео с квадратиками.
Однако что мы видим — тяп-ляпы из еЛегиона/БК начали материться, вычислять по IP, и лепить туповатые оправдания и отмазки, а то и срочно записывать фейковые видео с квадратиками.
Для автора это превратилось в некую священную войну. Пользователь chesterset в своем комментарии хорошо расписал впечатления от нее.На хабре технические составляющие статьи должны преобладать над эмоциями и обвинениями, потому как это все скатилось в то, что хабр стал площадкой для холивара против БургерКинга. От себя добавлю, что новая статья добавляет только больше вопросов ко всем сторонам разбирательств. Верить на слово вам, либо бургеркингу, либо разработчикам уже не получится.
1) Брутфорс админской панели, поиск эксплоитов, попытка DDoS — предоставьте хоть какие-то доказательства, логи веб-сервера, админки, хостера.
2) Идентичность видео потока — нужны исходники 2 снятых видео, чтобы их можно было сопоставить.
3) Если видео может быть скомпрометировано подменой JSON конфигурации, его вообще нельзя принимать как доказательство от всех сторон разбирательства. Нельзя доказать достоверность. Без анализа всего массива видео в AppSee бесполезно что-то вообще на эту тему говорить.
4) Запись видео с выключенным в конфигурации сокрытием полей — логи от AppSee с включением настроек, которые бы это доказывали, логи отправки конфигов и т.п.
5) нарушение федерального закона «О персональных данных» и т.д. — компетентные органы должны решить нарушает или нет. Высказанные точки зрения являются субъективными.
6) В России соблюдение GDPR ничего не значит. На компанию распространяется GDPR:
-если компания продвигает товары или услуги в ЕС;
-если компания мониторит поведение субъектов из ЕС;
-если компания обрабатывает персональные данные европейцев (хотя бы 1 европейца);
-если компания имеет филиал или представительство в ЕС.
7) грубость и угрозы от сотрудников бургеркинга. Любой человек может зарегистрироваться под ником ZheniaBurgerKing, чтобы его идентифицировать надо приложить усилия. Скринов для хабра не достаточно, это не пикабу.
8) Факты вранья бургеркинга основываются только на видео записанном, либо все же есть еще доказательства?
1) Брутфорс админской панели, поиск эксплоитов, попытка DDoS — предоставьте хоть какие-то доказательства, логи веб-сервера, админки, хостера.
2) Идентичность видео потока — нужны исходники 2 снятых видео, чтобы их можно было сопоставить.
3) Если видео может быть скомпрометировано подменой JSON конфигурации, его вообще нельзя принимать как доказательство от всех сторон разбирательства. Нельзя доказать достоверность. Без анализа всего массива видео в AppSee бесполезно что-то вообще на эту тему говорить.
4) Запись видео с выключенным в конфигурации сокрытием полей — логи от AppSee с включением настроек, которые бы это доказывали, логи отправки конфигов и т.п.
5) нарушение федерального закона «О персональных данных» и т.д. — компетентные органы должны решить нарушает или нет. Высказанные точки зрения являются субъективными.
6) В России соблюдение GDPR ничего не значит. На компанию распространяется GDPR:
-если компания продвигает товары или услуги в ЕС;
-если компания мониторит поведение субъектов из ЕС;
-если компания обрабатывает персональные данные европейцев (хотя бы 1 европейца);
-если компания имеет филиал или представительство в ЕС.
7) грубость и угрозы от сотрудников бургеркинга. Любой человек может зарегистрироваться под ником ZheniaBurgerKing, чтобы его идентифицировать надо приложить усилия. Скринов для хабра не достаточно, это не пикабу.
8) Факты вранья бургеркинга основываются только на видео записанном, либо все же есть еще доказательства?
Для автора это превратилось в некую священную войну.
Самое время задать вопрос — cui prodest? Еще 11 числа в своем бложике автор писал:
Моей личной целью в этой истории было донести тот простой факт, что шпионство просто недопустимо. Ни под каким предлогом, нарушению приватности нет оправдания.
Я эту цель выполнил.
К теме Burger King больше не возвращаюсь.
Правда потом он вернулся с постом
А нет, возвращаюсь
Хотели видос с пруфом что ничего не замазывается? А вот пилю
А вот сейчас пойдут "размышления" в стиле автора. Второй пост появился после ответа eLegion в котором они сослались на скриншот автора и пояснили, что замазывать/не замазывать поля определяется в JSONе (https://habr.com/company/e-Legion/blog/417043/ картинка https://habrastorage.org/webt/mh/p5/8q/mhp58qnhsmfxxmojfyrfzewtmce.jpeg). Из этого, опять же в стиле автора (!), я делаю вывод — изначально он хотел "слиться", но получив дополнительную информацию, решил продолжить свою "борьбу", изменив поведение приложения (путем подмены ответов сервера appsee в том же Fiddler) и записи видео, которое не имеет отношения к реальному поведению приложения. Может ли он доказать обратное? Нет. Стоит ли доверять подобному "пруфу"? Ну, ХЗ, у нас 67% населения верит в мировое правительство, так что, безусловно, можно.
Ну судя по взлетевшей карме и рейтингу автора, и по тому, что меня уже немного загнали в минус, да многие доверяют автору и не поддают его доводы критике и сомнению.
Не совсем так. Подозревать и сомневаться я, например, не перестал. Но соседний пост от роскомсвободы, а также то, как общается представитель БК — наводит на серьезные размышления какие люди там работают и на что они ещё могут пойти, чтобы выгородить себя.
Претензии РосКомСвободы должны быть проверены компетентными органами, юридический отдел БК пусть отдувается, когда будет пресс-релиз по этому вопросу можно в утвердительной форме говорить о нарушениях законодательства и последствиях для БК.
Представитель БК принимает участие в холиваре, который развязал пользователь, упрекающий компанию в нарушении законодательства и многих других вещах, из фактов только видео, которое можно подделать и много выводов на основании сомнительной информации, требующей тщательной проверки из-за серьезности обвинений.
Потому я и говорю, что хабр вдруг стал площадкой для холивара против БК, компанию без досконального разбирательства уже сделали виновной, хотя для этого нет никаких предпосылок. Зачем-то слили карму автору в статье от разработчиков, тоже не разобравшись в сути, вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен.
Представитель БК принимает участие в холиваре, который развязал пользователь, упрекающий компанию в нарушении законодательства и многих других вещах, из фактов только видео, которое можно подделать и много выводов на основании сомнительной информации, требующей тщательной проверки из-за серьезности обвинений.
Потому я и говорю, что хабр вдруг стал площадкой для холивара против БК, компанию без досконального разбирательства уже сделали виновной, хотя для этого нет никаких предпосылок. Зачем-то слили карму автору в статье от разработчиков, тоже не разобравшись в сути, вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен.
Не спорю в целом, лишь хочу добавить в частности: насколько я понял из поста роскомсвободы, есть факты нарушения 152фз налицо. Ибо есть официальный сайт, официальная еула и официальный пресс-релиз, в которых информация не соответствует тому, что делает приложение по факту. То есть не соответствует тем данным, которые собираются, и для этого достаточно открыть приложение и попользоваться, не нужно ничего хакать и пытаться сниффать трафик.
После этого, уже не так сильно хочется верить БК и в других моментах...
Претензии РосКомСвободы должны быть проверены компетентными органами
А лично Вы уверены в, кхм, компетентности компетентных органов? По моим наблюдениям, там компетентность последнее время лежит в сфере выбора модели "Гелендвагена", а компьютерная грамотность — на уровне первокурсника.
Я уверен только лишь в том, что за данными органами есть право наказывать компании за нарушение законов РФ. Не мне оценивать их компетентность или ее отсутствие.
Лично я считаю, что легальность использования AppSee на территории РФ и соответствие их подхода к сбору аналитики должны оценить эти органы в соответствии с законами это регламентирующими, как и подход БК к использованию стороннего сервиса.
Вся суть холивара в «тайном» использовании AppSee на территории РФ компанией БК и нарушениях законодательства, которые им приписывает общественность. Если будут разъяснения от РКН, то все закончится и довольно быстро.
Лично я считаю, что легальность использования AppSee на территории РФ и соответствие их подхода к сбору аналитики должны оценить эти органы в соответствии с законами это регламентирующими, как и подход БК к использованию стороннего сервиса.
Вся суть холивара в «тайном» использовании AppSee на территории РФ компанией БК и нарушениях законодательства, которые им приписывает общественность. Если будут разъяснения от РКН, то все закончится и довольно быстро.
Официально наказывать компании имеют право их клиенты, суд и гос регуляторы. Уличать в нарушении законов, публиковать свои исследования и обращаться в вышеозначенные структуры может кто угодно.
Прежде чем кого-то наказывать, надо разобраться в ситуации.
«Burger King: тайная слежка, ложь, хищение банковских карт. Продолжение» но исходя из заголовка и написанного в статье разбирательств уже не нужно. Повторюсь вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен априори.
«Burger King: тайная слежка, ложь, хищение банковских карт. Продолжение» но исходя из заголовка и написанного в статье разбирательств уже не нужно. Повторюсь вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен априори.
НЛО прилетело и опубликовало эту надпись здесь
К сожалению для вас, остаюсь при своем мнении относительно автора. Я считаю, что доказательства, которые он предоставил, можно фальсифицировать подменой JSON конфига сервиса. Слишком много эмоций и мало сути. Обвинения и претензии такого рода требуют досконального анализа, а не поспешных рассуждений и обвинений в отношении БК, AppSee и разработчиков приложения. Это утверждение не касается юридических претензий от РосКомСвободы. Понижение мне кармы за критику в сторону автора сути не изменит.
НЛО прилетело и опубликовало эту надпись здесь
Выше в ветке обсуждения я привел перечень вопросов, которые у меня возникли, мне не зачем обличать обличителя и ввязываться в этот холивар, вставая на чью-то сторону, я поступлю мудро и буду наблюдать со стороны. Я вправе высказывать свое мнение касательно публичных доводов автора, БК, разработчиков приложения, AppSee, а не пытаться вас в чем-то переубеждать, если вам не нравится мое мнение касательно аргументации, вы имеете на это полное право, но другого пока что у меня нет, появятся новые сведения по данной ситуации я возможно выскажусь на этот счет и извинюсь, если вина БК, AppSee, либо других фигурантов будет точно доказана.
НЛО прилетело и опубликовало эту надпись здесь
Вообще, довольно интересен вопрос, который я поднимал в конце комментариев к одной из предыдущих статей:
Стало интересно, а кто-то уже изучал безопасность самого AppSee?
Я немного потыкал и нашел как минимум то, что HTTPS на этом сервисе настроен неправильно (сессия восстанавливается из куки .ASPXAUTH, которая установлена для доменов .appsee.com. Она не secure, нет HSTS, поэтому тот, кто может перехватить трафик, может получить доступ к аккаунту).
В некоторых случаях, это уже путь к аккаунту в этом сервисе, а там можно настраивать сокрытие полей в Sensitive Data Collection. Может быть, есть что-то более интересное?
Стало интересно, а кто-то уже изучал безопасность самого AppSee?
Я немного потыкал и нашел как минимум то, что HTTPS на этом сервисе настроен неправильно (сессия восстанавливается из куки .ASPXAUTH, которая установлена для доменов .appsee.com. Она не secure, нет HSTS, поэтому тот, кто может перехватить трафик, может получить доступ к аккаунту).
В некоторых случаях, это уже путь к аккаунту в этом сервисе, а там можно настраивать сокрытие полей в Sensitive Data Collection. Может быть, есть что-то более интересное?
Автор, ты молодец. Закрепляй успех, а не размазывай по страницам праведный гнев про наглую ложь. Насчёт пруфов ты зря возмущаешься. Ты выдвинул серьёзные обвинения, по закону ты обязан доказать их, иначе ты становишься клеветником.
Эй РКН, почему AppSee и Burger King ещё не забанены?
Эта история напомнила мне достаточно свежий, но очень мало освещаемый в рунете скандал с игровыми издателями и разработчиками, которые использовали неблагонадёжную систему сбора статистики RED SHELL (подробности на реддите — www.reddit.com/r/Steam/comments/8pud8b/psa_red_shell_spyware_holy_potatoes_were_in_space). В целом тоже очень похоже — собирали слишком подробную аналитику.
По итогу под давлением общественности большая часть компаний отказалась от RED SHELL. Тех, кто не отказался, сообщество решило байкотировать и предупреждает других игроков о таком нехорошем поведении. О всём этом я узнал совершенно случайно, уловил что у Civilization VI как-то слишком много свежих негативных отзывов. Предупреждён = вооружён. Если что, ПК-версии Civilization VI, Injustice 2 и охапка игр поменьше размахом до сих пор используют этот сервис.
К чему я это пишу: Бургер Кинг собирает данные наших кредиток? Не похоже на то. Бургер Кинг используют неблагонадежного партнёра для сбора статистики, который в свою очередь собирает данные наших кредиток и не только — уже реалистичнее.
Что делать? Бургер Кинг может отказаться от использования данного сервиса в пользу другого, куда менее агрессивного или хотя бы предупреждать пользователей о сборе статистики и записи видео. Сделать опциональное отключение в настройках — совсем отлично.
Пока ситуация не придёт к консенсусу, самым очевидным способом будет не топить Бургер Кинг, как некоторые бездумно пытаются делать (отчасти это вина БК, но лишь от части), а предупредить как можно более количество людей о данной ситуации и позволить каждому пользователю решать самостоятельно, насколько его устроит пользоваться таким приложением.
Меня беспокоит другой вопрос — приложение Бургер Кинг было выбрано как одно из самых раскрученных и шумиха вокруг него была бы в любом случае громкой, даже если бы она оказалась несостоятельной. В какие ещё приложения встроена аналитика AppSee? Какие ещё приложения пишут мой экран и, потенциально, данные моих кредиток? Может быть, приложение, где я каждую неделю заказываю суши? Какие данные собирают другие службы аналитики? А вдруг не меньше? Я уж промолчу о том, что Google, похоже, знают обо мне больше, чем знаю я. Хотелось бы хорошего такого расследования в эту сторону на волне этого локального срачика.
P. S. Надеюсь вопрос в итоге решиться положительно — приложение пусть и тормозное, но достаточно удобное.
По итогу под давлением общественности большая часть компаний отказалась от RED SHELL. Тех, кто не отказался, сообщество решило байкотировать и предупреждает других игроков о таком нехорошем поведении. О всём этом я узнал совершенно случайно, уловил что у Civilization VI как-то слишком много свежих негативных отзывов. Предупреждён = вооружён. Если что, ПК-версии Civilization VI, Injustice 2 и охапка игр поменьше размахом до сих пор используют этот сервис.
К чему я это пишу: Бургер Кинг собирает данные наших кредиток? Не похоже на то. Бургер Кинг используют неблагонадежного партнёра для сбора статистики, который в свою очередь собирает данные наших кредиток и не только — уже реалистичнее.
Что делать? Бургер Кинг может отказаться от использования данного сервиса в пользу другого, куда менее агрессивного или хотя бы предупреждать пользователей о сборе статистики и записи видео. Сделать опциональное отключение в настройках — совсем отлично.
Пока ситуация не придёт к консенсусу, самым очевидным способом будет не топить Бургер Кинг, как некоторые бездумно пытаются делать (отчасти это вина БК, но лишь от части), а предупредить как можно более количество людей о данной ситуации и позволить каждому пользователю решать самостоятельно, насколько его устроит пользоваться таким приложением.
Меня беспокоит другой вопрос — приложение Бургер Кинг было выбрано как одно из самых раскрученных и шумиха вокруг него была бы в любом случае громкой, даже если бы она оказалась несостоятельной. В какие ещё приложения встроена аналитика AppSee? Какие ещё приложения пишут мой экран и, потенциально, данные моих кредиток? Может быть, приложение, где я каждую неделю заказываю суши? Какие данные собирают другие службы аналитики? А вдруг не меньше? Я уж промолчу о том, что Google, похоже, знают обо мне больше, чем знаю я. Хотелось бы хорошего такого расследования в эту сторону на волне этого локального срачика.
P. S. Надеюсь вопрос в итоге решиться положительно — приложение пусть и тормозное, но достаточно удобное.
самым очевидным способом будет не топить Бургер Кинг,
PR-менеджер БК, перелогинтесь.
Всё элементарно: БК, увидев, что клиенты топят его, быстренько побежит топить разрабов, дабы отмазаться. Чего мы и желаем — ежу понятно, что у королей бургеров мозги заточены на изготовление бургеров, а не шпионских программ, им просто надо тщательнЕе выбирать попутчиков.
Хотелось бы хорошего такого расследования в эту сторону на волне этого локального срачика.
Уже было такое исследование, причем результаты вышли буквально за неделю до событий с Burger King
recon.meddle.mobi/panoptispy
Во-первых, автору спасибо за то что раскрыл тему AppSee. Я очень жду статью чтобы кто-то прошёлся по Гугл аппстору и узнал где ещё используется этот AppSee и как у других приложений с предупреждениями о том что ваш экран снимают. Есть ли у них это в privacy policy? Потому что даже если некоторые формы ввода скрываются то все равно на записи полным полно персональных данных, как в случае с бк там на определенных активити светиться номер телефона и т. п.
Во-вторых, я думаю стоит с пониманием отнестись к эмоциональному наполнению постов автора, потому что в силу возраста у него ещё не набралось достаточно опыта чтобы холодгокровно вести себя в таких историях.
Ну и наконец главное, во всей этой истории так и не понятно закрываются ли номера карты или нет?! Поскольку грамотного поста где бы показали: вот от сервера приходит hide=true и мы видим в нашем mitm мониторе что идёт видео с черными квадратами, а вот мы подменяем hide=false и всё раскрылось. Кроме того, я так понимаю, в самом приложении должны быть поля ввода помечены как sensitive=true, а потом AppSee уже делается проверка sensitive && hide то рисуем черный квадрат. (Код не смотрел названия переменных взял от балды). Этим объясняется, что в ответе разработчиков на одном скриншоте дата открыта а на втором уже закрыта. Если на момент публикации поста действительно все шло открыто, то может у автора остался старый apk где забыли выставить флаг в приложении?
Конечно факт того что номер карты уходит третьей стороне по запросу с hide=false нарушает все правила работы с банковскими данными. Но если по разгильдяйству разработчиков на серверах AppSee уже хранится коллекция карт с ссв это влечет гораздо больше последствий бк и подрядчикам.
П.С. Если бы я бургер Кингом пользовался то я сам бы проверил что там отсылается, а так честно говоря лень ;)
На 4pda пишут:
«Достал из корня устройства видео, записанные приложением. Там оказалось видео с моментом привязки карты, клавиатура скрыта, видно номер карты, дату, cvc скрыт, на следующей странице ввод одноразового пароля: клавиатура скрыта, но видно вводимые символы, которые превращаются в точки.»
«Достал из корня устройства видео, записанные приложением. Там оказалось видео с моментом привязки карты, клавиатура скрыта, видно номер карты, дату, cvc скрыт, на следующей странице ввод одноразового пароля: клавиатура скрыта, но видно вводимые символы, которые превращаются в точки.»
Тогда всё гораздо серьезнее чем нам пытаются впарить разработчики. Если они по быстрому наложили заплатку и уже видео обновленной версии используют в своем ответе, то они там таки вкрай окурели.
Причём, тема на 4пда на данный момент почищена. «Молодцы».
Ждём какую версию приложения использовал автор и было ли какое то обновление в Гугл плей с тех пор, потому что у других на видео поля закрашиваются.
Я восстановил, что смог, из яндекс-кеша: habr.com/company/roskomsvoboda/blog/417145/#comment_18882693
Не пропадать же добру!
Не пропадать же добру!
Во-первых, автору спасибо за то что раскрыл тему AppSee. Я очень жду статью чтобы кто-то прошёлся по Гугл аппстору и узнал где ещё используется этот AppSee и как у других приложений с предупреждениями о том что ваш экран снимают. Есть ли у них это в privacy policy? Потому что даже если некоторые формы ввода скрываются то все равно на записи полным полно персональных данных, как в случае с бк там на определенных активити светиться номер телефона и т. п.
Уже было такое исследование, причем результаты вышли буквально за неделю до событий с Burger King
recon.meddle.mobi/panoptispy
www.ssllabs.com/ssltest/analyze.html?d=www.appsee.com
Дает А, вполне себе там нормально все с HTTPS. Для любопытства полная информация в «Protocol Details».
Было такое старое исследование по поводу HSTS
news.netcraft.com/archives/2016/03/17/95-of-https-servers-vulnerable-to-trivial-mitm-attacks.html
Путь к перехвату ради чего, чтобы посмотреть аналитику из приложений? Для этого надо много факторов чтобы совпало, ректальный криптоанализ быстрее решит эту задачу.
Дает А, вполне себе там нормально все с HTTPS. Для любопытства полная информация в «Protocol Details».
Было такое старое исследование по поводу HSTS
news.netcraft.com/archives/2016/03/17/95-of-https-servers-vulnerable-to-trivial-mitm-attacks.html
Путь к перехвату ради чего, чтобы посмотреть аналитику из приложений? Для этого надо много факторов чтобы совпало, ректальный криптоанализ быстрее решит эту задачу.
Strict Transport Security (HSTS) No
HSTS Preloading Not in: Chrome Edge Firefox IE Усё. То есть мы можем делать фейковый сайт и перехватывать, если мы можем подменить ответ ДНСа(то есть в тех же БКшных может перехватывать простой попингуй)
https://www.ssllabs.com/ssltest/analyze.html?d=online.sberbank.ru
Strict Transport Security (HSTS) No
HSTS Preloading Not in: Chrome Edge Firefox IE
Ваш выход, ломайте их полностью! Куш будет исчисляться триллионами рублей! Это вам не бургерную ломать.
Я к тому, что хватит уже сыпать аббревиатурами о которых вы прочитали 10 минут назад в википедии, и без которых, как вам кажется, все вокруг — решето. Да, HSTS, DNS CAA и прочие заклинания повышают безопасность, но против таких специфических векторов атак, которые против посетителя бургерной никто в здравом уме применять не станет. Ну вот скажите, вы реально думаете, что кто-то придёт в "макдачечную", развернет там фейковую АП, сигнал которой будет перебивать стационарную, будет подменять DNS, фейкать API AppSee и надеяться, что клиенты будут вбивать номера карт прямо на месте, а не придут с уже настроенным приложением? Я молчу про то, что большая часть карт сейчас идет с 3-D Secure и вектор атаки на сами деньги становится совсем непонятным. Паранойя паранойей, но лично мне не 18 лет и я понимаю, что человек способный УСПЕШНО провернуть атаку подобного рода не будет размениваться на клиентуру БК.
Малыш, я админю GNU/Linux-сервера с 2000 года, а вообще *nix-системы с 1997, то есть дольше, чем ты живешь на свете. Ты уверен, что ты хочешь еще раз повторить свою чушь про «прочитали в википедии»? Да, мы не прочитали, а я прочитал, не используй множественное число там где оно не нужно, а в сети общаются на «ты».
У нас appsee в одном БК что ли? Если такой вектор атаки вполне возможен и довольно прост в повторении, то, как-то не очень.
А вы думаете, что каждое приложение с AppSee принимает банковские карты?
Даже если открыть список тех фирм, которые они не постеснялись выложить на странице Customers, там из тех, в которых прием карт будет уместен, разве что Gett, да ebay. Но какова вероятность того, что пользователь будет вводить данные карточки что того, что другого в бургерной или другом общественном месте? ebay — даже представить сложно, зачем это может понадобиться — там карту обычно привязывают еще в веб интерфейсе; gett — ну, теоретически, возможный вариант, но если юзер собирается уехать из бургерной, я полагаю, он и приехал в нее на том же гетте, т.е. карточка уже в системе.
А если это не кредитка, то какую прайваси информацию можно выудить из среднестатистического приложения в телефоне (напомню, AppSee может записывать исключительно то приложение, в котором установлено)? Тем более с тем качеством видео, которое AppSee записывает (10/10 шакалов) — там же даже непонятно, что на половине картинок, не говоря о тексте.
В теории вы можете устроить атаку на сервис AppSee, чтобы перехватывать трафик, подменять конфигурацию, получать в ответ видео с устройств, где работают приложения с данным сервисом, для этого вам надо оказаться посередине между клиентом и сервером для Mitm. Вы также можете задаться целью, проверить все онлайн-банкинги на предмет поддержки HSTS, собрать статистику и сделать выводы. Вектор атаки на любителей бургеров несоизмерим с полученным результатом, но разве что из научных целей.
Изначально у меня были мысли немного о другом векторе, а именно использовать проблемы HTTPS у AppSee для того, чтобы получить доступ к аккаунту, который управляет аналитикой того же приложения БК. Тогда можно отключать блюр данных и записывать данные уже не 10 процентов аудитории.
А не мог бы кто-нибудь написать внятную статью по борьбе со слежкой? Блокировка скриптов, адблок и тп — это все очевидно. но может. есть что-то «наступательное» — например, софт, который шлет мусор в систему слежки или что-то подобное. Ну и вообще современное состояние всех методов защиты.
Мы вот такой проект запустили: «SAFE: Защити себя от слежки».
Может и не все аспекты защиты себя в Сети охватывает, но стараемся добавлять новые материалы время от времени (и актуализировать старые).
Надеюсь, поможет многим.
Может и не все аспекты защиты себя в Сети охватывает, но стараемся добавлять новые материалы время от времени (и актуализировать старые).
Надеюсь, поможет многим.
fennikami видео, на которое ссылаются разработчики это видео записанное мной лично. Я никакого отношения к Burger King или e-Legion не имею, да что уж там, я даже к мобильной разработке отношусь очень посредственно.
В своем посте я указывал при каких условиях было получено записываемое видео, вы же в этом посте не уточнили, какие параметры были в конфигурации Appsee и какая версия приложения использовалась для анализа.
Предлагаю интересующимся пользователям самим проверить какие данные закрашиваются, а какие все же нет, для этого я создал небольшой скрипт, расширение для mirmproxy. С помощью него подменяется конфигурация Appsee и таким образом можно влиять на параметры записи, к тому же скрипт сохраняет всю отправляемую информацию (метаданные и видео) в файл.
Скрипт: github.com/oncecreated/appsee_watcher
Инструкция по воспроизведению результатов из моей статьи:
1. Устанавливаете mitmproxy
2. Запускаете mitmproxy вместе с аддоном, на порту 8778
3. В случае Android в настройках Wifi прописываете локальный адрес прокси сервера
4. В браузере на устройстве переходите по адресу mitm.it и устанавливаете корневой сертификат
5. Открываете приложение Burger King и совершаете действия, которые вы хотите подвергнуть записи
6. Выходите из приложения, не закрывая его полностью
7. Через несколько секунд в папке со скриптом должен появится файл видеозаписи
В своем посте я указывал при каких условиях было получено записываемое видео, вы же в этом посте не уточнили, какие параметры были в конфигурации Appsee и какая версия приложения использовалась для анализа.
Предлагаю интересующимся пользователям самим проверить какие данные закрашиваются, а какие все же нет, для этого я создал небольшой скрипт, расширение для mirmproxy. С помощью него подменяется конфигурация Appsee и таким образом можно влиять на параметры записи, к тому же скрипт сохраняет всю отправляемую информацию (метаданные и видео) в файл.
Скрипт: github.com/oncecreated/appsee_watcher
Инструкция по воспроизведению результатов из моей статьи:
1. Устанавливаете mitmproxy
$ pip install mitmproxy2. Запускаете mitmproxy вместе с аддоном, на порту 8778
$ mitmproxy -s appsee_watcher.py -p 87783. В случае Android в настройках Wifi прописываете локальный адрес прокси сервера
4. В браузере на устройстве переходите по адресу mitm.it и устанавливаете корневой сертификат
5. Открываете приложение Burger King и совершаете действия, которые вы хотите подвергнуть записи
6. Выходите из приложения, не закрывая его полностью
7. Через несколько секунд в папке со скриптом должен появится файл видеозаписи
Инструкция по использованию mitmproxy на iOS, остальные шаги аналогичны.
jasdev.me/intercepting-ios-traffic
jasdev.me/intercepting-ios-traffic
Уже проверил. iOS 12 beta, Burger King 2.2.0 (146).
Мне пришел изначально такой конфиг.
Чтобы приложение писало видео, мне пришлось добавить следующие строчки:
В этом случае поля не фильтруются и показываются в видео сырыми, как есть.
Однако! В оригинальных скриншотах автора фигурируют значения «HideInput»: true и «HideSensitiveViews»: true.
В этом случае, как и логично было бы предположить, поля форм + клавиатура закрашены черным. Невозможно получить нефильтрованные поля формы, как в видео автора, с параметрами HideInput=true и HideSensitiveViews=true.
Но, да, конфиг приходит с сервака appsee и если разработчикам так захочется, они смогут получать запись видео со всеми sensitive-данными, включая номер карты. Достаточно не указать HideInput&HideSensitiveViews в конфиге, выдаваемым с RecordVideo=true.
Мне кажется разработчикам бы следовало перезаписывать на стороне клиента параметры HideInput&HideSensitiveViews и принудительно им ставить true.
Мне пришел изначально такой конфиг.
Original config
{
"AutoDetectScreens": true,
"ClientId": "5b47182e7b2f3f1429341f73",
"ClientLogsUploadPolicy": 2,
"ConfigHttpTimeoutInMilliseconds": 5000,
"DetectActions": true,
"DetectCrashes": true,
"DetectGestures": true,
"DetectMenus": true,
"DetectPopups": true,
"MaxEventProperties": 5001,
"OfflineConfigurationPolicy": 1,
"RecordMetadata": true,
"RecordVideo": false,
"ScreenSamplingRate": 5,
"SessionId": "5b4a35e8e9a29e7727f25158",
"TrackedOfflineSessions": {},
"UploadAppIcon": false,
"UploadTouchEvents": false,
"UploadVideoOnCrash": true
}
Чтобы приложение писало видео, мне пришлось добавить следующие строчки:
Modified recording config
{
"AutoDetectScreens": true,
"ClientId": "5b47182e7b2f3f1429341f73",
"ClientLogsUploadPolicy": 2,
"ConfigHttpTimeoutInMilliseconds": 5000,
"DetectActions": true,
"DetectCrashes": true,
"DetectGestures": true,
"DetectMenus": true,
"DetectPopups": true,
"MaxEventProperties": 5001,
"OfflineConfigurationPolicy": 1,
"RecordMetadata": true,
"RecordVideo": true,
"ScreenSamplingRate": 5,
"SessionId": "5b4a312ae9a29e772bbdc79a",
"UploadAppIcon": false,
"TrackedOfflineSessions": {},
"UploadTouchEvents": false,
"UploadVideoOnCrash": true,
"MaxVideoLength": 0,
"VideoBitrate": 56,
"VideoFPS": 3,
"VideoHeight": 320,
"VideoWidth": 160
}
В этом случае поля не фильтруются и показываются в видео сырыми, как есть.
Однако! В оригинальных скриншотах автора фигурируют значения «HideInput»: true и «HideSensitiveViews»: true.
Modified HideInputHideSensitiveViews config
{
"AutoDetectScreens": true,
"ClientId": "5b47182e7b2f3f1429341f73",
"ClientLogsUploadPolicy": 2,
"ConfigHttpTimeoutInMilliseconds": 5000,
"DetectActions": true,
"DetectCrashes": true,
"DetectGestures": true,
"DetectMenus": true,
"DetectPopups": true,
"HideInput": true,
"HideSensitiveViews": true,
"MaxEventProperties": 5001,
"OfflineConfigurationPolicy": 1,
"RecordMetadata": true,
"RecordVideo": true,
"ScreenSamplingRate": 5,
"SessionId": "5b4a312ae9a29e772bbdc79a",
"UploadAppIcon": false,
"TrackedOfflineSessions": {},
"UploadTouchEvents": false,
"UploadVideoOnCrash": true,
"MaxVideoLength": 0,
"VideoBitrate": 56,
"VideoFPS": 3,
"VideoHeight": 320,
"VideoWidth": 160
}
В этом случае, как и логично было бы предположить, поля форм + клавиатура закрашены черным. Невозможно получить нефильтрованные поля формы, как в видео автора, с параметрами HideInput=true и HideSensitiveViews=true.
Но, да, конфиг приходит с сервака appsee и если разработчикам так захочется, они смогут получать запись видео со всеми sensitive-данными, включая номер карты. Достаточно не указать HideInput&HideSensitiveViews в конфиге, выдаваемым с RecordVideo=true.
Мне кажется разработчикам бы следовало перезаписывать на стороне клиента параметры HideInput&HideSensitiveViews и принудительно им ставить true.
Да, в данные момент Appsee отдает конфигурацию без записи видео, именно поэтому пришлось добавлсять подмену настроек в моем аддоне.
Отлично, тогда у нас два варианта. Либо в момент записи fennikami Appsee отдавал конфигурацию с параметрами HideInput, HideSensitiveViews со значениями false. Либо он сам подменил конфиг и пытается всех обмануть.
Отлично, тогда у нас два варианта. Либо в момент записи fennikami Appsee отдавал конфигурацию с параметрами HideInput, HideSensitiveViews со значениями false. Либо он сам подменил конфиг и пытается всех обмануть.
Но в комменте выше написан конфиг «оригинальный», где закрашиваются поля ввода. Я правильно все понял?
Получается автор поста подменил конфиг, просто показав возможность записи экрана.
Получается автор поста подменил конфиг, просто показав возможность записи экрана.
Я не подменял конфиг, о чем уже несколько раз писал.
Чтобы не пришлось писать одно и то же много раз, достаточно было сразу предоставить достаточно подробную инструкцию для повторения проблемы. Пока что три независимых человека (включая меня) утверждают, что видео блюрится с параметрами HideInput, HideSensitiveViews как у тебя на скриншотах и мы предоставляем все необходимые сведения, чтобы любой человек мог повторить наши результаты.
Я лично склоняюсь к тому, что ты просто-напросто лжешь и продолжаешь лгать, учитывая какой ажиотаж в СМИ вызвали твои обвинения.
Я лично склоняюсь к тому, что ты просто-напросто лжешь и продолжаешь лгать, учитывая какой ажиотаж в СМИ вызвали твои обвинения.
Как вы тогда получили видео без черных прямоугольников? У других людей оно с прямоугольниками.
Дело в том что на 4pda автор вел беседу с разработчиками android версии приложения и они клялись:
4pda.ru/forum/index.php?showtopic=882570&st=40#entry75009457
Автор же тестировал на iOS, возможно что приложение под нее отличается.
4. Элементы интерфейса, не входящие в перечень автоматического скрытия, могут быть указаны (и указаны) в приложении явно.
Как это видно из скрина самого же автора поста у нас есть два поля, которые говорят о том, что все поля скрываются на самом клиенте при записи видео, на скрине ниже.
-HideInput= True
-HideSensativeView= True
4pda.ru/forum/index.php?showtopic=882570&st=40#entry75009457
Автор же тестировал на iOS, возможно что приложение под нее отличается.
Именно, вы не обратили внимание, но constXife проверил как раз iOS версию. Таким образом известно, что на обоих платформах видео ретушируются корректно. Во всяком случае на проверяемых версиях приложениях.
Я имел ввиду, что в андроид версии по словам разработчиков они жестко прописаны внутри приложения на скрытие полей, не важно что приходит от AppSee. Возможно стоит проверить андроид версию на предмет подмены конфига, чтобы узнать как поведет себя приложение в 2 разных случаях, с подменой и без.
Проверял, подменить параметры можно, тогда, очевидно, поля не ретушируются.
Из приведенного вами комментария не следует то, что параметры скрытия применяются всегда, из него лишь следует то, что элементы, которые следует скрывать указаны в приложении явно.
Из приведенного вами комментария не следует то, что параметры скрытия применяются всегда, из него лишь следует то, что элементы, которые следует скрывать указаны в приложении явно.
Спасибо за проделанную работу! примерно это я и предполагал. Но код приложения вроде как не обновлялся? Значит fennikami тоже должен был видеть закрашенные поля. Хотя может iOS версия обновлялась, потому что это расхождение в том какие поля закрашиваются какое-то подозрительное.
Сначала я не заметил номер версии приложения в посте fennikami, но потом
Значит проверялись идентичные приложения. Ответ на вопрос почему результаты получились противоположные я написал в комментарии выше.
версия 2.2.0 — последняяВерсия проверяемая constXife
Burger King 2.2.0 (146)
Значит проверялись идентичные приложения. Ответ на вопрос почему результаты получились противоположные я написал в комментарии выше.
Да я уже понял, невнимательность подвела.
Вот как выглядит блюр в приложении Burger King на iOS — www.youtube.com/watch?v=OKfy0EJYlD8
Так даже с включением HideInput не замазывается номер телефона (персональные данные) в заголовке окна, что видно на видео одного из пользователей. Или у вас он тоже замазан?
И это косяк разработчиков, так как AppSee, как я понял, требует помечать области экрана с чувствительными данными, чтобы они не записывались.
Тут разработчиков изначально не в том обвиняют. Люди не видят большой проблемы и слишком много внимания удаляют маленькой.
Если бы они сливали номера банковских карт — это ерунда, карту можно легко поменять, да и сознательный человек наверно не станет в приложении вводить номер реальной, а не виртуальной карты. Я по крайней мере бы не стал так делать, я работаю в индустрии и знаю, как тут соблюдаются меры безопасности. Замучаетесь мои копейки уводить.
Проблема в другом:
1) то, что они тайком ведут видеозапись действий пользователя, что, как выясняется из комментариев, многим некомфортно. Представьте, если в кафе к вам с подругой подсядет за столик «аналитик» и начнет на камеру снимать ваши действия.
2) то, что собирают кучу ненужных данных, вроде IMEI. Зачем им номер IMEI для заказа бургера? выявлять нелегально ввезенные из Китая смартфоны что ли? или телефон? чтобы можно было сдать не понравившегося пользователя правоохранительным органам? Интересно, они в своем ресторане тоже у гостей паспорт спрашивают или еще не дошли до этого?
3) то, что не информируют пользователя об этом. Они спрятали это где-то в глубине длинного пользовательского соглашения, которое размещено отдельно на сайте и которое они могут в любой момент подменить. Одно это показывает их истинное лицо и отношение к своему клиенту — отношение наперсточника. Честно рассказать о слежке они не хотят (ну, это хорошо соотносится с их стилем рекламы).
4) то, что не охраняют собранные персональные данные и не замазали номер телефона перед передачей видео в израильскую компанию AppSee.
И это косяк разработчиков, так как AppSee, как я понял, требует помечать области экрана с чувствительными данными, чтобы они не записывались.
Тут разработчиков изначально не в том обвиняют. Люди не видят большой проблемы и слишком много внимания удаляют маленькой.
Если бы они сливали номера банковских карт — это ерунда, карту можно легко поменять, да и сознательный человек наверно не станет в приложении вводить номер реальной, а не виртуальной карты. Я по крайней мере бы не стал так делать, я работаю в индустрии и знаю, как тут соблюдаются меры безопасности. Замучаетесь мои копейки уводить.
Проблема в другом:
1) то, что они тайком ведут видеозапись действий пользователя, что, как выясняется из комментариев, многим некомфортно. Представьте, если в кафе к вам с подругой подсядет за столик «аналитик» и начнет на камеру снимать ваши действия.
2) то, что собирают кучу ненужных данных, вроде IMEI. Зачем им номер IMEI для заказа бургера? выявлять нелегально ввезенные из Китая смартфоны что ли? или телефон? чтобы можно было сдать не понравившегося пользователя правоохранительным органам? Интересно, они в своем ресторане тоже у гостей паспорт спрашивают или еще не дошли до этого?
3) то, что не информируют пользователя об этом. Они спрятали это где-то в глубине длинного пользовательского соглашения, которое размещено отдельно на сайте и которое они могут в любой момент подменить. Одно это показывает их истинное лицо и отношение к своему клиенту — отношение наперсточника. Честно рассказать о слежке они не хотят (ну, это хорошо соотносится с их стилем рекламы).
4) то, что не охраняют собранные персональные данные и не замазали номер телефона перед передачей видео в израильскую компанию AppSee.
Кончено, если слежка не соответствует закону это большая проблема. На мой взгляд после поста РосКомСвободы ясно, с законами Burger King не очень дружит. Но сейчас также вскрывается факт возможного подлога со стороны автора поста, что тоже является довольно серьезной проблемой.
Так даже с включением HideInput не замазывается номер телефона (персональные данные) в заголовке окна, что видно на видео одного из пользователей. Или у вас он тоже замазан?
Верно, не замазывается телефон, поэтому мне пришлось монтажить видео, чтобы не светить всем мой номер телефона. Плюс, на странице профиля в приложении светится Имя + Телефон + Email + Фото (если оно загружено).
Проблема в другом:
В принципе, соглашусь со всеми пунктами, но вся эта ситуация меня, если честно, раздражает из-за ажиотажа по поводу использования системы аналитики.
Вся эта забюрократизованность лезет из реальности в интернет. Вместо того, чтобы пилить приложение, надо будет сидеть и разбираться со специалистами, чтобы твоё мини-приложение соответствовало 152-ФЗ (а то случайно зайдет на твой сайт какой-нибудь Васян да накатает маляву в Роскомнадзор), потом ещё делать соответствие GDPR, а потом ещё случайно окажется что твое приложение не соответствует каким-то законам Зимбабве и в итоге окажется, что проще всего отрезать от приложения все неподдерживаемые страны, а обычные люди которым нафиг не уперлась такая защита их данных, будут грустно наблюдать надпись «Sorry the service is currently not available in your country.», ну зато ПД в сохранности.
Хотя, вне сомнения, регулировать как-то работу сервисов надо, чтобы они совсем не охреневали от безнаказанности и безответственности. Истина, как обычно это бывает, где-то посередине.
> Вместо того, чтобы пилить приложение, надо будет сидеть и разбираться со специалистами, чтобы твоё мини-приложение соответствовало 152-ФЗ
Так не спрашивайте лишние персональные данные, например. Приложение БК спрашивает номер телефона, который в принципе не нужен для того, чтобы сделав заказ, через 10 минут забрать его на кассе, а также IMEI, который им вообще не нужен (разве что для судебного преследования пользователя).
А если вам нужны персональные данные (например, адрес доставки) — удалите их после выполнения заказа.
Не рассылайте непрошенный спам. Не собирайте IP адреса.
Это значительно упростит вам соответствие законам, правда маркетологи огорчатся, но кого волнует их мнение. Вся строгость законов вроде GDPR относится к тем, кто специально накапливает персональные данные. Естественно, что с них и спрос должен быть больше.
Компании же хотят вместо этого, как в США, добавить пару пунктов в соглашение и делать с персональными данными что хотят. Мы не должны брать пример с США, а должны брать пример с Европы где на первое место ставятся права граждан.
Так не спрашивайте лишние персональные данные, например. Приложение БК спрашивает номер телефона, который в принципе не нужен для того, чтобы сделав заказ, через 10 минут забрать его на кассе, а также IMEI, который им вообще не нужен (разве что для судебного преследования пользователя).
А если вам нужны персональные данные (например, адрес доставки) — удалите их после выполнения заказа.
Не рассылайте непрошенный спам. Не собирайте IP адреса.
Это значительно упростит вам соответствие законам, правда маркетологи огорчатся, но кого волнует их мнение. Вся строгость законов вроде GDPR относится к тем, кто специально накапливает персональные данные. Естественно, что с них и спрос должен быть больше.
Компании же хотят вместо этого, как в США, добавить пару пунктов в соглашение и делать с персональными данными что хотят. Мы не должны брать пример с США, а должны брать пример с Европы где на первое место ставятся права граждан.
Так не спрашивайте лишние персональные данные, например.
Полагаю, чтобы соответствовать 152-ФЗ нужно предпринять нечто большее, чем не спрашивать лишние персональные данные, не говоря уже о том, что понятие что такое «персональные данные» можно растягивать как угодно широко.
Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился, когда захожу на какую-нибудь игру, потому что стим, видимо, не хочет сохранять мой возраст. Или постоянно приходиться закрывать уведомления о кукисах. Зачем? Почему? В чём смысл всего этого? Бред.
Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился, когда захожу на какую-нибудь игру, потому что стим, видимо, не хочет сохранять мой возраст.
Тут всё логично, с вашего аккаунта могли зайти не вы, а ваш ребёнок, к примеру. Но галочку «запомнить мой выбор и больше не спрашивать» действительно могли бы сделать. Тем более, платёжную информацию Стим запоминать разрешает.
Тут всё логично, с вашего аккаунта могли зайти не вы, а ваш ребёнок, к примеру.
Что, и мой ребёнок имеет свободный доступ до моего телефона, чтобы ввести код от двухфакторной авторизации? Вообще, есть Steam Family Sharing для такой логики. Не говоря уже о том, что проверка возраста такая себе защита от детей, если они сами должны ввести свой возраст. Плюс уже есть опция в стиме «Показывать в магазине продукты, содержащие материалы следующих типов», которую я отметил.
Это совершенно тупая проверка, которая ничего не проверяет, зато бесит каждый раз.
> Полагаю, чтобы соответствовать 152-ФЗ нужно предпринять нечто большее, чем не спрашивать лишние персональные данные,
ФЗ регулирует обработку ПД, если вы их не собираете, то он к вам и не относится. Строгие требования там к тем, кто их обрабатывает — они должны регистрироваться как оператор ПД, их можно проверять и, надеюсь, можно привлечь к ответственности в случае утечки.
Причем там сделано исключение для случаев, когда например ПД нужны для выполнения магазином заказа, достаточно получить согласие в виде галочки:
Статья 22, п.2
> 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
> 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
Если магазину нужны ПД только для выполнения договора (доставки товара), то ему не надо регистрироваться в РКН. А вот если он хочет накапливать и анализировать ПД для маркетинга, рассылки рекламы и прочих мутных целей, то да, придется. К сожалению, магазины все больше хотят использовать ПД для «мутных» целей, а не уничтожать их после выполнения заказа.
> не говоря уже о том, что понятие что такое «персональные данные» можно растягивать как угодно широко.
Оно определено в законе.
> Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился,
Это не имеет отношения к ФЗ-152, это нужно чтобы не показывать детям вредные для них игры.
> Или постоянно приходиться закрывать уведомления о кукисах. Зачем? Почему?
Потому что Европа обязывает сайты информировать пользователей о слежке за ними через куки. Не об использовании кук, а о слежке и записи действий. Вы видите предупреждения так часто не потому что европейский законодатель плохой, а потому что так много любителей заглянуть к вам через плечо. И информировать людей важно, чтобы слежка не была скрытой. Где вы видите бред? По моему так информирование пользователя лучше, чем скрытие от него важных особенностей сайта.
Мне кажется, вам стоит получше разобраться в законах, прежде чем их критиковать, а то сейчас вы просто, не понимая того, пересказываете позицию крупных компаний, которым конечно хотелось бы отменить эти законы и свободно следить за пользователями, собирать и продавать данные о них.
ФЗ регулирует обработку ПД, если вы их не собираете, то он к вам и не относится. Строгие требования там к тем, кто их обрабатывает — они должны регистрироваться как оператор ПД, их можно проверять и, надеюсь, можно привлечь к ответственности в случае утечки.
Причем там сделано исключение для случаев, когда например ПД нужны для выполнения магазином заказа, достаточно получить согласие в виде галочки:
Статья 22, п.2
> 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
> 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
Если магазину нужны ПД только для выполнения договора (доставки товара), то ему не надо регистрироваться в РКН. А вот если он хочет накапливать и анализировать ПД для маркетинга, рассылки рекламы и прочих мутных целей, то да, придется. К сожалению, магазины все больше хотят использовать ПД для «мутных» целей, а не уничтожать их после выполнения заказа.
> не говоря уже о том, что понятие что такое «персональные данные» можно растягивать как угодно широко.
Оно определено в законе.
> Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился,
Это не имеет отношения к ФЗ-152, это нужно чтобы не показывать детям вредные для них игры.
> Или постоянно приходиться закрывать уведомления о кукисах. Зачем? Почему?
Потому что Европа обязывает сайты информировать пользователей о слежке за ними через куки. Не об использовании кук, а о слежке и записи действий. Вы видите предупреждения так часто не потому что европейский законодатель плохой, а потому что так много любителей заглянуть к вам через плечо. И информировать людей важно, чтобы слежка не была скрытой. Где вы видите бред? По моему так информирование пользователя лучше, чем скрытие от него важных особенностей сайта.
Мне кажется, вам стоит получше разобраться в законах, прежде чем их критиковать, а то сейчас вы просто, не понимая того, пересказываете позицию крупных компаний, которым конечно хотелось бы отменить эти законы и свободно следить за пользователями, собирать и продавать данные о них.
С телефоном спорно — а если я не приду после того как сделал заказ? Как со мной связаться, чтобы узнать, я опаздываю или вообще не явлюсь? Вечно точно заказ хранить нельзя.
А если вы укажете телефон, но отключите его? Это ничего не меняет, и как я понимаю, там вообще приложение для заказа не на потом, а прямо перед тем, как подойти на кассу и получить его (так как бургер скоропортящийся продукт). Вы так же можете придти в ресторан, на тачскрине сделать заказ и убежать.
Даже если телефон нужен для напоминания о заказе, то его нужно удалять после выполнения заказа.
Даже если телефон нужен для напоминания о заказе, то его нужно удалять после выполнения заказа.
Ну все же как то сумбурно. Не хватает действительно качественно и объективного обзора без эмоций тем более, что появилось множество статей, которые противоречат друг другу.
Как я понял, что это все таки проблема AppSee, которая записывает видео экрана. Тогда у меня вопрос к вебвизору яндекса, а там все законно, я же как конечный пользователь не давал согласие, а именно он записывает данные в том числе и персональные.
Все же номера каточек и т.д. затираются, но могут и не затираться. Это как я понял делается в настойках AppSee.
В любом случае проблема больше чем в БК, а вообще в аналитике и сборе данных. Вот майкрософт то же собирает данные и гугл. И тоже вроде как обезличено. В общем тут вскрыта большая проблема. Которая упирается в честность разработчиков и службы аналитики.
Как я понял, что это все таки проблема AppSee, которая записывает видео экрана. Тогда у меня вопрос к вебвизору яндекса, а там все законно, я же как конечный пользователь не давал согласие, а именно он записывает данные в том числе и персональные.
Все же номера каточек и т.д. затираются, но могут и не затираться. Это как я понял делается в настойках AppSee.
В любом случае проблема больше чем в БК, а вообще в аналитике и сборе данных. Вот майкрософт то же собирает данные и гугл. И тоже вроде как обезличено. В общем тут вскрыта большая проблема. Которая упирается в честность разработчиков и службы аналитики.
На мой взгляд, автор перебирает с эмоциями. Лучше бы сухо и беспристрастно изложить факты, это произвело бы лучшее впечатление.
И у меня вопрос по видео. На вашем видео видна клавиатура. Разве она не запущена в отдельном процессе, к которому у приложения нет полного доступа? По крайней мере на Андроиде клавиатура запускается в отдельном процессе и приложение по идее не может ее записывать. Кто-то, кто разбирается в разработке под iPhone, может это прокомментировать? Хочется понять, правда ли AppSee добавляет черные квадратики только в админке или же они добавляются еще на устройстве.
Ну и хорошо бы конечно чтобы кто-то еще, у кого есть айфон, проверил бы это независимо, сдампил трафик и проверил, какое именно видео там передается.
Также, так как тред на 4PDA с интересными сообщениями потерли, добавлю ссылку на комментарий, где они восстановлены из яндекс-кеша: habr.com/company/roskomsvoboda/blog/417145/#comment_18882693
И у меня вопрос по видео. На вашем видео видна клавиатура. Разве она не запущена в отдельном процессе, к которому у приложения нет полного доступа? По крайней мере на Андроиде клавиатура запускается в отдельном процессе и приложение по идее не может ее записывать. Кто-то, кто разбирается в разработке под iPhone, может это прокомментировать? Хочется понять, правда ли AppSee добавляет черные квадратики только в админке или же они добавляются еще на устройстве.
Ну и хорошо бы конечно чтобы кто-то еще, у кого есть айфон, проверил бы это независимо, сдампил трафик и проверил, какое именно видео там передается.
Также, так как тред на 4PDA с интересными сообщениями потерли, добавлю ссылку на комментарий, где они восстановлены из яндекс-кеша: habr.com/company/roskomsvoboda/blog/417145/#comment_18882693
Учитывая, что автору всего 18 лет, и он обнаружил такую вкусную историю, его эмоции вполне понятны. Тем более круто, что в таком раннем возрасте он уже так плотно занимается ИБ.
в 18 лет только ленивый не хацкерил. Или даже в 16.
Мне кажется, тут откровенное хайпожорство, и это не делает чести.
Ну в смысле, хорошо, что он поднял тему AppSee (если он не подделывал расследование), но сейчас вот уже откровенно переигрывает.
Мне кажется, тут откровенное хайпожорство, и это не делает чести.
Ну в смысле, хорошо, что он поднял тему AppSee (если он не подделывал расследование), но сейчас вот уже откровенно переигрывает.
Видимо я ленивый, раз в 18 я радовался, что умею итерироваться по массиву, а в 16 верхом моего коварства было поставить скриншот рабочего стола как фоновое изображение, удалить все ярлыки и скрыть панель управления.
в 18 лет только ленивый не хацкерил. Или даже в 16.
"Если бы молодость знала, если бы старость могла..."?
Также, заслуживает внимания тот факт, что даже на видео с квадратиками видны персональные данные — номер телефона. Который передается в израильскую компанию AppSee, которая не подчиняется российскому законодательству. Потому что разработчики БК забыли пометить эту область как область с чувствительными данными при настройке AppSee.
Хотя в заявлении ТАСС компания утверждала:
> Эта система не имеет ничего общего со сбором персональных данных, более того, ни мы, ни специалисты AppSee не видят персональных данных (они приходят на сервер в обезличенном виде) ", — пояснили в компании.
Не знаю, как «специалисты AppSee», а я номер телефона прекрасно вижу.
Также, хотя компания утверждает, что данные «обезличены», они легко смогли вычислить пользователя, исследовавшего безопасность, о чем похвастались в ныне удаленном сообщении на 4PDA:
Хотя в заявлении ТАСС компания утверждала:
> Эта система не имеет ничего общего со сбором персональных данных, более того, ни мы, ни специалисты AppSee не видят персональных данных (они приходят на сервер в обезличенном виде) ", — пояснили в компании.
Не знаю, как «специалисты AppSee», а я номер телефона прекрасно вижу.
Также, хотя компания утверждает, что данные «обезличены», они легко смогли вычислить пользователя, исследовавшего безопасность, о чем похвастались в ныне удаленном сообщении на 4PDA:
Скриншот
Ну что, доказательная база собрана чётко. Включая прямые признания подозреваемого в том, что они всё пишут и все данные у них есть.
Теперь действовать должны правоохранительные органы.
Теперь действовать должны правоохранительные органы.
как страшно жить(с)
а возможны ли способы борьбы?
захват экрана, насколько помню — это же отдельный пермишн?
а возможны ли способы борьбы?
захват экрана, насколько помню — это же отдельный пермишн?
До этого защищал бургер, но после того как увидел незаблюренные поля, немного офигел. Неужели appsee позволяет перехватывать такую информацию как номера телефонов и кредитных карт…
Я не знаю какая степень вины бургер кинга, это не они же писали код для апси. Но то что когда шумиха поднялась, начали врать и отмазываться это как минимум. И что-то мне подсказывает, что такая же проблема с записью экрана и приватностью не только у бургер кинга.
Я не знаю какая степень вины бургер кинга, это не они же писали код для апси. Но то что когда шумиха поднялась, начали врать и отмазываться это как минимум. И что-то мне подсказывает, что такая же проблема с записью экрана и приватностью не только у бургер кинга.
Теперь понятно, почему в последнее время телефон быстро разряжается.
Я несколько раз всего приложение запускал, думал купить через него, но карты не привязывались — все тормозило.
Сейчас посмотрел — приложение качнуло 400 метров информации — это жесть. И сидел я точно не на вафле. И это за 3 запуска…
Проверьте, пожалуйста, а не передает ли эта прога еще и в фоне данные.
Я несколько раз всего приложение запускал, думал купить через него, но карты не привязывались — все тормозило.
Сейчас посмотрел — приложение качнуло 400 метров информации — это жесть. И сидел я точно не на вафле. И это за 3 запуска…
Проверьте, пожалуйста, а не передает ли эта прога еще и в фоне данные.
Святые печеньки, что началось то?!
Ну а комментарии с корпоративного аккаунта на крупнейшей площадке страны — это прямо сказка.
Если всё «так просто и понятно», почему уважаемый ZhenyaBurgerKing так расстраивается?
Ну а комментарии с корпоративного аккаунта на крупнейшей площадке страны — это прямо сказка.
Если всё «так просто и понятно», почему уважаемый ZhenyaBurgerKing так расстраивается?
Елегион просто хомячки-редиски.
Ваш комментарий к публикации «Басня о Burger King и данных пользователей. Комментарии разработчика» был отклонен пользователем iSasha.
Текст комментария:
Уважаемые разработчики! ваше ПО такое мегаважное, что 3 млн. пользователей (а столько ли?) Просто как кролики, 10% которых вы пишите на видео и ждете крэша аппликейшина.
Вы так плохо кодите, что это(писать видео) точно нужно делать?
Закрывайте лавочку, убирайте запись в приложении вообще, ведь не будет то пользователей вам и репутация уже начала скамиться.
Ваш комментарий к публикации «Басня о Burger King и данных пользователей. Комментарии разработчика» был отклонен пользователем iSasha.
Текст комментария:
Уважаемые разработчики! ваше ПО такое мегаважное, что 3 млн. пользователей (а столько ли?) Просто как кролики, 10% которых вы пишите на видео и ждете крэша аппликейшина.
Вы так плохо кодите, что это(писать видео) точно нужно делать?
Закрывайте лавочку, убирайте запись в приложении вообще, ведь не будет то пользователей вам и репутация уже начала скамиться.
Автор молодец, разоблачил бургер кинг!
Но, что интересно, так это то, что пишут некоторые пользователи хабра( кавычки на комментарий одного юзера ):
«На мой взгляд, автор перебирает с эмоциями»
«Ну все же как то сумбурно. Не хватает действительно качественно и объективного обзора без эмоций тем более, что появилось множество статей, которые противоречат друг другу.»
«Для автора это превратилось в некую священную войну.… На хабре технические составляющие статьи должны преобладать над эмоциями и обвинениями, потому как это все скатилось»
То есть вместо того, чтобы либо докопаться до истины, либо осудить компанию, люди становятся, назовем это так, не на сторону автора, что играет на руку компании. И озвучивают, что ведь что-то там не соблюдено, да не так надо действовать, да то им не так и это им не эдак. И хорошо бы это был троллинг, но это серьезно. Это взрослые люди, которые на полном серьезе пишут, что автору всего 18 и все-то неверно сделал.
И учитывая, что людей не минусуют особо, это встречает молчаливое одобрение большинства. И вместо того, чтобы задаваться вопросами, вроде: «а почему серьезная компания не опровергла, если есть чем опровергнуть и не расставила все по полочкам» задаются вопросами вроде: «а почему автор не идеально все разобрал?» или «а почему эмоциональная составляющая присутствует, ой как жеж плохо, ой немолодец». Ребята, вы это серьезно все пишите? Это те мысли, которые должны рождаться в голове рационально мыслящего человека? За все время написал второй пост на хабре, потому что то, что делает сообщество Хабра в большинстве своем вызывает очень много вопросов и да, эмоциональную реакцию, хотя мне далеко не 18.
Эй, FrankSinatra, заминусуй меня, у тебя же есть мнение. Ты пока при нем остался, не изменил, ты же со стороны наблюдаешь, правда пишешь, что есть ошибки у автора, но ты молодец, у тебя мнение есть и есть на него право. И ты ведь «возможно выскажусь на этот счет и извинюсь» так ведь? То есть пока ты понаписываешь свое здесь не то, тут не так, посмотришь, а потом когда уже все очевидно, что ты откровенно неправ и ерунду написал, тогда ты, «возможно выскажусь и извинюсь». Вау, браво! Человечище!
Но, что интересно, так это то, что пишут некоторые пользователи хабра( кавычки на комментарий одного юзера ):
«На мой взгляд, автор перебирает с эмоциями»
«Ну все же как то сумбурно. Не хватает действительно качественно и объективного обзора без эмоций тем более, что появилось множество статей, которые противоречат друг другу.»
«Для автора это превратилось в некую священную войну.… На хабре технические составляющие статьи должны преобладать над эмоциями и обвинениями, потому как это все скатилось»
То есть вместо того, чтобы либо докопаться до истины, либо осудить компанию, люди становятся, назовем это так, не на сторону автора, что играет на руку компании. И озвучивают, что ведь что-то там не соблюдено, да не так надо действовать, да то им не так и это им не эдак. И хорошо бы это был троллинг, но это серьезно. Это взрослые люди, которые на полном серьезе пишут, что автору всего 18 и все-то неверно сделал.
И учитывая, что людей не минусуют особо, это встречает молчаливое одобрение большинства. И вместо того, чтобы задаваться вопросами, вроде: «а почему серьезная компания не опровергла, если есть чем опровергнуть и не расставила все по полочкам» задаются вопросами вроде: «а почему автор не идеально все разобрал?» или «а почему эмоциональная составляющая присутствует, ой как жеж плохо, ой немолодец». Ребята, вы это серьезно все пишите? Это те мысли, которые должны рождаться в голове рационально мыслящего человека? За все время написал второй пост на хабре, потому что то, что делает сообщество Хабра в большинстве своем вызывает очень много вопросов и да, эмоциональную реакцию, хотя мне далеко не 18.
Эй, FrankSinatra, заминусуй меня, у тебя же есть мнение. Ты пока при нем остался, не изменил, ты же со стороны наблюдаешь, правда пишешь, что есть ошибки у автора, но ты молодец, у тебя мнение есть и есть на него право. И ты ведь «возможно выскажусь на этот счет и извинюсь» так ведь? То есть пока ты понаписываешь свое здесь не то, тут не так, посмотришь, а потом когда уже все очевидно, что ты откровенно неправ и ерунду написал, тогда ты, «возможно выскажусь и извинюсь». Вау, браво! Человечище!
Что очевидно? Есть факты, а есть догадки. Я делаю выводы на основании проверенных фактов, их немного. И выше я написал, что у меня нет доверия ни к одной из сторон. Выше в обсуждениях люди проверили iOS версию, сняли видео, поля скрыты и все нормально.
Возникают вполне обоснованные вопросы как такое возможно, без подмены JSON конфига от AppSee. По поводу минусований вы ошиблись адресом, я такими вещами не занимаюсь и у меня физически нет такой возможности. Мне не нравится всеобщее помешательство на почве бургеркинга, к которому приложил руку автор поста.
Возникают вполне обоснованные вопросы как такое возможно, без подмены JSON конфига от AppSee. По поводу минусований вы ошиблись адресом, я такими вещами не занимаюсь и у меня физически нет такой возможности. Мне не нравится всеобщее помешательство на почве бургеркинга, к которому приложил руку автор поста.
Ой, смотрите, что я нашел. Неужели это Fennikami упоминают? Да еще и в контексте необоснованных обвинений? Ну, настоящий "пентестер"
https://www.reddit.com/r/sideloaded/comments/8t4gd1/meta_official_appvalley_statement/
Человек пиариться чуток. Он в своем блоге уже сделал секцию ищу работу, где предлагает себя в качестве ИТ эксперта безопасности. И я бы ему пожелал успехов, если он объяснит каким образом у него записалось видео с раскрытыми данными карты, когда сервер высылает судя по его же скриншоту HideInput и HideSensitive = True.
Поиск работы и донаты исчезли. Весь кипеш затевался из-за 300 долларов в биткоинах что ли (https://www.blockchain.com/ru/btc/address/18c5YugMhz6gsAxtLzdBfo9uDZcqdgywq8)? ЧуднО.
Поиск работы и донаты исчезли.
Никуда они не исчезли, Вы врёте.
Кто хочет — может зайти на мой сайт и проверить.
Весь кипеш затевался из-за 300 долларов в биткоинах
Я был бы очень рад, если мне подарили $300 в биткоинах, но увы — никто ничего мне не отправил.
Не понимаю зачем Вы добавили ссылку на левый кошелек.
В моём блоге указан совсем другой.
Мальчик, ты за последние два дня черт знает сколько раз менял структуру своего сайта. Там уже были и пропадали данные кредитки и яндекс кассы, появлялись и исчезали адреса на протон мейл и чего только не было. Не ври уже, умоляю. А то я твои прошлогодние шалости на реддите опубликую прямым текстом здесь или на пикабу :-) Там и посмотрим, сколько фанатов у тебя останется на пикабу и как быстро ты найдешь работу В ЭТОЙ стране. Да, можешь это тоже в угрозы записывать, мне тащемта плевать, не я тебя заставлял такие фоточки выкладывать, проказник Алиска :-)
З.Ы. За минуса спасибо, но если ты не заметил, мне уже плевать :-)
Ой, смотрите, что я нашел
Мой поздравления :)
AppValley, к слову — разработчики магазина пиратских и взломанных приложений для iOS, и они в каждое своё приложение встроили вредноносную динамическую библиотеку (инъекция врендносного кода). По Вашей ссылке — их официальное «опровержение» в духе «мопед не мой». А моё расследование, в котором я всё доказал — Вы почему-то не показали.
А, ну да, тогда не получиться меня обвинить. :)
Какую аналитику они собирают? Для сбора аналитики не нужно делать запись экрана, им достаточно получать информацию о том какое окно сейчас открыто итд. Проблемой может быть не сам факт передачи данных карт, логинов, итд на сервер, а передача их в ОТКРЫТОМ! виде. Некто не гарантирует того что завтра уволенный и обиженный сотрудник Burger King не сможет воспользоваться этим и не потратить пару тысяч на компенсацию своего морального ущерба. Привлечь такого сотрудника к ответственности не убив себе репутацию будет невозможно.
По своему опыту могу сказать что после увольнения из компании я обладал всеми средствами для того что бы отправить ее в бессрочный отпуск. Такая халатность, как и в прочем люба, добром не заканчивается.
По своему опыту могу сказать что после увольнения из компании я обладал всеми средствами для того что бы отправить ее в бессрочный отпуск. Такая халатность, как и в прочем люба, добром не заканчивается.
Да, много всего нехорошего вылезло про елегион. Не удивлюсь если в ТЗ таки было требование о передаче только по вайфаю. Это история не про кражу данных, а про чудовищную халтуру в разработке. А женя из БК просто пытается прикрыть свою жопу, которую очень вероятно скоро вышвырнут с работы.
Какая-то жаба-гадюка пошла, скандалы-интриги-раследования, показать все что скрыто. Думаю, Бургер-Кингу нужно всем бесплатный попкорн выписать. Вполне ок пиар будет как по мне, позитивненький.
НЛО прилетело и опубликовало эту надпись здесь
Так где происходит закрашивание черным — на клиенте или сервере AppSee? Я думаю что решение закрашивать прям на клиенте ресурсоемкое.
Можно как-то проверить что в AppSee то видно?
Можно как-то проверить что в AppSee то видно?
Закрашивает на клиенте. Ресурсов много не надо так как AppSee может вычитать все bounding rect соответствующих полей. Повторить mitm эксперимент можно самому, есть даже код на гитхабе, смотри на гдето 5 комментариев выше https://habr.com/post/417161/#comment_18882569
Давайте посмотрим на проблему шире. Как обстоят дела у конкурентов: Макдональдс, KFC, Subway? А как насчёт Ebay или Aliexpress? Может быть в их приложения тоже встроены схожие механизмы шпионажа за пользователями? Я не заступаюсь за Burger King и считаю что они должны понести наказание за проникновение в личную жизнь пользователей без их разрешения.
В видео есть очень интересный момент на точке 01:05 в видео которая предоставили разработчики приложения. Дело в том что согласно станарту PCI DSS, защите полежат все данные напечатанные на карте. С кратким обзором можно ознакомиться вот тут вот PCI Data Storage Do’s and Don’ts.
Почему они так легко предоставили видео на котором показываетя что они небрежно относится к безопасности со словами "а глядите как тут все секурно"? Не знаю, но думаю что эти парни не знакомы со стандартами, который должно знать вплоть до запятой.
Я так-же думаю, что до этого случая они мало задумывались о безопасности, то есть им вообще похер. так-же мыслю что данные карт им нафиг не нужны, простая небрежность.
А автору само-собой респект, сколько бы ему лет не было.
Надо выписывать штрафы, потому что простая небрежность приводит к обычным (в свете последних новостей) утечкам. Все бездумно тянут себе в приложение всякие модули и не думают о последствиях. Пару кликов в ИДЕ: добавить модуль аналитики Х, далее, включить все ништяки, готоао. Что будем потом с этим делать пока не знаем, зато модно.
Видео-подтверждение — наглый фейк, и любой работающий с IOS сепциалист это скажет с первого взгляда: нельзя никак записать клавиатуру на видео или сделать её скриншот — она запущена в другом потоке и находится вне иерархии вьюх приложения.
Господа, три дня с упоением читаю срач разгоревшийся диспут в коментах и поражен как стремительно меняется вектор дискуссии. Особо поражают статьи в новостях, все как один в позитивном, в принципе, для БК ключе.
Топикстартер сделал отличное дело. Вне зависимости от того, чисты ли были его помыслы или он хотел хайпа, не важно даже фейковые ли видео (хотя конечно, всем нам представился школьник, атакующий, скажем, подменой днс на бесплатном Wifi сидя за столиком в БК)
Главное — fennikami обнаружил и указал на то, что БК нас бигдатит и еще и возможно делает это небезопасно для нас.
И вот тут я бы хотел заострить внимание на том, что представляет из себя AppSee (В недалеком прошлом UserVOD) Господа из БК и Е-легиона упорно утверждают, что эта платформа нужна им для анализа ошибок в приложениях, но вот беда, на сайте AppSee большими буквами на главной написано о том, что платформа обеспечивает подробный анализ поведения пользователей, а это ужесовсем не не совсем ловля редких жуков.
Вот цитата из интервью с генеральным директором и со-основателем компании Appsee Цахи Боуссибой:
Зачем нужно было создавать очередной аналитический инструмент для разработчиков, когда на рынке сейчас довольно много конкурентов и хороших решений?
Цахи Боуссиба (AppSee):
Впрочем, иногда господин Боуссиба вспоминает не только про аналитику, но и о разработчиках:
Так или иначе, мы говорим про инструмент аналитики поведения пользователя, необходимый в первую очередь для маркетинга, ну и конечно, раз уж мывставили жучок в задний проход имеем инструмент анализа пользователей, то и решение для улучшения юзабилити.
И напоследок, хотел бы сравнить еще одну цитату из интервью с глубоко уважаемым Цахи Боуссибой и цитату пользователя iSasha из E-legion:
iSasha (E-legion):
Мне бы очень хотелось, чтобы эта история хоть немного подтолкнула сообщество задуматься о том, хотим ли мы, чтобы каждый наш выдох был куда-то записан. И я говорю не о себе или других технарях. У нас есть и впны и свои днски, ф-дроид и даже шапочки из фольги. Просто пока большинство молчаливо соглашаясь позволяет изучать себя со всех сторон, в то время когда создаются целые ниши и даже рынки аналитики, вряд ли общество становится свободнее, а значит и счастливее.
Ссылки на источники:
apptractor.ru/measure/user-analytics/zahi-boussiba-appsee-interview.html
www.geektime.co.il/appsee-raises-million-dollars
habr.com/company/e-Legion/blog/417043
Топикстартер сделал отличное дело. Вне зависимости от того, чисты ли были его помыслы или он хотел хайпа, не важно даже фейковые ли видео (хотя конечно, всем нам представился школьник, атакующий, скажем, подменой днс на бесплатном Wifi сидя за столиком в БК)
Главное — fennikami обнаружил и указал на то, что БК нас бигдатит и еще и возможно делает это небезопасно для нас.
И вот тут я бы хотел заострить внимание на том, что представляет из себя AppSee (В недалеком прошлом UserVOD) Господа из БК и Е-легиона упорно утверждают, что эта платформа нужна им для анализа ошибок в приложениях, но вот беда, на сайте AppSee большими буквами на главной написано о том, что платформа обеспечивает подробный анализ поведения пользователей, а это уже
Вот цитата из интервью с генеральным директором и со-основателем компании Appsee Цахи Боуссибой:
Зачем нужно было создавать очередной аналитический инструмент для разработчиков, когда на рынке сейчас довольно много конкурентов и хороших решений?
Цахи Боуссиба (AppSee):
Вы правы. На рынке минимум 20 компаний, предлагающих различные аналитические решения. Проблема в том, что почти везде один и тот же набор услуг. Как правило, предлагают стандартный пакет: пользователи, сессии, возврат, конверсия и т.д.
Среди этого множества сервисов Appsee выделяет уникальная “фишка” – он показывает персональное поведение каждого конкретного человека внутри приложения или, другими словами, помогает увидеть приложение “глазами и руками” пользователя. Поведенческий фактор, который фиксирует Appsee в видеозаписях сессий, и есть тот краеугольный камень в мобильной аналитике, который придает массивам цифр новый смысл.
Впрочем, иногда господин Боуссиба вспоминает не только про аналитику, но и о разработчиках:
Цахи Боуссиба (AppSee):
Помимо всех данных, которые предоставляют базовые платформы для мобильных аналитиков, наша уникальность на самом деле сопровождается отслеживанием всех сеансов, которые пользователь выполнил в приложении, во всем. Мы можем узнать и показать разработчику, какие кнопки в приложении пользователь нажал, какие действия сработали и которые не сработали, а самое главное — когда и почему приложение рухнуло. Наше решение дает разработчику один уровень за пределами того, что ему предоставят другие аналитические услуги
Так или иначе, мы говорим про инструмент аналитики поведения пользователя, необходимый в первую очередь для маркетинга, ну и конечно, раз уж мы
И напоследок, хотел бы сравнить еще одну цитату из интервью с глубоко уважаемым Цахи Боуссибой и цитату пользователя iSasha из E-legion:
Вы записываете видео со всех сессий? Какими сервисами пользуетесь для работы с получаемыми объемами данных?
Цахи Боуссиба (AppSee):
Appsee записывает далеко не все сессии. Он фиксирует ключевые метрики для последующей визуализации в отчетах и теплокартах. Клиент сам выбирает, какие сессии будут записаны на видео, при этом ему предоставляется широкий выбор параметров для настройки. Это нужно, когда разработчик хочет увидеть, как ведут себя, например, пользователи iOS из России, достигшие определенного уровня в игре, или сделать выборку по тем пользователям, которые что-то купили в приложении.
iSasha (E-legion):
Ваши данные в безопасности потому, что:
Скрытие личных данных при записи видео для аналитики прописано в коде приложения. Данные скрываются до того, как покинут мобильное устройство.
Мне бы очень хотелось, чтобы эта история хоть немного подтолкнула сообщество задуматься о том, хотим ли мы, чтобы каждый наш выдох был куда-то записан. И я говорю не о себе или других технарях. У нас есть и впны и свои днски, ф-дроид и даже шапочки из фольги. Просто пока большинство молчаливо соглашаясь позволяет изучать себя со всех сторон, в то время когда создаются целые ниши и даже рынки аналитики, вряд ли общество становится свободнее, а значит и счастливее.
Ссылки на источники:
apptractor.ru/measure/user-analytics/zahi-boussiba-appsee-interview.html
www.geektime.co.il/appsee-raises-million-dollars
habr.com/company/e-Legion/blog/417043
Роскомнадзору надо в суд подавать…
В Басманный суд...)))
В Басманный суд...)))
Burger King: тайная слежка, ложь, хищение банковских карт. Продолжение