Zmena na webovej stránke SBZ Tlačiť E-mail
Napísal Edo Velecký   
10. 02. 2016
Untitled

Počas posledného víkendu bolo niektorými členmi SBZ nahlásené napadnutie našej webovej stránky vírusom, respektive bola ohlásena nefunčknosť webovej stánke. Napadnutie našej webovej stránky tzv. škodlivým kódom, konkrétne vírusom zvaným HTML Framer, bolo potvrdené aj providerom našej stránky. Toto napadnutie sa prejavovalo výpadkom stránky SBZ a stránky datábazy pri ich načítaní.

Uvedené webové stránky SBZ sa mi podarilo očistiť od škodlivého kódu. Zároveň však vystala otázka ako zabrániť prípadnému opakovaniu tejto situácie.

Vírusy sa na webové stránky dostávajú pomocou tzv. bezpečnostných dier v programovom vybavení. Dá sa oprávene predpokladať, že viaceré takéto diery su aj v (staršom) redakčnom systéme, pomocou ktorého bola naša stránka vytvorená. Domnievam sa, že takáto bezpečnostná diera existuje aj v doplnku redakčného systému, ktorý sa používa pre tvorbu komentárov a pokladám za možné, že cez komentárový systém došlo ku napadnutiu našej stránky.

Preto komentárový systém na stránke SBZ od 12. februára odstavím. Zvolil som riešenie, ktoré ponechá viditeľné doteraz použité komentáre, ale nové komentáre nebude možné pridávať. Pokiaľ ohľadom tohto riešenia a jeho zdôvodnenia niečo nie je jasné, tak do uvedeného termínu možno k tomuto textu pridávať komentáre (s obmedzenou dĺžkou textu 512 znakov) a na prípadné otázky skúsim dať odpoveď.


 

Komentár  

 
# Otázka 1Jakub Rumančík 2016-02-11 11:55
Je celá táto procedúra (odstavenie komentárov) postavená len na domnienke, alebo sa to dá aj nejako reálne doložiť (logy, známe chyby, testy)? Provider by takéto veci mal monitorovať a vedieť nám povedať, ako k útoku došlo.
 
 
# RE: Otázka 1Edo Velecký 2016-02-11 17:52
Je to len domnienka. Provider sa ku utoku nevyslovil.
 
 
# RE: RE: Otázka 1Jakub Rumančík 2016-02-12 09:15
V tom prípade nechápem logiku tohoto kroku.
 
 
# RE: RE: RE: Otázka 1Edo Velecký 2016-02-12 10:44
Je to jednoduche. Pre moju domnienku mam dovody, ale nemam exaktny dokaz. Pokladam za lepsie byt opatrny.
 
 
# Otázka 2Jakub Rumančík 2016-02-11 11:56
Ak sa dá oprávnene predpokladať, že v redakčnom systéme sú viaceré diery, nie je riešenie odstavením len časti programového vybavenia nedostatočné? Premigrovanie obsahu na stránku s aktuálnym redakčným systémom mi príde ako lepšie riešenie.
 
 
# RE: Otázka 2Edo Velecký 2016-02-11 18:03
Toto riesenie je samozrejme nedostatocne.

Pre migrovanie obsahu stranky na novy redakcny system nie je k dispozicii software.
Prenos obsahu by bolo treba urobit kombinaciou na mieru siteho softwaru a mnozstva administrativne j prace. Ide o prenos vyse 1700 textov, pricom mnohe z nich vyzaduju individualne riesenia, znalost sucasneho systemu a znalost noveho systemu.
 
 
# RE: RE: Otázka 2Edo Velecký 2016-02-11 18:07
Este zacitujem z mojho emailu predsednictvu:

"Stale plati, ze nase stranky vyzaduju totalnu rekonstrukciu. Tato rekonstrukcia vsak vyzaduje naozaj vela casu a trpezlivosti, cim ja osobne nedisponujem, kym u inych (ak vobec nejaky iny je...) plati to iste a naviac nemaju dostatocne znalosti. Takze je mozne, ze sa tato
situacia bude opakovat dovtedy, kym raz system uz nebudeme vediet obnovit. To potom len bude prskania ..."
 
 
# RE: RE: RE: Otázka 2Jakub Rumančík 2016-02-12 09:20
Na svete je veľké množstvo open source software, ktorý je bezpečný. Napríklad redakčný systém Drupal používa stránka whitehouse.gov

Dobré riešenie by bolo nechať to urobiť niekomu, kto má skúsenosti s vývojom web stránok nad zvoleným redakčným systémom. Nemusí to byť drahé, napríklad medzi študentmi nájdeme určite vhodného človeka za rozumnú cenu. SBZ by ale muselo nejaké prostriedky investovať.
 
 
# RE: RE: RE: RE: Otázka 2Edo Velecký 2016-02-12 10:47
Ked sa dotycny clovek najde, ked sa s problemom oboznami a ked povie cenu, tak sa da o tom uvazovat.
 
 
# Otázka 3Jakub Rumančík 2016-02-11 11:56
Ak sa stránka migrovať nebude, bude sa hľadať náhradné riešenie pre komentárový systém, ktorý by nemal očividné bezpečnostné diery?

Vopred ďakujem za odpovede.
 
 
# RE: Otázka 3Edo Velecký 2016-02-11 18:04
Nemienim instalovat iny komentarovy system.
 
 
# RE: RE: Otázka 3Jakub Rumančík 2016-02-12 09:23
Myslím si, že komentáre na tejto stránke aspoň čiastočne plnili funkciu verejného fóra, ktoré SBZ nutne potrebuje, vzhľadom k zložitej komunikácií vo vnútri zväzu.

Vzdanie sa komentárového systému je podľa mňa krok späť.
 
 
# RE: RE: RE: Otázka 3Edo Velecký 2016-02-12 10:59
Neviem, co je to tzv. "zlozita komunikacia" vo vnutri zvazu. Na druhej strane viem, ze ak nepocitame moje komentare, tak minuly rok boli na nasej stranke celkom 3 komentare,

Nezda sa mi preto, ze by informovanost velmi utrpela, ked sa zbavime komentaroveho systemu (aj ked to nerobim rad). Mimochodom, ziaden takyto system nemaju nielen susedne zvazy, ale aj drviva vacsina europskych zvazov.

Existuje dobre a overene riesenie tejto situacie. Popisem v nasledujucej odpovedi.
 
 
# RE: RE: RE: RE: Otázka 3Edo Velecký 2016-02-12 11:12
Systemovym riesenim je samostatne diskusne forum. Stranka SBZ bude ocistena od niektorych diskusii, ktore mali obcas osobny charakter a tak posobili negativne na obraz bridza pre navstevnikov stranky Diskusne forum je tematicky strukturovateln e a lepsie prehladne.

Nevyhoda: podla mna neexistuje skutocny zaujem o diskusiu. Existuje len druh bulvarneho zaujmu o hadky, ktore v komentaroch obcas boli.
 

Nemáte oprávnenie pridať komentár.