Piotr Konieczny

"It's not a bug, it's a feature!" :)

Oczywiście, że masz rację..Ale polskie realia, media robią swoje...
Ludzie dostali trochę więcej reklam niż zwykle, i tylko tyle.

Faktycznie, problem co jest luką bezpieczeństwa, a co nie stanowi często zarzewie flame war nie gorszych niż tych o iphone. Obserwujemy często dwie przeciwstawne tendencje - osoby z managementu mówią, że to nie bug, bo nic się nie dało ukraść, natomiast hackers-wannabe twierdzą, że każdorazowo, kiedy system zachowa się inaczej, niż zgodnie z zamysłem twórcy/administratora to już jest critical 0day mass0wnage. Nie jestem pewien, czy da się tutaj wyznaczyć sztywną granicę - w pewnych okolicznościach nawet niewielkie odchyłki od normy poprzez wzgląd na ilość zaangażowanych osób mogą zostać uznane za zagrożenie bezpieczeństwa, innym razem nawet stosunkowo poważne luki w miejscu nikomu nie znanym.
W kontekście wspomnianego błędu konfiguracyjnego na portalu gazeta.pl można bardzo ostrożnie mówić o błędzie bezpieczeństwa (choćby ze względu na możliwe ataki DoS - dobry współczynniki ataku, 1 do $liczbaKont), natomiast nawet xss na stronie StronaDomowaRomka.prv.pl w polu UserAgent osoby odwiedzającej trudno nazwać luką bezpieczeństwa - bo co można tym osiągnąć.

Jeżeli jednak ktoś ustawił żądanie potwierdzenia otwarcia wiadomości, to w odpowiedzi dostał listę maili większą niż nakład Helionu. Zgadza się?

A ja sie zastanawiam czy można to potraktować jako niezamówioną informacje handlową:

Z ustawy o świadczeniu usług drogą elektroniczną:

Art. 10. 1. Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej.
2. Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny.
3. Działanie, o którym mowa w ust. 1, stanowi czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy, o której mowa w art. 9 ust. 3 pkt 1.

Art. 24. 1. Kto przesyła za pomocą środków komunikacji elektronicznej niezamówione informacje handlowe, podlega karze grzywny.
2. Ściganie wykroczenia, o którym mowa w ust. 1, następuje na wniosek pokrzywdzonego.

Czy przypadkiem tych osób, które wysłały spam a nie głupie maile nie można pod to podciągnąc?

Ja tam się nawet ucieszyłem. Wreszcie ktoś do mnie coś napisał.

Poczta ponownie odbezpieczona, właśnie dostałem kilka ciekawych maili, najciekawszy jest chyba ten z nutką nadziei:

--- cut ---
From: chanibal+caf_=redirect-gazeta.pl=chanibal.net@gazeta.pl
To: undisclosed-recipients:;
Date: Wed, 14 Jan 2009 14:52:16 -0800 (PST)

To jest proba poczty
Oby nie przeszla
--- cut ---

Z tego co widzę już ktoś się nudzi i sprawdza tą lukę.

Tak czy inaczej jeden raz może się zdarzyć każdemu, drugi raz to już głupota - zwłaszcza jeśli sprawa jeszcze nie przycichła.

Spam jest dobry ;] Jakbyscie sie poczuli gdyby pewnego poranka nikt nie chcial Wam przedluzac penisa albo opchnac replike zegarka? :> Luka bezpieczenstwa jest raczej niedefiniowalna albo raczej jest pojeciem "ruchomym" zaleznie od ustanowionych granic. Moim zdaniem of course ;] A Blip dobry jest chociaz znienawidzony zielony bylby lepszy ;] pzdr

hehe nie pomyślałbym że na gazeta.pl takie numery mogą odchodzić. Przykre jest jednak to że tak trudno jest im przyznać się do błędu.

da sie