Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Утечка 800 млн email через СУБД MongoDB сервиса подтверждени..."	+/–
Сообщение от opennews (?), 08-Мрт-19, 10:02
Исследователь безопасности Боб Дьяченко (Bob Diachenko) обнаружил (https://securitydiscovery.com/800-million-emails-leaked-onli... наличие неограниченного доступа к БД, включающей сведения о  800 млн email-адресов (размер загруженных данных - 150 ГБ). Помимо email более 4 млн записей также содержали номер телефона  и такие сведения, как область деятельности, адрес, ФИО, пол, IP-адрес и  время последней активности. Выборочная проверка показала, что это новая отдельно собранная база, а не просто компоновка информации на основе других утечек адресов. Утечка вызвана ошибкой при настройке СУБД MongoDB, в результате которой доступ к БД не был ограничен и данные были выставлены для всего интернета без аутентификации. Данные были собраны компанией Verifications.io, предоставляющей для предприятий сервис по подтверждению email-адресов перед отправкой массовых рассылок. Примечательно, что это не первая подобная находка Боба Дьяченко, прошлой осенью он выявил (https://www.opennet.ru/opennews/art.shtml?num=49259) похожую базу MongoDB, включающую  450 млн адресов. URL: https://securitydiscovery.com/800-million-emails-leaked-onli.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=50277
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от asdasd (?), 08-Мрт-19, 10:02	+15 +/–
В MySQL / Mariadb открыть такой доступ геморой, а в MongoDB видимо закрыть такой доступ геморой -_-"
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #3, #18, #41, #42, #63, #83

2. Сообщение от Аноним (2), 08-Мрт-19, 10:21	+22 +/–
Веб-мартышки, сэр.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #5

3. Сообщение от пох (?), 08-Мрт-19, 10:27	–2 +/–
ну в целом так и есть - с поправкой что если бы ты манд...монгу использовал так же как, в большинстве случаев, mysql, то так же просто было бы закрыть. например, как и mysql на большинстве васян-хостов, просто не слушать сеть кроме 127.0.0.1 а когда начинается то, где монгу заменить можно только таким же уг - т.е, отказоустойчивые кластеры, может быть с шардингом - тут сразу все становится очень грустно, и сразу понимаешь, что придумывали все это незамутненные личности, уверенные что их данные никому не нужны. плюс заниматься всем этим отряжают девляпса или админа, второму интуитивно понятный синтаксис монги абсолютно непонятен (а оно еще и разное в разных версиях), причем  нахрен не нужен - никаких админских задач этот уродец не решает и не может, ну а первый вообще все так делает. а sql'и большого размера обслуживают dba, или админ, который умеет, а не только что с пятого на десятое в невменяемой вики вычитал пару заклинаний. с редисом, если что, все еще хуже - оно еще и тормозит, если таки пытаться там сделать полноценный auth между узлами кластера. by design.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #38, #56, #84

4. Сообщение от Аноним (4), 08-Мрт-19, 10:27	+41 +/–
Плевать на то что база жопой в интернет торчит, за то у нас куберннтис и микросервисы!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #19, #27

5. Сообщение от Аноним (5), 08-Мрт-19, 10:30	–4 +/–
Проблема в том, что это были С-гуру.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #23

6. Сообщение от Аноним (6), 08-Мрт-19, 10:34	+/–
Без этой базы мне эта новость нафиг не нужна
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #36, #90

7. Сообщение от Аноним (7), 08-Мрт-19, 10:49	–1 +/–
Сколько лет будешь выкачивать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #12

8. Сообщение от Вадик (??), 08-Мрт-19, 11:20	+4 +/–
Ну что сказать, надо технически грамотных специалистов нанимать и тех долг закрывать вовремя. Проблема в том, что просто не настроили нормально сервера, вот в принципе и все. Если бы доступ был бы через какой-нибудь vpn такой проблемы бы автоматически не возникло бы. А они скорее всего тяп ляп, на голое железо/облако, без контейнеров херак и запустились. Т.е. в данном случае, если бы они всю инфраструктуру одного сервиса развесили бы на контейнере и пробросили бы доступ через какой-нибудь nginx, то спали бы спокойно с любой базой.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #15, #30

10. Сообщение от Xasd5 (?), 08-Мрт-19, 11:47	+/–
> Если бы доступ был бы через какой-нибудь vpn а если бы пароль прставить на все СУБЛ? или требование -- обязательно всё нужно делать через одно (Ж) место?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #26, #49

11. Сообщение от Аноним (11), 08-Мрт-19, 12:03	–2 +/–
Магнит на дамп есть у кого? Друг спрашивает.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #64

12. Сообщение от Аноним (12), 08-Мрт-19, 12:20	+3 +/–
Если провайдер позволит то 0,000237823439878 лет
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #28

14. Сообщение от Аноним (14), 08-Мрт-19, 14:23	+2 +/–
> Данные были собраны компанией Verifications.io, предоставляющей для предприятий сервис по подтверждению email-адресов перед отправкой массовых рассылок Зачем сервису для подтверждения email-ов их хранить? Или они деньги с продажи налево имели?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16

15. Сообщение от Аноним (15), 08-Мрт-19, 14:25	+/–
Проблема в том, что монетизацию поставили на первое место.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

16. Сообщение от Аноним (15), 08-Мрт-19, 14:26	+5 +/–
Ну а зачем еще нужна такая база - только торговать ПДн.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

17. Сообщение от Аноним (17), 08-Мрт-19, 14:39	+/–
Here is the scenario: “Mr. Threat Actor” has a list of 1000 companies that he wants to hack into. He has a bunch of potential users and passwords, but has no idea which ones are real. He could try to log in to a service or system using ALL of those accounts, but that type of brute force attack is very noisy and would likely be identified. Instead, he uploads all of his potential email addresses to a service like verifications.io. The email verification service then sends tens of thousands of emails to validate these users (some real, some not). Each one of the users on the list gets their own spam message saying “hi”. Then the threat actor gets a cleaned, verified, and valid list of users at these companies. Now he knows who works there and who does not, and he can start a more focused phishing or brute forcing campaign.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24

18. Сообщение от microcoder (ok), 08-Мрт-19, 15:55	+/–
А iptables уже отменили?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #29, #46, #65

19. Сообщение от Аноним (19), 08-Мрт-19, 17:06	+3 +/–
Докерки, кубернетисы и прочие графаны - уже давно синоним голого зада, торчащего в паблик.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #20

20. Сообщение от asand3r (ok), 08-Мрт-19, 17:57	+/–
А графану-то за что?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #22, #25

22. Сообщение от annual slayer (?), 08-Мрт-19, 19:48	+3 +/–
он перечислил технологии за незнание которых его развернули на прошлом собеседовании на работу
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

23. Сообщение от annual slayer (?), 08-Мрт-19, 19:50	+3 +/–
из личного опыта: видел бы баш скрипты или конфиги, написанные С-гуру вместо хотя бы миддла-сисадмина, который должен подобные писать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #32

24. Сообщение от annual slayer (?), 08-Мрт-19, 20:00	+1 +/–
> Each one of the users on the list gets their own spam message saying “hi”. Then the threat actor gets a cleaned, verified, and valid list of users at these companies. и так скомненько опустили часть между "hi" и "Then"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

25. Сообщение от Онаним (?), 08-Мрт-19, 20:10	+/–
А всё за тоже. brainlessware
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #37

26. Сообщение от Онаним (?), 08-Мрт-19, 20:11	+1 +/–
Какой пароль, вы о чём? кубернетесом докерок пнули, и забыли
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

27. Сообщение от Anonim (??), 08-Мрт-19, 21:13	–1 +/–
Ненавидимый вами кубернетес как раз-таки требует явной конфигурации сервиса, который должен торчать наружу, к сведению. По умолчанию такого произойти не может by design.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #33

28. Сообщение от У (?), 08-Мрт-19, 21:22	+/–
150 Гб за 2 часа? ..жырненькый у вас интернетик.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #31, #59

29. Сообщение от Аноним (29), 08-Мрт-19, 22:08	+/–
Так это думать надо, готовый тяпляпбук не скачаешь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #39

30. Сообщение от arisu (ok), 08-Мрт-19, 22:38	+/–
вот примерно такой хипстор как ты там и занимался безопасностью.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #50

31. Сообщение от DiabloPC (ok), 08-Мрт-19, 22:39	+/–
Ыы При 1Gbps - ~850gb за 2 часа через канал пролетает... Taк шо можем считать что у человека канал ниже среднего
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #34

32. Сообщение от Аноним (32), 08-Мрт-19, 23:54	+1 +/–
Видел как ужасные так и вполне нормальные, от знание СИ корреляции не заметил, но выборка < 50 сишников.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #79

33. Сообщение от Аноним (4), 09-Мрт-19, 00:06	+1 +/–
Видимо комментарий был о том, что акцент делается не на архитектуру, при которой база не доступна снаружи. А на мусли-тренды, которые уделяют больше внимание не тому что нужно, а то что модно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #40

34. Сообщение от Аноним (32), 09-Мрт-19, 00:44	+/–
Ну хз плачу 200р за месяц через канал пролазит 5тб но шибко что то не качаю, так повседневное пользование. Ценник с белым  IP
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #35

35. Сообщение от Аноним (35), 09-Мрт-19, 05:52	+/–
То ли нолик забыл, то ли виртуалку арендуете где эти 150 гб и не разместить, то ли вы из волшебной страеы, скажите где купить билет в дивный интернет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

36. Сообщение от Нанобот (ok), 09-Мрт-19, 09:42	+/–
если я правильно понял, чувак просто нашёл, написал владедьцу и те закрыли. даже если он и выкачал всю базу, то расшаривать её не собирается. так что утечка сильно преувеличена
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #48

37. Сообщение от Q2W (?), 09-Мрт-19, 09:48	+/–
А конкретика есть? А то я как раз думал рассмотреть эту графану.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #43, #44, #45, #52

38. Сообщение от Лапчатый девляпс бубунтёнак (?), 09-Мрт-19, 10:39	–1 +/–
> что придумывали все это незамутненные личности На себя посмотрел бы, де билл. Они "придумали всё это...", а тебе выдали вантуз. Вот пусть так и будет! > интуитивно понятный синтаксис монги абсолютно непонятен Как говорят - ртфм. > оно еще и тормозит, если таки пытаться там сделать полноценный auth между узлами кластера. А аутх - это таки решение? Видал я суговых одминов, выставлявших муцкулепоцгрессы с аусом наружу. Понимаешь диодушка, внутренняя сеть должна находиться внутри, а наружняя - снаружи. Вот у нас в большинстве окружений прода - вообще нет ната для ынторнетов. Ибо не нужен. Наружу только вебня торчит. А вот внутри есть и поцгрессы, и многи, и эластиксрачи, и редиски, и мария-галеры, и какая-то самопейсанная ерунда с рест-апи, коей является нечто, приносящее шараге бобло. Потому, я считаю, что сравнивать муцкуль с монгой - по крайней мере - некорректно, особенно на проектах, где нужны оба. Сразу, то есть - одновременно. Короче: тёплое - однозначно лучше мягкого, ибо частота напряжения в сети - сильно меньше радиуса планеты. Ещё видел я тех, кто из муцкуля бигдату делал. На несколько терабайт, после чего Зайцев с нескрываемым удивлением мог только похвалить за отвагу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #57, #61

39. Сообщение от Лапчатый девляпс бубунтёнак (?), 09-Мрт-19, 10:43	–1 +/–
Шо? Не верю. Сам же пишу тяпляпбуки в большом количестве. Может ты это, ртфм сделай для начала?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

40. Сообщение от Лапчатый девляпс бубунтёнак (?), 09-Мрт-19, 10:47	–2 +/–
> не тому что нужно, а то что модно Тему раскрой. Просто в кубернетесе по умолчанию ничего не доступно снаружи. Ну, архитектура такая. Так это модно, или нужно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #53, #55

41. Сообщение от Лапчатый девляпс бубунтёнак (?), 09-Мрт-19, 10:50	–1 +/–
О, ещё один, выставляющий базы наружу. У нас такое в впн заворачивают, вообще-то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #47

42. Сообщение от SubGun (ok), 09-Мрт-19, 11:56	+/–
Судя по всему - это облако. У нормальных людей БД наружу не торчит, только API.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #58

43. Сообщение от Аноним (43), 09-Мрт-19, 13:44	+2 +/–
Так рассматривай, чего ты слушаешь всяких? И зперечимсленного я щкпал только докер, в нём, чтобы выставить порт наружу, нужна соответствующая строка в докерфайле. Если автор имиджа в докерфайле опубликовал порт в расчёте, что пользователь настроит софт внутри под свой юзкейс а пользователь оказался альтернативно-одарённым и просто развернул контейнер не вдаваясь в подробности, и его поимели через открытый всем ветрам порт - то это не технология плохая, а пользователь ыдыот. И вместо того, чтобы хаять докер на форумах, ему стОило бы сесть за чтение нормальной
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

44. Сообщение от Аноним (43), 09-Мрт-19, 13:47	+/–
(сцк, вечно я вместе с "й" tab нажимаю) документации, а не статеек типа "как за три клика развернуть сервис в докере".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

45. Сообщение от Аноним (45), 09-Мрт-19, 16:07	+/–
Графана это вообще не про хранение данных, а их визуализацию. Докер - отличная надстройка над контейнерами ОС, мы её и для линукса и для винды используем - для тестового окружения. А в том, что приложение выставили в интернет, да ещё и без пароля - это, конечно, вина приложения.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

46. Сообщение от пох (?), 09-Мрт-19, 18:49	+1 +/–
так уже ж полгода как - правда, пока объявили deprecated. еще учти что у тру-девляпса монга в докере в докере в докере (тут, на самом деле девляпс не очень виноват, виноваты хотелки обмазаться наисвежайшим, "а в вашей lts бубунте какое-то мамонтовое г" - причем о совместимости там особо не парятся) поэтому как только сетевая конфигурация отходит от совсем уж банальной - проще уже плюнуть и растереть - и бессильно наблюдать на совокупление докера, ufw, эмуляции iptables'ов nft и прочей новомодной ереси. Тем более что "все так делают", мне вчорась три девелопера втирали! я-то пока надеюсь на защиту периметра и кое-как подложенные пару грабелек, о которые споткнется совсем уж легкомысленный горе-"исследователь безопастносте", но тут еще, наверняка, все это было в облачках, белогривые лошарики...адреса назначаются чорти как и чорти чем, облаков бывает не одно (диверсифегация, запрещенный на опеннете петушиный возглас) - в общем, заманаешься ты все это тамагочи кормить, а быть виноватым что "опять из-за твоих игр ничего у серьезных ребят не работает" тоже быстро надоест.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #80

47. Сообщение от пох (?), 09-Мрт-19, 18:54	+2 +/–
на каждом амазонском инстансе у тебя по vpn'у? И как там монга - не тормозит? P.S. у меня 15 лет mysql принимал соединения снаружи (пока таки не был выкинут и заменен sqlite плюс самодельная репликация - это оказалось проще чем нормальная работа его внутренних уродливых костылей, да и sqlite нынче совсем другой пошел) - что я делал не так? Вот авторы - они да, многое делали не так, как сейчас принято. Начиная от почти нормальной (да великолепной, на самом деле, по меркам того 99го года) аутентификации без гнилых openssl оберток, и заканчивая встроенной поддержкой libwrap'а.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #77

48. Сообщение от пох (?), 09-Мрт-19, 18:56	+1 +/–
эх... я бы вот в такое зашел - не поленился бы заплатить $5, и стереть всю базу нахрен с какого-нибудь антикитайского vpn. что и надо делать каждый раз с такими уродцами. > даже если он и не выкачал всю базу нашлись другие, которые никому об этом рассказывать не будут. Поправил, не благодари.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

49. Сообщение от пох (?), 09-Мрт-19, 19:02	+2 +/–
> а если бы пароль прставить на все СУБЛ? а вот ты нам сейчас и расскажешь, как в монге 2.4 это делается. Инстансах так на 101м ("следи же, чтобы число их было нечетно"). А потом отдельно про 3.6 и отдельно - про особенности миграции кластеров с первой на вторую без остановки прода. 4.0 оставим на сладкое (про нее  я сам, к счастью, пока не очень в курсе) и не забыть описать что нужно делать программистам, причем вчера. Чтобы сегодня у них работало и до момента включения тобой ауфа, и после. и себе смотри доступ не отруби, это типовая ошибка начинающих монговодов ;-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #88

50. Сообщение от пох (?), 09-Мрт-19, 19:06	+1 +/–
такой там ниасилил, иначе бы оно, наверное, все же бы сработало, даже если "vpn" какой-нибудь совсем игрушечный - вполне достаточно невозможности коннекта снаружи к адресам, которых ты еще и не знаешь. Проблема что в 800терабайтовом монгокластере довольно непросто такой vpn построить. еще и лекарство может оказаться хуже самой болезни, обернувшись каким-нибудь heartbleed'ом
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

51. Сообщение от Аноним (51), 09-Мрт-19, 21:47	+1 +/–
То-то нам спам последний месяц посыпался.
Ответить | Правка | Наверх | Cообщить модератору

52. Сообщение от пох (?), 09-Мрт-19, 22:22	+2 +/–
ну, короче, добрый совет - рассматривай ее в виде виртуалки (благо, ресурсов нужно минимум). И на каждое, сц-ко, _каждое_ мельчайшее изменение конфигурации - снапшот. Потому что она имеет такое прекраснейшее свойство, эту самую конфигурацию внезапно терять или портить, причем непонятно, почему. Ну и добро пожаловать в XXI век - когда конфигурация делается тысячекратным мышекликаньем, но поручить это дело неграм нельзя, потому что они не смогут написать запрос.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #54, #74, #91

53. Сообщение от замзибор (?), 10-Мрт-19, 06:26	+/–
Очевидно что вэб-мартишки думают, что кубернетис сделает все за них. Отсюда дефолтные настройки mongodb, отсюда база, торчащая в интернет, что легко сделать разворачивая кубернетис на голом железе
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

54. Сообщение от Онаним (?), 10-Мрт-19, 10:14	+/–
Вот, дельный пост.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

55. Сообщение от Онаним (?), 10-Мрт-19, 10:16	+/–
Раскрываю: взяли докерок, взяли кубернетю, взяли либо со стора либо вообще с какого-нибудь говнофорума имаж монги с шаблоном дефолтового конфига без пароля, задеплоили, профит. И даже думать не пришлось по пути.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #75

56. Сообщение от Онаним (?), 10-Мрт-19, 10:17	+1 +/–
Это да. Уже лет 10 как понятно, что сервисный софт с низким порогом вхождения пора бы прикопать уже, но нет, тренд в обратную сторону.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

57. Сообщение от Онаним (?), 10-Мрт-19, 10:18	+/–
В чём проблема хранить и даже успешно ворочать несколько терабайт в мускуле? Знаю, девляпсы его приготовить для этого не смогут, но в целом - вполне себе применение. Главное при этом - не просить от движка невозможного.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #60

58. Сообщение от Онаним (?), 10-Мрт-19, 10:21	+/–
Ну вот у них API самой монги и торчало, муахаха. Видимо, решили, что DB API - тоже API.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #62

59. Сообщение от Онаним (?), 10-Мрт-19, 10:22	+1 +/–
Так чтоб это, 150 гиг за два часа, всего примерно 200 Mbps и надо-то. Это разве жырненький?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

60. Сообщение от arisu (ok), 10-Мрт-19, 10:44	+1 +/–
в том, что это делают только идиоты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

61. Сообщение от пох (?), 10-Мрт-19, 11:04	+1 +/–
> Понимаешь диодушка, внутренняя сеть должна находиться внутри, а наружняя - снаружи. это все очень здорово в эпоху одноразовых инстансов с плавающими айпишниками, размещенных где-то хз где, "зато дешево". > Вот у нас в большинстве окружений прода - вообще нет ната для ынторнетов. это как-то защитит вас от ситуации банального пролома вебфронтенда с получением банального shell ? Или все перечисленные вами потроха станут тут же доступны любому, сумевшему хоть кончик пальца просунуть внутрь периметра? Меня вот немного такой расклад огорчает. с "устаревшими технологиями" такой индивид получил бы доступ только к тому, от чего нашел бы там же пароли - если бы вообще нашел. > Потому, я считаю, что сравнивать муцкуль с монгой - по крайней мере - некорректно вам следует научиться читать. Сравнивал я не мускль с монгой, а уровень разработчиков в области умения обеспечить минимальную безопасность, чуточку отличающуюся от "все-всем"...зачеркнуто, тут круче - "все - всему интернету". Сравнить хотя бы дефолтное состояние свежепоставленного (из исходников, без заморочек от пакетеров) mysqld и свежепоставленной поделки хипстоты-с-подворотиками, что монги, что редиса. Мемкэшу ок, простительно, его писали в общем-то под localhost. > Ещё видел я тех, кто из муцкуля бигдату делал. На несколько терабайт, а где тут - bigdata и в чем тут - проблема? несколько сот терабайт - может уже и было бы о чем говорить (необязательно это bigdata, но с mysql проблемы уже будут) коллекция 800 миллионов мэйлов (даже с именами и адресами) - сама по себе, если что, тоже не bigdata ни разу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #76, #89

62. Сообщение от пох (?), 10-Мрт-19, 11:06	+1 +/–
> Ну вот у них API самой монги и торчало, муахаха. Видимо, решили, > что DB API - тоже API. mongo as a service, чо не так-то? ;-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

63. Сообщение от Michael Shigorin (ok), 10-Мрт-19, 15:12	+/–
И когда особо одарённая вендурь научится поставлять своё поделие сконфигурированным на localhost по умолчанию (да, с внятно документированной ручкой, но чтоб её ручкой надо было повернуть)... Недаром у нас сервисы массово закручивались именно в такое изкоробочное положение ещё в начале века. PS: комментарии про незавидное состояние белогриволошадных прочитал позже -- ну ой, этим остаётся страдать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #66, #68

64. Сообщение от Michael Shigorin (ok), 10-Мрт-19, 15:22	+/–
> Магнит на дамп есть у кого? > Друг спрашивает. До "друга" не дошла судьба того чувырлы из центра американского английского?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #70

65. Сообщение от КО (?), 10-Мрт-19, 19:33	+/–
Вы будете смеяться, но он уже "не молодежно". :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #72

66. Сообщение от КО (?), 10-Мрт-19, 19:36	+/–
>сконфигурированным на localhost по умолчанию Михаил, но ведь за это объявят "админом локалхоста". :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #67

67. Сообщение от Michael Shigorin (ok), 10-Мрт-19, 20:09	+/–
>> сконфигурированным на localhost по умолчанию > Михаил, но ведь за это объявят "админом локалхоста". :) Придётся объяснить, какое значение изначально вложил в этот термин. :) (о применимости к причине новости сложно говорить с учётом неизвестности мне того, так что там с инстансами было в данном разе, ну и полного отсутствия личного опыта работы с монгой)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66 Ответы: #69

68. Сообщение от пох (?), 10-Мрт-19, 20:14	+/–
Миша, оно так не работаит - в смысле, ее не для того ставят, чтобы она локалхвостом виляла. Это для redis еще туда-сюда применение, и то если его совсем не жалко (а то появляется slave, и понеслась) Поэтому первое, что сделают с подобной хренью - это перекрутят ручку на 0.0.0.0, чтоб ей вообще можно было как-то пользоваться. А потом будут думать, а что ж блин бы с ней такое придумать, чтобы оно еще и не весь интернет пускало к себе в гости. Про банальный tcpd - афтары не, не слышали. А на локалхвостовых установках пофигу, что оно там слушает и слушает ли вообще, там все одно ничего ценного быть не может.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #71

69. Сообщение от пох (?), 10-Мрт-19, 20:17	+/–
с инстансами в этом разе, очевидно, все было, потому что 150g ценных для перепродажи данных никто не хранит в одном экземпляре, даже если чисто технически и возможно. потому что даже просто развернуть их из бэкапа займет очень даже продолжительное время, в течении которого вся система полежит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

70. Сообщение от пох (?), 10-Мрт-19, 20:18	+/–
так пристрелили ж директора, а админ, поди, вон, новую работу нашел, с солидным увеличением оклада и охвата клиентов ;-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

71. Сообщение от Michael Shigorin (ok), 10-Мрт-19, 20:21	+/–
> Миша, оно так не работаить - в смысле, ее не для того > ставят, чтобы она локалхвостом виляла. Я про изкоробку, ну и #61 затем прочитал -- сочувствую.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

72. Сообщение от microcoder (ok), 10-Мрт-19, 20:50	+/–
> Вы будете смеяться, но он уже "не молодежно". :) Наверное я отстал от жизни. Что сегодня модно вместо iptables?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #73

73. Сообщение от пох (?), 10-Мрт-19, 22:10	+/–
вместо - nft. Но nft приличные люди давно уже не носют, нам нужно больше трэша и угара - поэтому теперь мы переписываем все через байткод для bpf!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72

74. Сообщение от ворапдфр (?), 11-Мрт-19, 03:54	–3 +/–
конкретней можно? о чем вы мыслю свою излагаете? больше похоже на понос
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

75. Сообщение от Лапчатый девляпс бубунтёнак (?), 11-Мрт-19, 11:09	–1 +/–
Просто бессмысленный вой. Ну понятно. С таким же подходом можно доверять только собственноручно написаному софту.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

76. Сообщение от Лапчатый девляпс бубунтёнак (?), 11-Мрт-19, 11:11	–1 +/–
Смысл сего воя - раньше трава была зеленее, они не такие как мы, и потому - виноваты. > дефолтное состояние свежепоставленного Ну... С тобой всё понятно. Держи нас в курске.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

77. Сообщение от Лапчатый девляпс бубунтёнак (?), 11-Мрт-19, 11:12	+/–
Я там где-то выше писал о том, что внутреннее - внутри, а наружнее - снаружи. Возможно внутренняя сеть у тебя - интернет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #78

78. Сообщение от пох (?), 11-Мрт-19, 11:29	+/–
а, ну тогда просто подожди - придет тимлид разработчиков и прикажет немедля перенести все в облачко мэйлcpy, пятнадцать минут на разобраться и доложить об успешном выполнении, все давно уже так работают, он уже доложил начальству о существенной экономии ресурсов - кстати, ставку админа сокращают. У меня-то еще много чего не как у тебя, ну так - я устаревший ненужный мамонт, ненавистник современных технологий и бревно на пути прогресса, меня еще несколько лет ничего из этих радостей не коснется. Девляпсы - они в соседнем отделе, их поломают - я вроде и ни при чем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77 Ответы: #81

79. Сообщение от annual slayer (?), 11-Мрт-19, 14:12	+1 +/–
> Видел как ужасные так и вполне нормальные, от знание СИ корреляции не > заметил, но выборка < 50 сишников. зато есть корреляция качества скриптов к тому, является их писатель админом или нет это как обсуждать С код написанный админами, у кого-то энжинкс выходит, а у кого-то совсем не то
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

80. Сообщение от Лапчатый девляпс бубунтёнак (?), 11-Мрт-19, 19:51	–1 +/–
> виноваты хотелки обмазаться наисвежайшим И без докера ты это не умеешь? Молодец.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

81. Сообщение от Лапчатый девляпс бубунтёнак (?), 11-Мрт-19, 20:03	+/–
Ты просто не на месте, вот и истекаешь жёлчью. Бросай эти линуксы, иди на мсдн(и/или нaфиг) и делай то, что тебе нравится. А тем временем девляпсы продолжат развиваться своим, интересным им путём. Например я девляпсил ещё задолго до появления данного термина, паковал корни гент с приложениями в squashfs и раскидывал скриптами по сервакам. Когда появился доцкер и начал работать, то я вздохнул с облегчением и выкинул свои скрипты. Экономить ресурсы, кстати, тоже надо. И админа заменить на сотню ансибиль-прейбуков - тоже надо. И перейти с бензина на аккумуляторы, с вантузомакакоси на любой линукс. С виртуалок - на контейнеры(хотя были у меня юзкейсы, связаные с конкретными версиями ведра, там виртуалки незаменимы). В общем - nox лает, караван ползёт. Не так быстро, как хотелось бы, но ползёт.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #78 Ответы: #82

82. Сообщение от пох (?), 12-Мрт-19, 13:20	+/–
> Ты просто не на месте, вот и истекаешь жёлчью. я-то как раз на своем месте, оно к девляпсам с гентами и лепке костылей на squashfs отношения не имеет. (кстати, девляпса найти не можем - а он тут тоже нужен. Унылятина одна приходит, вообще ничего не умеющая - а я за них горшок выносить не планирую.) > Бросай эти линуксы, иди на мсдн(и/или нaфиг) и делай то, что тебе нравится. мне людей убивать нравится, но профессия палача нынче, увы, плохо востребованна в цивилизованном мире (незаслуженно плохо, я бы сказал). https://rtvi.com/news/na-shri-lanke-otkrylas-vakansiya-palacha/ - сюда подаваться бестолку, они говорят - нужен native, иначе карма сильно портится. Кстати, у них вакансия уже пять лет не закрыта, все привередничают, от хороших кандидатов нос воротят. > доцкер и начал работать, то я вздохнул с облегчением и выкинул > свои скрипты. а когда он тебе первый раз разнес файловую систему через чудесный aufs - просто пошел искать новую работу, да? > Экономить ресурсы, кстати, тоже надо. И админа заменить на сотню ансибиль-прейбуков - тогда новую работу пойдет искать вся контора, начиная с CTO. Скорее рано чем поздно. > тоже надо. И перейти с бензина на аккумуляторы о да, о да. Вот тут ты в тренде, явно не понимая, каком. > В общем - nox лает, караван ползёт. Не так быстро, как хотелось > бы, но ползёт. да, увы, до прекрасного дня массового переползания через край пропасти еще далеко, а отдельные торопыги не так смешны. Подумаешь, 800000000 адресов, какая такая приватность в эпоху интернета (c)Блинн.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

83. Сообщение от Аноним (84), 12-Мрт-19, 14:07	–1 +/–
> В MySQL / Mariadb открыть такой доступ геморой, а в MongoDB видимо > закрыть такой доступ геморой -_-" Ононим такой ононим. Если не знаешь как настраивается доступ в Монге - не открывай свою пасть. Ведь она тебе нужна только что бы есть. И нет, никакого геморроя нет: всего одна строчка в конфиге в разделе безопасности. security:   authorization: enabled Ну, параноики еще могут настроить строгую привязку к сетевым интерфейсам и отключение обхода авторизации при локальном (127.0.0.1) доступе. Это тоже по одной строчке. net:   bindIp: "тут оставить только нужный интерфейс" setParameter:   enableLocalhostAuthBypass: false Собственно все - теперь вы кроме как с логином\паролем никак к БД не подключитесь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #87

84. Сообщение от Аноним (84), 12-Мрт-19, 14:18	+/–
> ну в целом так и есть - с поправкой что если бы > ты манд...монгу использовал так же как, в большинстве случаев, mysql, то > так же просто было бы закрыть. > например, как и mysql на большинстве васян-хостов, просто не слушать сеть кроме > 127.0.0.1 > а когда начинается то, где монгу заменить можно только таким же уг > - т.е, отказоустойчивые кластеры, может быть с шардингом - тут сразу > все становится очень грустно, и сразу понимаешь, что придумывали все это > незамутненные личности, уверенные что их данные никому не нужны. Знаешь  пох, я таки понял почему ты пишешь во всех подряд новостях - это потому что ты НИХРЕНА ни о чем не знаешь. Во всяком случае из текущего комментария прекрасно видно, что монгой ты не то что не пользовался - ты даже мануала в край глаза ни разу не просмотрел. Потому что если бы ты взял пару тройку часов на ознакомление - то этого хватило бы что-бы знать что связь нод в кластере монго идет с использованием ключей или x509 сертификатов. Внезапно, да? Наш похуеватый идиот. И пользователи при подключении к кластеру никаких нод НЕ ВИДЯТ! По хорошему - ноды вообще сидят глубоко за фаерволом. Пользователь подключается к маршрутизатору кластера! К маршрутизатору а не к нодам!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #85, #86

85. Сообщение от анонн (?), 12-Мрт-19, 16:49	+/–
> Знаешь  пох, я таки понял почему ты пишешь во всех подряд > новостях - это потому что ты НИХРЕНА ни о чем не знаешь. «Здесь так принято!». > я таки понял На третий день Зоркий Глаз заметил, что у сарая нет одной стены ))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

86. Сообщение от пох (?), 12-Мрт-19, 17:13	+/–
> Во всяком случае из текущего комментария прекрасно видно, что монгой ты не то что не > пользовался - ты даже мануала в край глаза ни разу не просмотрел. у нее есть мануал? Ну посмешили. У нее есть невразумительная гуановика (с неочевидным, кстати, доступом к устаревшим версиям), порезанная на странички доступного пониманию девляпсьего мозжечка размера, поэтому как только ты пытаешься разобраться в чем-то сложном - у тебя мгновенно окажется два десятка открытых табов, из которых, конечно, ты рано или поздно извлечешь нужную и полезную копипасту, но объяснения концепций - не для ее авторов. Так что копируй сразу со stackoverflow, там оно хотя бы в одном месте. > Потому что если бы ты взял пару тройку часов на ознакомление - то этого хватило бы что-бы знать > что связь нод в кластере монго идет с использованием ключей или x509 сертификатов. или идет без всяких сертификатов, как оно у всех кто ей на самом деле пользуется, а не вику почитал с пятого на десятое или учебную среду развернул на коленках, и бывает, в большинстве случаев. Собственно, для фомы неверующего, типовой случай мы тут и обсуждаем - 800000000 записей достались хорошим ребятам. > И пользователи при подключении к кластеру никаких нод НЕ ВИДЯТ! По хорошему - ноды вообще сидят > глубоко за фаерволом. Пользователь подключается к маршрутизатору кластера! вау, какие у вас глупокомысленные познания. И у вас _пользователи_ к чему-то там в монго-кластерах подключаются, да еще и между элементами кластера еще и файрволл? Ахренеть, дайте мне той же травы, хоть похихикаю.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

87. Сообщение от пох (?), 12-Мрт-19, 17:28	+/–
> security: >  authorization: enabled молодец, заявление по собственному желанию сам напишешь, или на тебя компании подать в суд, для получения компенсаций за потерянную выгоду, поскольку ты вот сейчас сломал нахрен доступ (и себе заодно, поскольку про bypass вспомнил уже потом, да и есть ли там локальный клиент или доступ к репо для его установки - не факт, так что починить уже ничего не сможешь) ? вот так оно у любителей простых решений всегда и бывает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83

88. Сообщение от пох (?), 12-Мрт-19, 17:31	+/–
> и себе смотри доступ не отруби, это типовая ошибка начинающих монговодов ;-) https://www.opennet.ru/openforum/vsluhforumID3/116773.html#83 - во, первый пришел ;-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

89. Сообщение от Анонимус2 (?), 13-Мрт-19, 22:08	+/–
>это все очень здорово в эпоху одноразовых инстансов с плавающими айпишниками, размещенных где-то хз где, "зато дешево". Вы админку Амазона хоть раз видели? По умолчанию в ней доступ ко всем сервисам закрыт и чтобы открыть монгу наружу - надо специально это сделать. Но виноваты конечно облака и контейнеры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

90. Сообщение от EgorData (ok), 15-Мрт-19, 04:17	+/–
> Без этой базы мне эта новость нафиг не нужна Тоже об этом подумал)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

91. Сообщение от Последний из могикан. (?), 05-Мрт-21, 14:44	+/–
> ну, короче, добрый совет - рассматривай ее в виде виртуалки (благо, ресурсов > нужно минимум). > И на каждое, сц-ко, _каждое_ мельчайшее изменение конфигурации - снапшот. > Потому что она имеет такое прекраснейшее свойство, эту самую конфигурацию внезапно терять > или портить, причем непонятно, почему. > Ну и добро пожаловать в XXI век - когда конфигурация делается тысячекратным > мышекликаньем, но поручить это дело неграм нельзя, потому что они не > смогут написать запрос. А если смотреть глубже то в веб все переносят.На луркморе были правы.Планшеты-терминалы и ВЭБ)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема