חודש: אפריל 2006

מסתבר שאין כמו חוסר שינה כדי לצוץ עם רעיונות, גם אם קצת מטורפים.

היום בבוקר עלתה בדעתי דרך שאפשר לעקוף את ההגנות שיש לישראבלוג כרגע כנגד עוד תולעת מהסוג שתקפה אותו לפני שלושה שבועות (כתבתי על זה לפני יומיים).

כתבתי ליריב אימייל שמסביר את ההתקפה החדשה. להזכירכם, בפעם שעברה הוא פשוט טען שזה בלתי אפשרי. הפעם הוא כתב את התגובה הבאה:
אני בתהליך של העברת הקלט דרך מסננים שימנעו כל תג ו-attribute שאינם מורשים.

אלו חדשות מצויינות. זהו פתרון שיכול, אם ממומש כמו שצריך, לפתור אחת ולתמיד את הבעיות. כמובן שייתכן שיהיו בעיות מימוש בפתרון, אבל ברגע שהגישה נכונה, יהיה יחסית קל לפתור את הבעיות שיצוצו.

כמובן שאני אמרתי את זה כבר בינואר של שנה שעברה (לפני שנה ושליש), וחבל שיריב היה צריך שמישהו יכתוב תולעת לפני שהוא לוקח את נושא האבטחה בצורה רצינית.

כדי לעקוב אחרי הנהלים המקובלים, ומכיוון שעל פי הערכותיו של יריב ייקח בין חודש לחודשיים ליישם את הפתרון הזה, אני דוחה את הפירסום של הדרך לכתוב תולעת שתעבוד על ישראבלוג כפי שהוא כרגע. אני אפרסם את הדרך עוד חודש, או כאשר הפתרון ימומש, המוקדם מבינהם.

כן ביקשתי במפורש מיריב שייתן קרדיט כאשר הוא מפרסם. צר לי שאני דואג לא רק לישראבלוג אלא גם לביתי. באופן אישי אני חושב שהרווחתי את זה ביושר. אתם מוזמנים לחוות את דעתכם החולקת בתגובות

שחר

בעקבות מאמר ב-ynet, גיליתי שאין באיןציקלופדיה ערך על קוד פתוח. על פי מיטב הרוח של הקוד הפתוח, החלטתי לתקן את המעוות.

אז כתבתי אחד.

שחר

אחת לחצי שנה, בערך, אני מוציא פוסט שכל תכליתו לציין שכמות הספאם שהתקבלה אצלי שברה עוד שיא מקומי. לפני שנה וחצי זה היה 460 ליממה. לפני קצת מעל חצי שנה זה עבר את ה-3000 ל-24 שעות.

החדשות הטובות הן שלא נשבר השיא של לפני חצי שנה. אני מקבל, עדיין, בין 1500 ל-2000 הודעות ספאם ביממה, עם שיאים מקומיים ב-3000.

החדשות הרעות הן שזה עדיין הרבה הרבה הרבה יותר מידי.

לפני שמישהו קופץ עם המלצות על מסנני ספאם, לא זו הבעיה שלי. אני משתמש במסנן הספאם של Thunderbird, ומרוצה ממנו עד הגג. מעל 95% מהספאם שמתקבל מסונן למגירת הספאם שלי, ומיילים טובים שמסומנים כספאם הם נדירים להפליא. אני לא חושב שיש הרבה מידי מקום לשיפור במובן הזה.

הבעיה היא שמידי פעם כן יש מייל לגיטימי שמסומן בטעות כספאם. מכיוון שציפור הרעם מתייחסת אל רשימת הכתובות שלי כאל מקור לרשימה לבנה, המיילים שמסומנים בטעות כספאם הם תמיד מאנשים חדשים. בתור מישהו שמנהל עסק, אסור לי לפספס את המיילים האלו.

מה שאומר שגם אם כל הספאמים נתפסים, אני עדיין צריך לעבור עליהם. במילים אחרות, מה שמעניין אותי באמת זה כמות הספאמים שאני מקבל, לא כמות הספאמים שמצליחים להסתנן מבעד למסננים.

הבעיה עם כמות הספאם שאני מקבל היא שבקצב של 2000 ביום, מספיק שאני טיפה לא שם לב וכבר יש לי יותר ספאמים לעבור עליהם מכמה שהייתי שמח. לדוגמא, בשבוע האחרון הייתי קצת פחות מידי עם אצבע על האימייל. כתוצאה מכך שבמהלך 48 השעות שקדמו ל-24 השעות האחרונות לא עברתי על מגירת הספאם שלי, הצטברו בה מעל 6000 הודעות ספאם. כאשר ויתרתי על לעבור על כולן, זה השלב שבו החלטתי שחיי צריכים שינוי.

למה אני מקבל כל כך הרבה ספאם?

התשובה הפשוטה היא שיש לי המון תיבות דוא”ל. אם תסתכלו על הכתובת שלי כפי שמפורסמת בבלוג הזה, תראו שהיא מכילה את שם האתר. זה מאפשר לי לעקוב אחרי מאיפה דלפה כתובת דואר, ועל מי אי אפשר לסמוך.

אבל ריבוי כתובות המייל גורם לתופעה בעייתית. אוגרי רשימות הכתובות אוספים כתובות שונות שלי, ושולחים לכל כתובת ספאם כאילו היתה כתובת של מישהו אחר. התוצאה היא שאני מקבל, לעיתים, את אותה ההודעה מספר רב מאוד של פעמים.

אתמול, אחרי שהגיעו מים עד נפש, החלטתי לשים קץ לתופעה. כתבתי סקריפט קטן שרץ על שרת הדואר שלי, והוא אחראי לקבלת הדואר עבור כל כתובת שפעם אחת פירסמתי באיזשהו אתר, ומאז לא השתמשתי בה. החלטתי שכתובות אלו יהיו לא תקיפות יותר.

הסקריפט עושה משהו חביב. דבר ראשון, הוא דוחה את המייל. נסיון לשלוח דואר לאחת מהכתובות שביטלתי תחזיר לכם הודעת שגיאה שמספרת לכם שהדואר ששלחתם לא הגיע ליעדו בגלל שהכתובת לא קיימת. אני שוקל לשנות את הכיתוב לכיתוב שמסביר שעקב ריבוי ספאם הכתובת בוטלה, ומסביר איך למצוא את הכתובת הנכונה.

אבל זה לא הכל. בנוסף לזה שהוא דוחה את המייל, הוא גם מעביר אותו לתיבת הדואר שלי. לכאורה, בזאת ביטלתי את כל היתרון שהיה לי. למעשה, הסקריפט מסמן את הדואר כדואר שעבר דרכו. ציפור הרעם מוצאת את הסימון הזה, ומתייקת את הדואר בספריה מיוחדת.

היא עושה עוד שני דברים קטנים. דבר ראשון, היא מסמנת את הדואר בתור “read”. זה מונע ממני את ההרגשה שיש עוד דואר שאני חייב לעבור עליו. הדבר השני היא לסמן את הדואר בתור דואר זבל. במילים אחרות, מסנני הספאם שלי לומדים להכיר את הדואר שלי בתור דואר זבל, עוד לפני הפעם הראשונה שאני ראיתי אותו.

בנתיים התוצאות הן דרמטיות. ב-12 שעות האחרונות הגיעו אלי כ-180 מיילים לספריית הספאם, ועוד 1500 מיילים לספריה שאותה אני לא צריך לקרוא (אם שלחתם לי משהו חשוב לכתובת שאני לא קורא יותר, תקבלו הודעה שהדבר החשוב לא הגיע, כך שמצפוני נקי). ההבדל באיכות החיים שלי, למותר לציין, הוא משמעותי מאוד.

שחר

באמת אין לי הסבר אחר לתופעה.

כותרת המשנה של הקטע היא “שוחררה גרסה 1.0.0.20 של PgOleDb“.

זהו פרוייקט בניהולי שמספק דרייבר להפעלה של מסד מידע בשם הלא סביר של Postgresql בטכנולוגיה מיקרוסופטית להדהים בשם “OleDb”. הפרוייקט נכתב כולו על ידי לפני מעל לשלוש שנים, במימון של לקוח שלי.לאחר זמן ללקוח ירד העניין, ולי לא היו את המשאבים להמשיך את הפיתוח בעצמי. הגרסה האחרונה שוחררה לפני מעל לשנה, ומאז כמעט ולא נגעתי בקוד. זה לא שלא היו דברים חסרים. היו אפילו לא מעט. פשוט לא היו לי את המשאבים כדי לשבת ולטפל בהם.

בימים האחרונים זוכה הקוד לעדנה מחודשת. הכל התחיל במייל נוזף מצידי באחד מאנשי הרשימה. מישהו אחר שאל איך גורמים לתוכנה להתקמפל תחת קומפיילר חדש מזה שקיים אצלי, והוא ענה שזה מה שהוא עשה כדי לפתור את הבעיות. אני נזפתי בו שהוא לא אמר כלום על זה שבכלל יש בעיות, ומשם התחיל כדור שלג.

זה התחיל בזה שאני פתרתי את הבעיות שהם דווחו עליהם. בהמשך התחילו להציע שיפורים, ואז להציע קוד ממש. אחרי שלוש שנים שבהם התוכנה מפותחת ואני הוא המפתח היחידי, לקפוץ לשלושה אנשים שונים שמציעים שיפורים זהו מהפך שקשה להסביר.

ועכשיו, כל מה שנשאר זה לנסות להבין מה צריך לעשות הלאה כדי שהפרוייקט לא ימות. האינסטינקט הטבעי שלי הוא לנסות להעביר את שרביט הניהול של הפרוייקט לאחד מהם. אני לא יודע עוד למי מהם, וזה דורש ממני קצת יותר השקעת זמן מכמה שאני שמח לעשות. עדיין, כפי שניסח זאת אריק ריימונד פעם, אחד מהתפקידים הכי חשובים של מנהל פרוייקט תוכנה חופשית הוא לטפח מחליף.

עדיין, מה שקרה בפרוייקט שהיה מת יותר משנה, ותוך פחות משבועיים הפך למשהו חי ועם מפתחים, הוא לא פחות מאשר תחיית המתים בעיני.

שחר

שיחה ביני לבין ה-Account Manager שלי:

‎[11:33:53 PM]  do you prefer the answers as they currently are, or would you like me to sleep the night and goover them again before I send them out? 
[11:34:59 PM]  as its currently very late here too its okay to send them tomorrow
[11:35:19 PM]  Is this the last stage?
[11:35:29 PM]  (T&S II)?
[11:35:37 PM]  yes
[11:35:46 PM]  don't get this the wrong way, but
[11:35:50 PM]  YAAAAAAAYYYY!!!!
[11:35:52 PM]  I have to write a few reports this week 
[11:35:55 PM]  
[11:36:03 PM]  and yours will be hopefully within them 
[11:36:32 PM]  I'll send this now, and if I find some horrendous error tomorrow morning I'll send a correction
[11:36:45 PM]  okay 
[11:36:57 PM]  sleep weel
[11:36:59 PM]  eh well
[11:37:06 PM]  I'll do both 
[11:37:23 PM]  
[11:37:34 PM]  sent
[11:37:59 PM]  great
[11:38:13 PM]  good night
[11:38:26 PM]  thx

מכאן והלאה, הכל בירוקרטיה (בתקווה).

שחר

יריב פרסם פוסט סיכום של הפריצה. אני חושב, לאור העובדה שהתראתי כבר לפני שנה וחצי על אפשרות של חור כזה, שאני יכול להגיד בצורה מוסמכת את מה שאני אומר בפוסט הזה.

נתחיל מהשורה התחתונה: יהיו עוד חורים כאלו!

כדי להבין למה אני אומר את זה, בואו נבין מה היה החור. התוקף הצליח למצוא שיטה שבה בעל הבלוג יכול להחדיר פקודות HTML מסוג javascript אל תוך פוסט. הפקודות הנ”ל רצות בצד של הלקוח, כלומר אצלכם בדפדפן.

למי שרוצה הסבר יותר מפורט לגבי הסיבה שחורים כאלו עוד יהיו, אפשר למצוא אותו בפוסט שלי מלפני שנה וחצי. לכל מי שתוהה, כן, דאגתי שיריב יהיה מודע למידע שכתוב בפוסט הנ”ל.

אז מה בעצם קרה בפריצה של אתמול? הפורץ החדיר קוד אל תוך הבלוג של מי שנפרץ עם javascript שדואג לכך שהדפדפן ישלח את ה-cookies שיש לו לאתר של הפורץ. ה-cookies הנ”ל מאפשרים לפורץ להתחזות לדפדפן של הקורא בבלוג. אם הקורא בבלוג מחובר באותו הרגע גם במצב עריכה לבלוג שלו עצמו, הרי שלפורץ יש את כל המידע שהוא צריך כדי להתחבר בתור הקורא, ולשלוח את הפוסט הזה לעוד בלוג. הפורץ הפעם לא רצה להיות מתוחכם במיוחד, אבל הפורץ הבא בהחלט היה יכול לבצע את התהליך הזה באופן אוטומטי, מה שהיה מדביק, להערכתי, כ-80% מהבלוגים בישראבלוג.

איך אפשר להתגונן?

ברמת העקרון, הדרך היחידה להתגונן באמת היא לא לקרוא בלוגים של אחרים בזמן שאתם מחוברים לבלוג שלכם. זה אומר, בין השאר, לא להדליק את האופציה של “זכור אותי”. לא נעים.

אופציה שניה, אפילו פחות נעימה, היא לכבות את התמיכה ב-Javascript. ראו הוזהרתם, אבל, שדבר כזה ינטרל לא מעט מהפעילות התקינה של ישראבלוג עצמו.

האופציה השפויה ביותר להתגונן, אם אתם מוכנים לעמוד בה, היא לעזוב את ישראבלוג.

האם יריב יכול היה לעשות משהו כדי למנוע את הפריצה?

התשובה החד משמעית שלי היא “כן”. יש פה רשלנות של יריב.

ישראבלוג תוכנן במנגנון מתירני. הפוסטים (וגם התגובות) בו נכתבים כך שהכותב יכול לכתוב HTML בצורה ישירה, והמערכת אחר כך מנסה לסנן מה-HTML את אותם רכיבים שהיא חושבת שעלולים להיות מסוכנים. הגישה הזו היא מתכון לצרות, והיא גם הסיבה שאני טוען שחורים כאלו ישובו ויצוצו גם בעתיד.

לפני שנה וחצי מצאתי שני וקטורים להכנסת javascript שהמערכת לא תפסה. הם, כמובן, דווחו ליריב, ולפחות אחד מהם נסגר. בגלל שהניצול שביצעתי היה תמים, יריב אפילו השאיר את הקוד בתוך הפוסט.

אתמול התגלה לנו שהתוקף מצא וקטור שלישי.

הסיכויים שקיים גם רביעי וחמישי הם כמעט וודאיים.

ראוי לציין שאחד הוקטורים שאני מצאתי לפני שנה וחצי נבעו דווקא מהנסיון של המערכת לחסום javascript. מאז שהוכנס הפתרון, למעשה, בלתי אפשרי להכניס לתוך פוסט את הסימן “קטן מ” (סוגריים משולשים), וחבל.

תיקון, לא בלתי אפשרי להכניס , אבל מאוד מסובך. עדיין חבל.

באותה הזדמנות הארתי את תשומת ליבו של יריב לעובדה שניתן להשתמש ב-javascript כדי לגנוב חשבונות של משתמשים. הוא טען שהדבר בלתי אפשרי. אני אשאיר לקוראים את ההחלטה מי משנינו צדק.

בקיצור, אני בהחלט מאשים את יריב שהוא לא לקח את נושא האבטחה מספיק ברצינות.

האם זה אומר שזו לא אשמתו של הפורץ?

ממש, אבל ממש, לא. זה שמישהו השאיר את הדלת הראשית של הבית שלו פתוחה לא פותר את מי שנכנס וגנב מהאחריות לעבירה. יש פה עדיין עבירה פלילית, ואני מאוד בעד שמי שעשה את זה ייתפס וייענש.

האם יש משהו לעשות נגד השנות מקרים כאלו?

כן.

דבר ראשון, הייתי מאוד שמח אם יריב היה מתחיל לקחת את נושא האבטחה יותר ברצינות. מנסיון בתחום, זה ממש, אבל ממש, אופטימי להניח שבגלל שהוא נכווה יהיה יותר טוב מכאן והלאה. הבעיה היא ששינוי המדיניות למדיניות ש”אוסרת על הכל למעט..” יהווה, כנראה, שינוי יותר מידי גדול בחווית הכתיבה לכל מי שמשתמש בישראבלוג, מה שהוא מאוד מאוד בעייתי בשלב זה של חיי האתר.

יש, אבל, דבר אחד שיריב כן יכול לעשות. הוא יכול לעשות את זה היום, זה שינוי יחסית קטן, ואם הוא יעשה את זה, חורים מהסוג הזה, גם אם יופיעו שנית (ואני מאמין שיופיעו שנית), לא יאפשרו גניבה של בלוגים.

ל-cookies יש אפשרות שהם יהיו תקפים רק באזור מסויים בתוך האתר. אם יריב יגדיר את ה-cookies של ה-session כך שהם יהיו מוגדרים רק באיזור של העריכה, ולא באיזור של קריאת הבלוגים, קוד javascript שרץ באזור הקריאה לא יוכל לגנוב אותם. זה שינוי שלא משנה את חווית השימוש באתר, והוא יכול להכניס אותו יחסית בקלות.

בואו נקווה שהוא גם יעשה את זה.

שחר

עדכון: יריב פנה אלי בתגובות וביקש עוד פרטים על השיפור המוצע. שלחתי לו מייל עם הפרטים החסרים.

לפני כמה חודשים התחיל חבר שלי לעבוד בחברה בשם “hotbar“. למי שלא מכיר, מדובר בחברת “AdWare”. תתקינו את התוכנה שלנו, תקבלו סמיילים חמודים (או מה שלא יהיה), ובתמורה יציגו לכם פרסומות על המחשב.

מסתבר שהחברה מנסה לעדכן את התדמית שלה. הם רוצים לעבור ממצב שבו הם מתקינים את עצמם בצורה עקיפה מבלי שהלקוח יודע למצב שבו יש להם רק לקוחות שמוכנים ורוצים אותם על המחשב. הם גם, קצת בעידוד שלי, שינו את הסכם המשתמש כדי להבהיר מה הם באמת שולחים ומה לא.

כמובן שחברות שהתרגלו לפעול בצורה בריונית לא ישנו את עורן ביום אחד. חלק ממדיניות שינוי התדמית שלהם כוללת לתבוע כל מי שמכנה אותם “Spyware” בניגוד ל-“AdWare”, או משהו חסר משמעות בסגנון. את סימנטק הם ניצחו, את “האחת רק האחת” פחות.

ולמה נזכרתי בכל זה עכשיו? בגלל שיש הפניה מסלאשדוט לראיון עם עובד לשעבר של 180solutions, אף היא חברה סימפטית מאותו שוק כללי. גם הוא מדבר על מאמצים, אף כי לאו דווקא גורפים, לנסות לשנות את תדמית החברה.

בשני המקרים מדובר על שינוי תדמית שמגיע רק אחרי שהבעלים התעשרו. על פניו, הם נוקטים בשיטה הבאה:
1. עשה פעולות שהולכות מאחורי הגב של הלקוחות שלך, אולי אפילו כנגד החוק
2. תרוויח הרבה כסף
3. נקה את האורוות, הפוך לישר דרך שרוצה רק בטובת המשתמשים
4. הבע פליאה על כך שכל העולם לא מייד נשכב כעפר לרגליך ואומר “וואו! איך הם השתנו”

אני חושב שכל שיטת הפעולה מסריחה. מצד שני, זה עבד למיקרוסופט….

שחר

יש דברים שכאשר הם נעשים במידה, הם מאוד אפקטיביים. כאשר הם חורגים מהמידה, הם מאבדים כל פרופורציה.

slashdot הינו אתר חדשות בנושאי השעה, אם אתם במקרה חושבים שמחשבים, טכנולוגיה ופיסיקה הם הנושאים החשובים של השעה. במשך שנות פעילותו האתר התפתח מהבלוג הפרטי של המייסד לאתר שמנקז את כל החדשות של עולם התוכנה החופשית, וגם לא מעט חדשות טכנולוגיות אחרות. בעוד שאין דרישה רשמית שהכותבים בו יהיו תומכי תוכנה חופשית, מעל 80% הם כאלו בפועל.

ועם כל בעיות הגודל של האתר, הוא בד”כ מקור לא רע לחדשות, למעט בתאריך אחד. התאריך האחד הזה הוא באפריל. לכן נקרא לו “תאריך אחד באפריל”, או “אחד באפריל”.

אם מסתכלים על סלאשדוט של האחד באפריל, מאוד קשה לברור שם את המוץ מהתבן. למעשה, לפעמים אי אפשר לדעת מהו מוץ גם אחרי שבררת. בקיצור, לאחר מעבר על כל מה שפורסם שם במהלך היום, אפשר פשוט להמנע מהתר במשך התאריך.

מה שחבל. האתר מפרסם כל יום 15 כתבות בדף הראשי. אם היו דואגים שבדיוק שתיים מהן היו בדיחות, הבדיחות עצמן היו הרבה יותר אפקטיביות, ויותר אנשים היו נופלים בהן.

גם לעבוד על אנשים צריך לדעת איך.

שחר