Адрес для входа в РФ: exler.world
Криворукие испанские программисты
14.07.2021 11:01
12042
Комментарии (69)
Каждый раз, когда мне в Испании приходится сталкиваться с онлайновыми сервисами, я за полчаса расходую месячный запас матерных слов, так что после этого нормально даже и не ругнешься. Потому что эти онлайновые сервисы сделаны жутко криворукими программистами и спроектированы людьми, которые ни черта не понимают в пользовательских интерфейсах. Причем ладно бы еще сайты каких-то частных контор - это хоть как-то понятно. Но какие жуткие кривости, нелогичности и откровенные кретинизмы наблюдаются на сайтах государственных структур, а также на сайтах компаний, официально оказывающих какие-то услуги по контракту с государством - это просто не передать. Там иногда по полчаса нужно разбираться, что они от тебя вообще хотят, когда ты заполняешь какую-то здоровенную форму, нажимаешь "отправить", а тебе выдают какую-то мутную ошибку из серии "неполные данные", при этом форма ОБНУЛЯЕТСЯ - и давай заполнять все сначала.
Недавно прочитал о новой истории, связанной со все той же криворукостью и безалаберностью - "Un fallo en la web de la Sanidad de Madrid deja al descubierto los datos del rey, Pedro Sánchez o Aznar".
Кратко. В Мадридском сообществе сделали портал, на котором любой житель Испании может получить тот самый сертификат о вакцинации, без которого в ЕС нынче уже и не чихнешь. (Во многих странах Европы стали требовать предъявлять такой сертификат или PCR-тест при входе в магазины, рестораны и так далее.)
Ну и эти прекрасные люди ухитрились наступить на совершенно классические грабли: если в запросе указать номер DNI (налоговый номер гражданина Испании) или NIE (налоговый номер иностранца с ВНЖ в Испании), то система преспокойно отдавала полную информацию о данных человека без какой-либо аутентификации запрашивающего. Причем тут еще хохма заключается в том, что DNI №1 - у бывшего короля Хуана Карлоса де Бурбона, а остальные числа от 1 до 10 - у членов королевской семьи. И все данные нынешнего короля, включая его мобильный телефон, адрес его резиденции и так далее - мог получить любой желающий.
Кроме того, все эти номера DNI и NIE любой житель Испании в течение дня может оставлять в десятке различных мест, также DNI или NIE запрашивается практически при каждой почтовой доставке и при многих видах покупок, то есть при желании найти их - не проблема.
(Причем это далеко не первый такой случай, аналогичная история была выявлена в системе, где можно было записаться на вакцинацию - там тоже по запросу с номером DNI или NIE выдавалась персональная информация.)
Был небольшой скандал, портал на некоторое время закрыли, потом открыли, исправив эту уязвимость, ну и ответственные люди заявили, что, во-первых, ничьи данные при этом похищены не были (в статье утверждается, что сотрудники издания преспокойно получили персональные данные членов королевской семьи и каких-то других людей по их DNI/NIE), что, во-вторых, никакого злоумышленника среди команды разработчиков не было, ну и что нет причин беспокоиться, потому что это - обычное испанское раздолбайство. А обычное испанское раздолбайство - есть часть нашей великой культуры.
Неравнодушные граждане встретили это заявление бурными аплодисментами, криками "Bravo", "Cabrónes" и "Por que no te callas, joder", после чего довольные разошлись по домам.
Войдите, чтобы оставить комментарий.
Именно с этой криворукостью я столкнулась,когда начала делать ремонт квартиры на Канарских островах.Все ,без исключения работают на двойку,то есть уровень ужасающий.Перебрала наверное человек 15 и никто из них близко не подходил к настоящему ремонту.И рассуждают ведь все правильно,а когда начинают ,караул!.И попробуй возрази "...зачем Вам гидроизоляция в ванной ?И так все будет хорошо,это же не бассейн. А плитка кривая сама по себе .И вообще не стойте над душой."
А какие у нас в РБ порталы - закачаешься, уммм... МНС, ФСЗН, Минстат - песня! а уж как мы внедряли электронные счёт-фактуры!
Да везде так в госконторах, вон Louis Rossmann на ютубе регулярно рассказывает о своей борьбе с госсайтами NY.
Швейцария перед продакшеном подобную систему выкатила для публичного тестирования на такие дырки.
По сравнению с порталами российского росздравназдора это даже на троечку не тянет. Так, лёгкое неудобство и мелкие недочёты.
REST API без авторизации - зло в кватрате.
Где-нибудь есть описание технических деталей всего этого факапа на английском?
Где-нибудь есть описание технических деталей всего этого факапа на английском?
Ну для чего используется видно уже из скриншота - там JSON. Видимо просто закометировали код который проверяет авторизацию, и с DNI=nnnnn в GET request-е. Сервер не делает авторизацию, и вот результат.
Всем кто имеет дело с REST, нужно сначала идти сюда, там API1:2019 Broken Object Level Authorization на первом месте стоит. Именно этот кластерфак и случился там.
OWASP API Security Project
Всем кто имеет дело с REST, нужно сначала идти сюда, там API1:2019 Broken Object Level Authorization на первом месте стоит. Именно этот кластерфак и случился там.
OWASP API Security Project
Вопрос не в том, JSON там или нет. Вопрос в том, для получения КАКИХ данных REST API используется.
И все данные нынешнего короля, включая его мобильный телефон, адрес его резиденции и так далее - мог получить любой желающий.
так нарушение - выдача, а не REST - нарушение.
Да и домашний телефон никакая не открытая информация. Надо либо конракт читать, либо в личном кабинете ковырятся. Если нет желания светить номер, то и уберите его из публичного листинга. Те кому надо, чтоб люди знали кто звонит - открывают эту деталь и тогда ваша труба или наземный аппарат показывает имя/фамилию абонента.
Номер телефона + ФИО - являются идентифицирующей информацией, но не являются персональными данными.
Для того что бы они начали представялть для вас угрозу их надо скомбинировать с чем-то более личным - ССН/ИИН, номер паспорта, полная дата рождния, ну и тому подобное.
Номер телефона + ФИО - являются идентифицирующей информацией, но не являются персональными данными.
Для того что бы они начали представялть для вас угрозу их надо скомбинировать с чем-то более личным - ССН/ИИН, номер паспорта, полная дата рождния, ну и тому подобное.
а рест-то здесь причём? Если бы в чистом хтмл выдавали лучше что ли было бы?
Лично сталкивался с работой испанских программистов.
Нам в фирме нужно было нанять несколько программистов в Испании, для работы с местными клиентами. Нам нашли двух "ключевых разработчиков испанской таможенной системы отслеживания товаров" и отправили на обучение. Я их 4 часа обучал разработке в нашем приложении, они слушали с умным видом. После этого получили от меня простейшее тестовое задание с подробными инструкциями что нужно делать. Посидели час над этим заданием, а после говорят, у нас есть вопрос. Ну говорю давайте, валяйте. Вопрос был гениальным "А мы вообще ничего не поняли!".
Вобщем поняли мы что разработчики они так себе, и решили доверить им только простейшие задачи по настройке оборудования и т.п. Промучались они с пол года, продали нашему клиенту ни с чем не совместимое оборудование, и были изгнаны с позором и без денег, а мы еще пол года разгребали что они там наворотили. После этого мы в Испанию высылаем только своих программистов...
Нам в фирме нужно было нанять несколько программистов в Испании, для работы с местными клиентами. Нам нашли двух "ключевых разработчиков испанской таможенной системы отслеживания товаров" и отправили на обучение. Я их 4 часа обучал разработке в нашем приложении, они слушали с умным видом. После этого получили от меня простейшее тестовое задание с подробными инструкциями что нужно делать. Посидели час над этим заданием, а после говорят, у нас есть вопрос. Ну говорю давайте, валяйте. Вопрос был гениальным "А мы вообще ничего не поняли!".
Вобщем поняли мы что разработчики они так себе, и решили доверить им только простейшие задачи по настройке оборудования и т.п. Промучались они с пол года, продали нашему клиенту ни с чем не совместимое оборудование, и были изгнаны с позором и без денег, а мы еще пол года разгребали что они там наворотили. После этого мы в Испанию высылаем только своих программистов...
Вопрос был гениальным "А мы вообще ничего не поняли!"
Во многих странах Европы стали требовать предъявлять такой сертификат или PCR-тест при входе в магазины
Правда? А в каких?
Для посещения внутренних помещений ресторанов, культурных объектов, отелейб салонов красоты, фитнесс уентров и пр. по прежнему нужен дневной тест или подтверждение вакцинации и прошествия 14 суток после неё.
Сейчас сильный спад заболеваемости, поэтому достаточно простой регистрации при посещении магазина.
Для посещения внутренних помещений ресторанов, культурных объектов, отелейб салонов красоты, фитнесс уентров и пр. по прежнему нужен дневной тест или подтверждение вакцинации
Меня конкретно "на входе в магазин" резануло.
В Германии одно время нужен был тест для всех непродуктовых магазинов или подтверждение полной вакциинации прошествия 14 суток после неё.
Меня конкретно "на входе в магазин" резануло.
В Германии одно время нужен был тест для всех непродуктовых магазинов или подтверждение полной вакциинации прошествия 14 суток после неё. Это совсем не PCR-тест.
Сейчас сильный спад заболеваемости, поэтому достаточно простой регистрации при посещении магазина.Простите, вчера в Саксонии маски отменили в магазинах. Какая регистрация? ? Для посещения внутренних помещений ресторанов, культурных объектов, отелейб салонов красоты, фитнесс уентров и пр. по прежнему нужен дневной тест или подтверждение вакцинацииЭто повсеместно, я в курсе. Только не то чтоб "на входе" а "на случай проверок". Меня конкретно "на входе в магазин" резануло.
ну как на случай проверки? Стричь без него Вас в салоне не будут... и в музей не пустят.
Ну то есть не сертификат, а тест, не пцр, а обычный антиген, и не стали, а перестали. 😄
Ну то есть не сертификат, а тест, не пцр, а обычный антиген, и не стали, а перестали. ?
Я понимаю про отели, рестораны и т.п. Я про, ещё раз, магазины.
Обошёлся мне в 40 евро. ПЦР стоил бы 140.
А что такое антиген?
Я понимаю про отели, рестораны и т.п. Я про, ещё раз, магазины.
А что такое антиген?
Стоимость практически нулевая, точность такая же. Но ВОЗом одобрен, ибо "пять старушек - уже рупь".
На антиген.
В Германии - слишком общее понятие.
В каждой земле свои правила. А иногда в соседних округах по разному. В зависимости от уровня заболеваемости.
Смешно было, когда в Saarland строительный Глобус требует тест, а в rlp - не требует. А езды между ними - 20 минут.
В каждой земле свои правила. А иногда в соседних округах по разному. В зависимости от уровня заболеваемости.
Смешно было, когда в Saarland строительный Глобус требует тест, а в rlp - не требует. А езды между ними - 20 минут.
в Saarland строительный Глобус требует тест, а в rlp - не требует
"Тест на антигенны". Китайский самотест в виде полоски с реагентом и палки. Сунул в нос, поболтал в реагенте, реагент капнул на полоску - оно тебе нарисует.
В тему о криворукости.
Неделю назад по телефону записывался на вакцинацию. Телефонный автомат спросил у меня фио, адрес, дату рождения. Правильно повторил эти данные, спросил в какую поликлинику я буду обращаться, предложил удобную для меня дату и время. Я было порадовался автоматизации в медицине, но не тут-то было.
Придя к назначенному времени попал в очередь из четырёх человек, которые тоже пришли по назначенному времени. Просидел я там полчаса, а когда зашел понял причину задержки. Терапевт помимо того, что измеряет температуру и давление, ещё и заносит данные пациента в базу! Поликлиника новая, не у всех ещё заведены карточки. В душе обматерил разработчиков их ПО. Нахрена я вам диктовал все эти данные по телефону?! Конечно, никакого подтверждения о записи мне на телефон не приходило, и данных обо мне у них тоже не было. Т.е. можно было не ждать неделю, а идти в любое время. Кто проверит, что я записывался?
Неделю назад по телефону записывался на вакцинацию. Телефонный автомат спросил у меня фио, адрес, дату рождения. Правильно повторил эти данные, спросил в какую поликлинику я буду обращаться, предложил удобную для меня дату и время. Я было порадовался автоматизации в медицине, но не тут-то было.
Придя к назначенному времени попал в очередь из четырёх человек, которые тоже пришли по назначенному времени. Просидел я там полчаса, а когда зашел понял причину задержки. Терапевт помимо того, что измеряет температуру и давление, ещё и заносит данные пациента в базу! Поликлиника новая, не у всех ещё заведены карточки. В душе обматерил разработчиков их ПО. Нахрена я вам диктовал все эти данные по телефону?! Конечно, никакого подтверждения о записи мне на телефон не приходило, и данных обо мне у них тоже не было. Т.е. можно было не ждать неделю, а идти в любое время. Кто проверит, что я записывался?
Т.е. можно было не ждать неделю, а идти в любое время. Кто проверит, что я записывался?
Но это в моем регионе. где запись на вакцинацию открыта в любой день. Наверное в других регионах, где ажиотаж выше, просто так на укол не придти: придется подождать.
В тему о криворукости. Неделю назад по телефону записывался на вакцинацию. Телефонный автомат спросил у меня фио, адрес, дату рождения. Правильно повторил эти данные, спросил в какую поликлинику я буду обращаться, предложил удобную для меня дату и время. Я было порадовался автоматизации в медицине, но не тут-то было. Придя к назначенному времени попал в очередь из четырёх человек, которые тоже пришли по назначенному времени. Просидел я там полчаса, а когда зашел понял причину задержки. Терапевт помимо того, что измеряет температуру и давление, ещё и заносит данные пациента в базу! Поликлиника новая, не у всех ещё заведены карточки. В душе обматерил разработчиков их ПО. Нахрена я вам диктовал все эти данные по телефону?! Конечно, никакого подтверждения о записи мне на телефон не приходило, и данных обо мне у них тоже не было. Т.е. можно было не ждать неделю, а идти в любое время. Кто проверит, что я записывался?
Интерграция разных систем - вопрос сложный
Если им уже и это сложно - у меня для них плохие новости...
пограммистами
такие системы обычно разрабатываются на основе тендера, где цена играет решающую роль. Когда нужно сделать что-то быстро, то правительство отдаёт контракт в рамках рамочного контракта, где обычно цена человеко/дня тоже играла ключевую роль для его выигрыша. Часто вижу цены 300 евро в день. Для сравнения мой опытный сотрудник стоит ~900-1000 в день как себестоимость. Победителями таких тендеров как правило становятся крупные консалтинговые компании, которые сами ничего не разрабатывают, а отдают подряды университетам или мелким компаниям. В итоге с большой вероятностью то, что вы видите было создано студентами подрабатывающими в университете или в какой-то конторе
То есть у вас есть сотрудники, получающие 20килоевро в месяц?
Или вы амортизацию сотрудника тоже считаете?
Или вы амортизацию сотрудника тоже считаете?
> Часто вижу цены 300 евро в день
Когда контракты на несколько сотен тысяч человеко-дней - не сказать что мало. Особенно, если ты большая транснациональная корпорация с офисами в условной Индии. Хотя я видел и 800, и 1000 в день. СРЕДНИХ человеков, понятное дело.
Когда контракты на несколько сотен тысяч человеко-дней - не сказать что мало. Особенно, если ты большая транснациональная корпорация с офисами в условной Индии. Хотя я видел и 800, и 1000 в день. СРЕДНИХ человеков, понятное дело.
Это зурядная практика. Твой час в зарплате раза в два ниже, цены по которой его продают клиенту. На те два процента и живут большие консалтинговые компании.
Кстати, сейчас очень часто госкомпания отдает подряд как раз таки небольшим конторам. Чтоб шагать в ногу со всеми этими diversity, minority, small business support и прочим. В итоге компания "Гулькин и сын" выигрывет конракт, который в принципе не может потянуть, а вот уже у них на субконтракте маячит кто нибудь из биг-5.
Кстати, сейчас очень часто госкомпания отдает подряд как раз таки небольшим конторам. Чтоб шагать в ногу со всеми этими diversity, minority, small business support и прочим. В итоге компания "Гулькин и сын" выигрывет конракт, который в принципе не может потянуть, а вот уже у них на субконтракте маячит кто нибудь из биг-5.
То есть у вас есть сотрудники, получающие 20килоевро в месяц?
Или вы амортизацию сотрудника тоже считаете?
Или вы амортизацию сотрудника тоже считаете?
Но у нас большие издержки, юристы, налоги, здание и пр. Мы некоммерческая организация получающая частичное гос финансирование, поэтому в тендерах можем участвовать только по себестоимости, но и она у нас вот примерно такая. Для коммерческих компаний вроде Microsoft мы стоим дороже, порядка 1,3-1,4K
Вчера провел ночь с девушкой - разработчиком портала Госуслуг. Так и не смог разобраться, где у нее там что и к чему.
(с) С просторов
(с) С просторов
OFF про пользовательские интерфейсы: ссылки из текста блога открываются в той же вкладке Firefox'а; ссылки из комментов - в новой вкладке. Это сделано специально по каким-то необсуждаемым соображениям? Или это баг, который можно попросить поправить? Потому что на воскресных алишных обзорах недельный лимит мата расходуется за четверть часа...
OFF про пользовательские интерфейсы: ссылки из текста блога открываются в той же вкладке Firefox'а;
OFF про пользовательские интерфейсы: ссылки из текста блога открываются в той же вкладке Firefox'а; ссылки из комментов - в новой вкладке. Это сделано специально по каким-то необсуждаемым соображениям? Или это баг, который можно попросить поправить? Потому что на воскресных алишных обзорах недельный лимит мата расходуется за четверть часа...
CTRL + щелчок мыши
Нажатие на колесо скролла (не все модели)
И вас не будет волность каким образом сформирован линк на сайте - всегда новая вкладка.
Из двух вариантов единообразия предпочел бы "всегда в той же", ибо ОДНА кнопка "back" присутствует и на мышЕ и на клаве, а закрыть активную вкладку умею только экранным крестиком или Ctrl+W...
Из двух вариантов единообразия предпочел бы "всегда в той же", ибо ОДНА кнопка "back" присутствует и на мышЕ и на клаве, а закрыть активную вкладку умею только экранным крестиком или Ctrl+W...
Только внутренние.
Ладно, пойду смиряться...
UPD: а вот из моего коммента - в новой. Чудеса!
Ссылки Алекса на товар в обзоре - "внутренние"?
У вас в той же открываются? Какой браузер-операционка?
Ну и напомню, что есть простейший способ заставить ссылку открываться в новой вкладке, даже если она открывается в той же.
Какой браузер-операционка?
Ну тогда просто открывать с нажатым Ctrl, только и всего 😄
А в носу чем ковырять? 😉 Понятно, что вариантов есть, но сингл-клик вбит и в мозги и в руки намертво...
И вас не будет волность
"У меня правильнописание хромает. Оно у меня правильное, только почему-то хромает." (c) Винни-Пух.
И все данные нынешнего короля, включая его мобильный телефон, адрес его резиденции и так далее - мог получить любой желающий.
Интересно это Сбер перенимал передовой опыт у испанских программистов или они у него vc.ru: «СберБанк»: мои персональные данные попали к злоумышленникам — их может предоставлять голосовой робот
Охренеть!!! И это СБЕР!!!!
Нурия вчера прошлась про пофигизм испанцев.
на сайтах государственных структур
при этом форма ОБНУЛЯЕТСЯ
Не скажу про DNI, но NIE даже узнавать как-то не надо: они идут по порядку, а последняя буква зависит от суммы все цифр (гениальная защита, ага). Т.е. пиши скрипт перебора и получай данные всех жителей Испании.
И, кстати, DNI, вроде, что-то типа номера паспорта, а NIE - налоговый номер. Т.е. тот NIE, который тебе присвоили, когда ты в первый раз столкнулся с испанской налоговой (Tax Free, например) или получил ВНЖ, остается у тебя и после получения гражданства Испании (т.е. DNI). Как-то так.
https://es.wikipedia.org/wiki/N%C3%BAmero_de_identidad_de_extranjero
И, кстати, DNI, вроде, что-то типа номера паспорта, а NIE - налоговый номер. Т.е. тот NIE, который тебе присвоили, когда ты в первый раз столкнулся с испанской налоговой (Tax Free, например) или получил ВНЖ, остается у тебя и после получения гражданства Испании (т.е. DNI). Как-то так.
https://es.wikipedia.org/wiki/N%C3%BAmero_de_identidad_de_extranjero
Пару лет назад в личном кабинете Ибердролы я по ошибке ввёл неправильно DNI и, видимо, попал на уже существующий. И мне высветились данные совершенно незнакомого человека. Ручным перебором удалось набрести на ещё троих или четверых. Был бы скрипт - получил бы данные всех их клиентов.
Iberdrola это вообще лютый пц. Пока настраивал себе доступ олнайн, тоже включили сначала почему какого то постороннего человека и начали присылать его счета на мэйл. Раз 5 им писал, пока не включили мне правильный доступ уже на мое имя и мой счетчик. И все равно до сих пор регулярно присылают на мэйл также и счета того человека, данные которого мне показывали с самого начала.
Я не знаю есть ли у нас в Германии возможность самим получить сертификат, но существует возможность сделать его через аптеку. Приходишь в ближайшую аптеку, отдаешь паспорт вакцинации и копию паспорта, и на следующий день забираешь две бумажки с QR кодами. Их можно загрузить в телефон и по надобности показывать.
С недавнего времени после второй прививки врачи (либо центры вакцинации) автоматически либо сразу на руки выдают цифровой сертификат, либо присылают через пару дней на дом по почте.
В аптеке (и с недавнего времени у врачей) нужно получать сертификаты только тем, кто делал прививку еще когда не было цифрового сертификата.
В аптеке (и с недавнего времени у врачей) нужно получать сертификаты только тем, кто делал прививку еще когда не было цифрового сертификата.
6 июня делал вторую прививку.
Сказали, что по идее, уже должны отправлять код на электронную почту, но возникли какие-то технические проблемы.
Через пару дней прислали ссылку на файл. Сказали, что ссылка активна 72 часа.
На следующий день прислали такую же распечатку по почте.
За минуту установил программу и сканировал оба кода.
В телефоне - электронная версия, в шкафу - две бумажные копии.
Вот.
Сказали, что по идее, уже должны отправлять код на электронную почту, но возникли какие-то технические проблемы.
Через пару дней прислали ссылку на файл. Сказали, что ссылка активна 72 часа.
На следующий день прислали такую же распечатку по почте.
За минуту установил программу и сканировал оба кода.
В телефоне - электронная версия, в шкафу - две бумажные копии.
Вот.
О, "углепластиком" ругаются, знакомо!
сертификат о вакцинации
Автоматически.
Хоть и принято тут ругать госуслуги
У меня сертификат появился секунд через 30 после второго укола.
У меня сертификат появился секунд через 30 после второго укола.
качественно работали.
Когда СНИЛС и телефон привязаны к старой записи, а подтверждение сделали в новой. Поддержка и МФЦ ни хрена не могут сделать, от старой записи данные открепятся через месяц-полтора. В этот период через госуслуги ни чего нельзя сделать. (((
Так у меня на телефон сообщение пришло.
Так у меня на телефон сообщение пришло.
О, а
1. Скажите пожалуйста, после первой прививки в гос. услугах что-то появляется? Или только после второй? Меня доктора убеждали, что после первой уже будет информация в гос.услугах. (ХЗ какая)...
2. Мне тут гос. услуги написали, что я никуда не приходил, хотя на самом деле приходил. Я как бы пожаловался, а Гос. услуги послали в больницу (виртуально). Но чувствую реально надо будет дойти ногами
1. Скажите пожалуйста, после первой прививки в гос. услугах что-то появляется? Или только после второй? Меня доктора убеждали, что после первой уже будет информация в гос.услугах. (ХЗ какая)...
2. Мне тут гос. услуги написали, что я никуда не приходил, хотя на самом деле приходил. Я как бы пожаловался, а Гос. услуги послали в больницу (виртуально). Но чувствую реально надо будет дойти ногами
1. Скажите пожалуйста, после первой прививки в гос. услугах что-то появляется?
Хреново.
Пойду завтра разбираться
Пойду завтра разбираться
разобрался. Сказали, что они не успевают вносить. Минимум неделя, а то и полторы.
Теги
Информация
