В один и тот же день Мегафон в своем пресс-релизе, посвященном недавней утечке [ http://bugtraq.ru/rsn/archive/2011/07/06.html ], рассказал, что причиной утечки было то, "что не было введено специальное защитное ограничение для сервисов «Яндекса», скачивающих информацию в свою поисковую базу", а устами зама гендиректора поведал, что заветный robots.txt на серверах все-таки был (хотя Яндекс и настаивает на обратном). При этом озабоченно добавляется, что "действующее законодательство не дает поисковым системам право собирать, хранить и распространять подобную информацию без предварительного письменного согласия пользователей".
Заранее извиняюсь за разжевывание перед теми читателями, для которых ситуация очевидна, но все-таки хочется расставить точки над i. Для случившейся утечки необходимо было сочетание четырех факторов:
1. Вывод подтверждений о доставке sms вместе с их полным текстом на страницы с уникальными адресами,...
Всякие robots.txt и nofolow не спасут от того, кто захочет прошерстить сайт. Такой человек может даже наоборот - воспользоваться robots.txt и nofolow для того, чтобы найти информацию, скрытую в поисковиках. Соблюдение требований robots.txt и nofolow - это просто жест доброй воли, хороший образец поведения, сетевой этикет. Средством защиты информации они не являются.
Читаем внимательно21.07.11 19:59 Автор: Den <Денис Т.> Статус: The Elderman Отредактировано 21.07.11 20:00 Количество правок: 1
Если бы отправленные сообщения были доступны из БД сообщений по идентификатору и только в пределах одной сессии пользователя, то никакой бы робот ничего не нашел.
Разработчики сервиса отправки сообщений даже не подумали сделать элементарную защиту от несанкионированного доступа к содержимому СМС сообщений..
И robots.txt играет в этой пьесе последнюю роль.
Спасибо, что расписал. Не мог понять как такое возможно,...20.07.11 23:42 Автор: redbrick Статус: Незарегистрированный пользователь
Спасибо, что расписал. Не мог понять как такое возможно, думал что Мегафон передаёт Яндексу информацию для индексирования из рук в руки.
Невероятно безответственный подход к конфиденциальности, просто уму не постижимо, каков же профессиональный уровень разработчиков сего сервиса.
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
