по следам

[avva]

Некоторые последствия истории с эпидемией ЖЖ-спама и кражи аккаунтов:

• Avva предупреждает на плакате zhgun'а
  
• А statisticai видит забавный сон обо мне
  
• tom_ohawk объясняет принципы безопасности паролей. Всё равно никакие объяснения не помогут, увы, и пользователи будут продолжать выбирать пароли, которые ничего не стоит отгадать или подобрать.
  
• Я написал руководство по секьюрити ЖЖ.
  
• В код LiveJournal была добавлена возможность для администратора быстро перекрыть распостранение любой HTML-формы.

Comments

пароли склерозы и брутфорсы

[tom-ohawk.livejournal.com]

Доброго, Анатолий

эхх.. ежели бы я специально задался целью написать руководство,
то получилась бы 1001-я очередная длинная-предлинная портянка
которую и скучно и неинтересно читать, развитие событий в rulj
видел, ужаснулся что все так запущено и тогда только осознал, что
в Livejournal много замечательных людей, которые видят его не
глазами компьютерщиков или программистов, а взорами поэтов и
журналистов и что им такая мелочь как изощренный пароль. Так
что запись я забросил поверхностную, прямо скажем - на эмоциях,
потому как ptiza_ и ollka читаю и было очень обидно,
что хорошие люди по неопытности попали "под каток".
Еще, разумеется, впечатлился Вашей и команды LJ действиями
спокойными и вполне эффективными.

А в треде может завязаться обсуждение другой темы:
как придумать набор охренительных паролей чтобы самому их не забыть?

опять-таки, хоть и неэтично приводить себя в пример - помню примерно
сорок хорощих паролей, ну все-таки сисадминская практика, но случается
забываю какой ключ от какой двери... тем более, что и механика
человеческой памяти не столь уж изучена и вполне индивидуальна..

P.S. Ваше руководство по security - это серьезно. Особенно про
почтовые адреса, тем более, что сложно сказать на какие именно
адреса можно делать ставку с точки зрения исторической перспективы,
у меня вот на работе почти наверняка админ почтового сервера пропускает
весь SMTP через пакетный анализатор типа Iris или через ETrust IDS,
где письма сразу расшифровываются до ASCII и/или HTML - то есть против
санкционированного сисадмином сниффера - контрмер почти нет, хотя
тот навряд-ли станет ломать мне LJ. Да и место работы за несколько лет
вполне может поменяться. Тоже тема для обсуждения о "меньшем зле":
есть ли надежные публичные системы электронной почты?

P.P.S. я сильно-сильно извиняюсь за совершенно откровенный оффтоп,
вдруг посоветуете насчет собранных в список русских Syndicated Feeds (http://www.livejournal.com/users/tom_ohawk/19328.html)
то есть я не вполне понимаю зачем эта забавная иконка у anekdot_ru
ведь есть, к примеру, nnm_news френдование которого
не стоит lj-юзерам никаких условных кредитов. Вот, собственно и why such?
Полная непонятка чем Syndicated лучше. и для кого...
:|

[avva.livejournal.com]

Syndicated accounts работают со стандартными RSS-лентами. Эти аккаунты
пополняются автоматически скриптом, который бежит на серверах ЖЖ. Для
того, чтобы создать syndicated account, отражающий содержимое какого-то
сайта новостей или веблога, достаточно, чтобы этот сайт или веблог
поддерживали экспортирование своего контента в RSS (а это верно для,
пожалуй, большинства веблогов и большого числа сайтов с новостями или
другим линейно растущим контентом).

Есть аккаунты, которые не являются syndicated accounts с точки зрения
ЖЖ, но их пополняет автоматически какой-то скрипт вне ЖЖ. Т.к.
LiveJournal не может отличить такие журналы от "обычного" ведущегося
вручную журнала, они являются обычными аккаунтами. Но не любой юзер
может их создать, т.к. для этого нужно как минимум уметь скрипт
написать, отладить и запустить где-то.

спасибо за разъяснение

[tom-ohawk.livejournal.com]

О! Спасибо за разъяснение
то есть получается, что новостную ленту может организовать
с любого из RSS-eanbled сайтов может оргагнизовать любой
пользователь (прикинувшись RSS ридером) или это все ж
прерогатива владельцев тех сайтов и на то (LJ-присутствие)
нужно их любезное разрешение? (в FAQ это не разъясняется,
но страшно любопытно, могу ли скажем я завести лж-юзера и
отшлюзовать на этот эккаунт интересующий меня, но пока
отсутствующий в LJ веб-сайт, скажем, с новостями) ?

[avva.livejournal.com]

что новостную ленту может
организовать с любого из RSS-eanbled сайтов
может оргагнизовать любой пользователь

Да, заходите на http://www.livejournal.com/syn/ и вперёд.
Юзера создавать не надо заранее, это как раз делает механизм
создания RSS-аккаунта. Правда, нужны всё те же syndication points.