Дайджест: уязвимость в GitHub, новый PHP, мутационное тестирование, «не думай о наносекундах свысока», о вреде парного программирования

Добрый день, уважаемые читатели.

В первую очередь поздравляю всех читательниц DOU с профессиональным праздником. :) Счастья вам, новых свершений и терпения!

На этой короткой рабочей неделе украинская ИТ-отрасль не радовала нас громкими новостями, кроме, разве что, «налога на Skype», который может появиться с лёгкой руки НКРСИ.

Зато интересные новости приходят из-за рубежа: российский программист Егор Хомаков обнаружил уязвимость в Ruby on Rails, которая позволила ему управлять постами и добавлять исходный код в любой проект на GitHub (впоследствии его аккаунт был заблокирован).

Новости

Представлен PHP 5.4.0;
Android-приложения могут получать доступ к фотографиям пользователя без ведома последнего;
выпущена Akka 2.0;
вышла в свет Sencha Touch 2.0.

Практика

Вики: участие в проекте Boot2Gecko;
компактный справочник по языкам программирования;
Font Awesome — пиктографический шрифт, разработанный для использования с Twitter Bootstrap;
Least — иструмент для преобразования CSS-файлов в CSS-препроцессоры;
опыт использования Node.js: портирование REST-сервиса, написанного на Java;
мутационное тестирование на примере библиотеки Pitest;
как создавалось iOS-приложение Hacker News.

Теория

Грейс Хоппер: «Не думай о наносекундах свысока»;
использование параллелизма в Java;
о вреде парного программирования;
мини-исследование: размеры страниц популярных сайтов;
в защиту localStorage;
загадка фреймворка Duqu;
как нужно делать простые и понятные мануалы.

Бизнес, рынок, карьера

Джеф Этвуд: «Как нанять программиста»;
корпоративное ПО против «потребительского»: пример Careers 2.0;
монетизация SaaS-приложений.

И, конечно, картинка для поднятия настроения:

На этом сегодняшний Дайджест считается завершенным. Надеюсь, в этом выпуске вы нашли для себя что-то интересное. Удачной вам недели! До встречи в следующую пятницу!

В подготовке выпуска участвовали: Сергей Волошин, Игорь Кононученко, Руслан Шевченко, Максим Емельянов, Всеволод Соловьёв, Татьяна Завьялова, Yura Taras, yuriy123.

Все про українське ІТ в телеграмі — підписуйтеся на канал DOU

Tatiana Shemyakina 09.03.2012 22:34

можно к юмору добавить
10 причин, по которым VB лучше C#

www.simple-talk.com/...px?article=1444

Відповісти

Підтримати

Alexandr Gavriluk 11.03.2012 01:22

Человек нужнен Delphi там есть все что он хочет, кроме самого эффективного программирования.

Tatiana Shemyakina

Alexandr Gavriluk 09.03.2012 15:34

«налога на Skype», который может появиться с лёгкой руки НКРСИ.

У меня один вопрос — КАК ЭТО РЕАЛИЗОВАТЬ ТЕХНИЧЕСКИ?

Ну и второй, исходя из первого — куда компании Google и Skype пошлют НКРСИ?

Ostap Vyshnya 09.03.2012 15:42

как всегда — включат в тариф. будет в рекламках фраза «плата за услуки ХХХХ без учета Y% налога на <нужное вставить>»

Alexandr Gavriluk

Alexandr Gavriluk 09.03.2012 15:44

можно включить только фиксированную сумму для тех кто пользуется и для тех кто нет, так как проконтролировать использование skype невозможно.

Ostap Vyshnya

reality_hacker 09.03.2012 22:10

Почему, поставить счетчик на количество/продолжительность скайп трафика

Alexandr Gavriluk 09.03.2012 22:17

Его еще задетектить нужно, а это довольно проблематично. Вроде для Cisco что-то есть, но оно вроде с новыми версиями скайпа не работает.

В любом случае это вмешательство в частную жизнь и нарушение текущей Конституции — перехват скайп-траффика.

reality_hacker

reality_hacker 09.03.2012 22:32

А в чем нарушение? Его ж декриптовать не предлагается, только считать.

Alexandr Gavriluk 09.03.2012 22:46

Если они так сделают, а как и в истории с ex.ua свой траффик перенаправлю на их сайты. И пусть считают.

Sly 10.03.2012 20:45

Как этот трафик считать? Анализом передаваемых пакетов, или по трафику на определенные IP? Допустим. Но оба варианта обходятся коннектом через ssl-прокси.

reality_hacker 11.03.2012 01:12

Что бы использовать защищеный ssl коридор нужно помучаться с сертификатами, что большинству пользователей не под силу. А отдельные хакеры на валовый оборот телекомов не влияют.

Sly

Sly 09.03.2012 20:39

У кого-то фантазия разыгралась просто. Что неудивительно: бабла крутится немеряно, а лапу не сунуть.

Valeriy Zamaraiev (junior lisper) 10.03.2012 10:59

Точно также, как налог на секс: interfax.ru/...t.asp?id=232451

Alexander Oblovatniy Software Engineer 09.03.2012 14:37

а еще стартовала новая версия Basecamp [6.03.2012].

Bogdan Shyiak SE or Dev 09.03.2012 18:01

И шо?

Что там появилось мега крутого или просто важного?

Alexander Oblovatniy

anonymous 09.03.2012 13:11

обязательно расскажите о www.brainbench.com/...?contentId=2944
мы там пока на втором месте по количеству мастеров. после сша.

Volodymyr Sydorenko Директор в Cinegy Systems LLC 09.03.2012 13:33

А еще лучше сравнить с предыдущими — www.brainbench.com/...?contentId=2313

По сравнению с 2006-м годом прогресс Украины более чем заметен. И это радует.

PS: только сейчас разглядел, что раньше учитывались во второй колонке вроде все сертификаты, а сейчас уровня «мастер» — но это только плюс в нашу сторону :)

PPS: тряхнул стариной и сделал свой вклад %)

anonymous

anonymous 09.03.2012 15:12

java пипл вообще может пройти аж 12 тестов =) там java fundamentals/java, и т.д. 2,3,..6

(сам прошел C/C++)

Volodymyr Sydorenko

Alexander Belchenko Сам себе ПМ и разработчик в маленькая и неизвестная компания 09.03.2012 11:10

поздравляю всех читательниц DOU с профессиональным праздником.

Вы сами поняли что написали?

Andrii Degeler Tech journalist 09.03.2012 11:42

Вполне. У вас проблемы с чувством юмора?

Alexander Belchenko

Evgeniy Kelyarsky Ruby developer в WiX 09.03.2012 11:03

уязвимость в Ruby on Rails

уязвимость не в rails, а в гитхабе. рельсы не виноваты.

Vsevolod Dyomkin программист 09.03.2012 12:23

как раз в Rails: chrisacky.posterous.com/...let-us-all-down

Evgeniy Kelyarsky

Mikhail Bortnyk Ruby on Rails dev, TL 09.03.2012 12:49

официально задокументированная уязвимость? а, ок.

Vsevolod Dyomkin

Vsevolod Dyomkin программист 09.03.2012 19:40

Безопасность — это вопрос дефолтов, а не документации.

Mikhail Bortnyk

Evgeniy Kelyarsky Ruby developer в WiX 09.03.2012 13:31

И что? В rails есть встроенные механизмы для защиты от mass-assign. Если программист на это забил, то он сам виноват, причем тут фреймворк?

Yura Taras Senior Developer -> Tech Lead в SoftServe 09.03.2012 15:52

на рахунок цього там багатобуквенний срач. строго кажучи, це не вразливість, а просто можливість вистрелити собі в ногу, що гітхаб успішно і зробив;

Олександр Соловйов Podcaster в DOU/1-2-3 Techno 09.03.2012 15:55

Ну откровенно говоря в джанге (или любом другом реквест-объекте+орме в питоне) в полторы строки делается то же самое. Это даже не возможность выстрелить себе в ногу, это просто нормальная функциональность объекта а-ля словарь (которым модель и является). Имхо, рельсы не при чëм.

Yura Taras

Yura Taras Senior Developer -> Tech Lead в SoftServe 09.03.2012 16:30

Якщо подивитись на код, який генерується scaffold генератором, там використовується саме mass assignment, тобто це певною мірою pattern. Проблема в тому, що я дуже просто можу забути проставити в моделі attr_accessible, то мені ніхто не нагадає про це, що й відбулось. Нормальний шлях — це генерувати warnings, або ж згенерований код моделі повинен мати нагадування, або ж використовути whitelist (тобто не дозволяти mass assignment для всіх полів, крім специфічно названих) по замовчуванню.

Називати це можна по-різному — можливість вистрелити собі в ногу, дірка в безпеці або ще якось — тільки якщо можна є шлях для покращення, чому б і ні?

Олександр Соловйов

Олександр Соловйов Podcaster в DOU/1-2-3 Techno 09.03.2012 16:33

Как на мой взгляд, то в питоновских фреймворках подход лучше — между контроллером и моделью сидит (обычно специфичная для данного контроллера) форма, которая и проверяет, что пришли верные данные и какие данные куда закинуть.

Вообще да, я не знал, что это генерируется рельсами автоматически, так что это действительно неприятно и очень глупо. :\

Олександр Соловйов Podcaster в DOU/1-2-3 Techno 09.03.2012 15:53

Не в рельсах. Фича в том, что в рельсах есть функция, которая просто назначает элементы словаря в модель. Как если бы я в джанге написал цикл:

obj = Model.objects.get(id=request.POST['id'])
for name, value in request.POST.keys():
    setattr(obj, name, value)
obj.save()

Получается, я беру и без всяких проверок назначаю все приходящие данные в модель, не проверяя ничего. Они там проверили, что юзер может записать 1 поле, и записали все пришедшие данные. Ну это реально тупо, и рельсы не при чëм — просто у кого-то с мозгом не всë в порядке было.

Олександр Соловйов Podcaster в DOU/1-2-3 Techno 09.03.2012 10:28

А потом разблокирован, всë ок. Уязвимость, кстати, архитупая, я был лучшего мнения о внутренностях гитхаба. :\

Олексій Орєшко Software engineer в Google 09.03.2012 21:32

+1.

Його заблокували на час розслідування, потім розблокували і вибачились

Дайджест: уязвимость в GitHub, новый PHP, мутационное тестирование, «не думай о наносекундах свысока», о вреде парного программирования

Новости

Практика

Теория

Бизнес, рынок, карьера

32 коментарі

Підписатись на коментарі