konto usunięte
Michał Łaszczewski:
Widziałeś stronę banku napisaną w PHP? stronki w PHP tworzą gimnazjaliści, a poważne firmy używają Javy albo dotNeta.
konto usunięte
Michał Łaszczewski:
...
Sesje się trzyma w bazie danych.
...
...
Dodatkowo w ramach trollowania:
Jak ktoś uważa że PHP jest lepsze od JavaScripta to znaczy że ma zerowe pojęcie o programowaniu. Jak w ogóle można uważać że język funkcyjno-obiektowy, zbliżony do LISPa jest gorszy od czegoś tak niezdefiniowanego, zaśmieconego i nielogicznego jak PHP.
Nie wiem jak sprawa wygląda w PHP w którym i tak piszą tylko gimnazjaliści, ale w JavieEE te problemy zostały rozwiązane wiele lat temu.
konto usunięte
Michał Wachowski:
Ty na prawdę wierzysz, że banki wybierają język na podstawie "dorosłości" i "poważności" firmy?
konto usunięte
konto usunięte
Dawid Zając:Jak ktoś zna tylko 1,2 języki to ciężko mu porównywać. Przez ostatnie 14 lat pisałem w wielu różnych językach to porównuje, aktualnie piszę w js, scali, C, C++ :P
Moim zdaniem jak ktoś się nie zna na programowaniu to właśnie porównuje języki, każdy obecnie używany ma jakieś zalety które trzymają go na rynku.
Tak piszą, strukturalnie i funkcyjnie bez walidacji i sensu, jest też grupa programistów PHP którzy piszą obiektowo...W PHP nie da się pisać funkcyjnie, przynajmniej nie dało się w starszych wersjach.
konto usunięte
konto usunięte
Michał Łaszczewski:
...
Przez ostatnie 14 lat pisałem w wielu różnych językach to porównuje
...
W PHP nie da się pisać funkcyjnie, przynajmniej nie dało się w starszych wersjach.
Odsyłam do http://pl.wikipedia.org/wiki/Programowanie_funkcyjne i języków erlang, lisp, haskell, scala, javascript
No i programowanie funkcyjne jest o poziom wyżej od obiektowego(poziom abstrakcji).
konto usunięte
Michał Łaszczewski:Albo ja za mało lat w tym siedzę, albo nie masz zielonego pojęcia o czym piszesz.
konto usunięte
konto usunięte
Dariusz Półtorak:Skończyłem studia dawno temu. Miło że przechodzisz do argumentów ad persona :)
Weźcie sobie nowy temat na ten offtop. Dopóki Michał Ł. nie skończy szkoły chyba nie ma co z jego urojeniami dyskutować.
Popracujesz i spojrzysz na bzdury które piszesz to może Ci przejdzie.Robię zlecenia i własne projekty od technikum więc na praktykę nie mogę narzekać.
A jak nie to cóż - kolejny troll ewangelista. Wpierw naucz się PHP zanim zaczniesz niektórym z nas mówić bzdury na temat tego co dzisiaj można lub nie w tym języku zrobić.PHP uczyłem się jak chodziłem do gimnazjum, i od tego czasu staram się ograniczać kontakty z nim.
Michale, pisz w Javie, C czy w czymkolwiek innym a PHP i jego elastyczność zostaw tym którzy potrafią ją wykorzystać.PHP jest mało elastyczny w porównaniu z Scalą albo JS.
PS: jak masz bloga to napisz czym się różni język dla amatorów od języka dla Łukasza i podeślij nam link.Wypowiadałem się na ten temat prowadząc prelekcje na konferencjach różnych, nie mam bloga :)
Michał Wachowski:Tyle że w w językach dynamicznie typowanych o wiele łatwiej odwalić fuszerkę która będzie działać a błędy zostaną zauważone dopiero gdy ktoś je wykorzysta. Silne typowanie w Javie jest właśnie po to żeby utrudnić tworzenie błędów i przyśpieszyć ich wykrywanie.
Ani silne typowanie, ani paradygmaty czy inne cuda wianki nie czynią języka odpornym na głupotę. Tak jak w PHP, tak w każdym innym języku da się odwalić fuszerkę.
Jedyna różnica (w twoim mniemaniu) będzie taka, że w Javie odwalisz dorosłą, profesjonalną, bardzo dobrą a w PHP gimnazjalną i amatorską.Ciężko w internecie znaleźć skrypty PHP z czytelnym kodem dobrej jakości. Java natomiast została zaprojektowana z myślą o czytelności kodu i bezpieczeństwie.
Dariusz Półtorak:Jak na razie to Ty żyjesz w własnym świecie ograniczonym do PHPów i JSów, to już drugi Twój temat w którym wynajdujesz koło od nowa, tak wiec nie pisz lepiej o życiu w własnym świecie, bo przyganiał kocioł garnkowi, poza tym źle się to czyta. Nie dorosłeś do rozważań na temat języków programowania bo liznąłeś ich niewiele, podejrzewam że nie zadałeś sobie też trudu aby poznać teorie programowania i rachunek lambda. Poza tym dziwi mnie to że dopiero teraz zaczyna do Ciebie docierać to że dla zabawy Cie prowokuje :D
Eh, mówię Panowie, zostawcie ten offtop, zatrzymajcie się przy temacie. Michał Ł. skończy szkołę, popracuje to może załapie w czym rzecz. Na dzień dzisiejszy żyje on jeszcze w swoim własnym świecie.
konto usunięte
Michał Łaszczewski:Z profilu wynika, że nie tak dawno :)
Skończyłem studia dawno temu. Miło że przechodzisz do argumentów ad persona :)
Tyle że w w językach dynamicznie typowanych o wiele łatwiej odwalić fuszerkę która będzie działać a błędy zostaną zauważone dopiero gdy ktoś je wykorzysta. Silne typowanie w Javie jest właśnie po to żeby utrudnić tworzenie błędów i przyśpieszyć ich wykrywanie.Raczej w językach kompilowalnych, jeśli już.
Nie jest ciężko znaleźć czytelny, porządny kod. Widzę go codziennie :)Jedyna różnica (w twoim mniemaniu) będzie taka, że w Javie odwalisz dorosłą, profesjonalną, bardzo dobrą a w PHP gimnazjalną i amatorską.Ciężko w internecie znaleźć skrypty PHP z czytelnym kodem dobrej jakości. Java natomiast została zaprojektowana z myślą o czytelności kodu i bezpieczeństwie.
konto usunięte
Dariusz Półtorak:Nie wiem po co tak cudujesz.
konto usunięte
Michał Wachowski:
Dariusz Półtorak:Nie wiem po co tak cudujesz.
Możesz chyba odczytać id sesji z ciasteczka więc nim operuj.
Nie chcesz operować id'ekiem z ciastka, to na podstawie fingerprinta + kilku innych unikalnych parametrów po stronie serwera wygeneruj klucz i przekaż go do klienta.
Zresztą - co byś nie kombinował to i tak zawsze jesteś podatny na przejęcie klucza.
Chcesz się uchronić - pozostaje ci SSL lub VPN.
konto usunięte
Michał Wachowski:W SSL i VPN też jest możliwe przejęcie klucza. Zawsze jest możliwy atak typu man in the middle, jedyna sytuacja w której nie jest możliwy to przekazanie sobie kluczy publicznych na pendrivach. Ale SSL z zapisaniem klucza prywatnego na komputerze użytkownika jest dość bezpieczny.
Zresztą - co byś nie kombinował to i tak zawsze jesteś podatny na przejęcie klucza.
Chcesz się uchronić - pozostaje ci SSL lub VPN.
Dariusz Półtorak:A co jeśli ktoś ma otwarte 2 okna w tej samej sesji? np. otworzy drugie za pomocą ctrl+click - wtedy będzie miał stary hash w jednym z okien. Jednocześnie jeśli ktoś jest w stanie przechwycić Twoje ciasteczko to:
Co oznacza że w momencie gdy ktoś przejmie moje ciastko, ma jakimś cudem moje IP i uda mu się otworzyć poprawnie stronę - w momencie gdy zrobię COKOLWIEK na stronie użyje stary hash i w tym momencie sesja zostanie ubita dla nas obu.
SSL swoją drogą ale zawsze dobrze jest mieć coś takiego pod ręką.
@Michał Ł. to nie personalne wycieczki tylko fakty. Dopiero co skończyłeś szkołę, obstawiam że jeszcze nie byłeś w normalnej pracy i szczerze powiedziawszy większość tego co mówisz to głupoty.Normalna praca jest dla tych którzy sami nie wiedzą co robić(to musi im ktoś powiedzieć), poza tym podatki w Polsce są za duże :) Wolę robić biznesy xD
Ja Ci dobrze mówię żebyś programował sobie w Javie czy C++ a programowanie w PHP zostaw tym którzy wiedzą jak jego elastyczność wykorzystać.No ale przecież ja nie chce programować w PHP, gdyby PHP był taki dobry i elastyczny to nie używał byś Node.JS :) Umiem pisać w PHP, napisałem w nim nawet kiedyś bota na IRC, ale to nie zmienia faktu że ten język jest paskudny i zupełnie się do niego zraziłem. Tak w ogóle to ta grupa jest o języku JavaScript a nie o PHP czy Node.JS.
konto usunięte
Michał Łaszczewski:Nawet pomimo pendrive jest możliwe przejęcie klucza, zmienia się tylko sposób jego pozyskania :)
Michał Wachowski:W SSL i VPN też jest możliwe przejęcie klucza. Zawsze jest możliwy atak typu man in the middle, jedyna sytuacja w której nie jest możliwy to przekazanie sobie kluczy publicznych na pendrivach. Ale SSL z zapisaniem klucza prywatnego na komputerze użytkownika jest dość bezpieczny.
Zresztą - co byś nie kombinował to i tak zawsze jesteś podatny na przejęcie klucza.
Chcesz się uchronić - pozostaje ci SSL lub VPN.
konto usunięte
Michał Łaszczewski:Dariusz Półtorak:A co jeśli ktoś ma otwarte 2 okna w tej samej sesji? np. otworzy drugie za pomocą ctrl+click - wtedy będzie miał stary hash w jednym z okien. Jednocześnie jeśli ktoś jest w stanie przechwycić Twoje ciasteczko to:
Co oznacza że w momencie gdy ktoś przejmie moje ciastko, ma jakimś cudem moje IP i uda mu się otworzyć poprawnie stronę - w momencie gdy zrobię COKOLWIEK na stronie użyje stary hash i w tym momencie sesja zostanie ubita dla nas obu.
SSL swoją drogą ale zawsze dobrze jest mieć coś takiego pod ręką.
1. Stoi między Tobą a serwerem - żadne zabezpieczenie Cie nie uratuje.
2. Zrobił XSS - jak wyżej
3. Ukradł Ci pliki z komputera = ma do niego dostęp
Tak więc to zabezpieczenie jest daremnym łataniem dziur, aby troszkę urozmaicić hakerowi zabawę.
@Michał Ł. to nie personalne wycieczki tylko fakty. Dopiero co skończyłeś szkołę, obstawiam że jeszcze nie byłeś w normalnej pracy i szczerze powiedziawszy większość tego co mówisz to głupoty.Normalna praca jest dla tych którzy sami nie wiedzą co robić(to musi im ktoś powiedzieć), poza tym podatki w Polsce są za duże :) Wolę robić biznesy xD
Ja Ci dobrze mówię żebyś programował sobie w Javie czy C++ a programowanie w PHP zostaw tym którzy wiedzą jak jego elastyczność wykorzystać.No ale przecież ja nie chce programować w PHP, gdyby PHP był taki dobry i elastyczny to nie używał byś Node.JS :) Umiem pisać w PHP, napisałem w nim nawet kiedyś bota na IRC, ale to nie zmienia faktu że ten język jest paskudny i zupełnie się do niego zraziłem. Tak w ogóle to ta grupa jest o języku JavaScript a nie o PHP czy Node.JS.
konto usunięte
Michał Łaszczewski:
Normalna praca jest dla tych którzy sami nie wiedzą co robić(to musi im ktoś powiedzieć), poza tym podatki w Polsce są za duże :) Wolę robić biznesy xD
konto usunięte
Dariusz Półtorak:Jednak napisałeś wcześniej że Twój system ma chronić również przed skutkami XSS, wiec wykazałem że tego nie robi. Orientuje się w temacie, mam za sobą kilka udanych ataków XSS i sql-injection. Podałem przykłady w których Twój system jest zupełnie bezbronny, a Ty i tak upierasz się że jest potrzebny. Tak naprawdę Twoje rozwiązanie nic nie wnosi a komplikuje całą sprawę, jeśli jest inaczej to pokaż mi przypadek naruszenia uprawnień w którym Twoje rozwiązanie się obroni, a zwykły sessionID nie.
XSS to nie moja działka bo jak nawet wspomniałeś session hijacking to nie jedyna rzecz jaką ktoś może zrobić. Dla mnie jako osoby piszącej rozwiązanie związane z obsługą sesji ważne jest by session hijacking nie był skuteczny bo sam XSS może wiele.
Michał Wachowski:Jako że są to 2 zupełnie różne architektury to możemy je porównać ze sobą. Z testów wynika że Node.JS jest szybszy i zużywa mniej pamięci od PHP. W ostatnim czasie obserwuje się coraz częstsze odchodzenie od synchronicznego IO na rzecz IO asynchronicznego i to nie tylko w Node.JS, takie rozwiązania są powszechnie stosowane również w innych językach, wielokrotnie widziałem wykorzystanie asynchronicznego IO w Javie.
Jak możesz przyrównywać node.js do php? Przecież to dwie różne architektury stworzone do różnych celów.
konto usunięte
Michał Łaszczewski:
Dariusz Półtorak:Jednak napisałeś wcześniej że Twój system ma chronić również przed skutkami XSS, wiec wykazałem że tego nie robi. Orientuje się w temacie, mam za sobą kilka udanych ataków XSS i sql-injection. Podałem przykłady w których Twój system jest zupełnie bezbronny, a Ty i tak upierasz się że jest potrzebny. Tak naprawdę Twoje rozwiązanie nic nie wnosi a komplikuje całą sprawę, jeśli jest inaczej to pokaż mi przypadek naruszenia uprawnień w którym Twoje rozwiązanie się obroni, a zwykły sessionID nie.
XSS to nie moja działka bo jak nawet wspomniałeś session hijacking to nie jedyna rzecz jaką ktoś może zrobić. Dla mnie jako osoby piszącej rozwiązanie związane z obsługą sesji ważne jest by session hijacking nie był skuteczny bo sam XSS może wiele.
Tyle w temacie.
nie strzęp sobie na niego języka bo to nie ma sensu. Chłopak żyje w swoim pięknym świecie. Uważaj bo jeszcze zbijesz mu szklany klosz. Michał Ł. sam przyznał że PHP nie zna (zresztą udowadnia to z każdą głupią wypowiedzią) co mimo wszystko jakoś nie przeszkadza mu wypowiadać się na ten temat. Jak dziecko mówiące o statkach kosmicznych.Michał Wachowski:
konto usunięte
Dariusz Półtorak:No ok, ale w przypadku konkretnego ataku XSS Twój mechanizm niewiele zmienia, bo jak mam dostęp do javascriptu to mogę sobie robić prawie dowolne zapytania http do serwera które dalej będą wewnątrz Twojej zabezpieczonej sesji. Nie potrzebuje Twoich ciasteczek żeby przejąć sesje i atakować z innego IP jeśli mogę wykonywać zapytania które będą miały i tak zaufany sessionID i hash i adres IP ofiary. Nie wiem dlaczego tak bardzo starasz się nie dostrzegać tego problemu.
Także mechanizm jakoś się broni. Reszta strony - to już zmartwienie programisty. Czy teraz wytłumaczyłem to na tyle prosto byś był to w stanie zrozumieć ? System nie ma chronić przed XSS. Ma bronić przed XSS wymierzonym bezpośrednio w sesje i to robi na kilka sposobów. Pierwszym to ciastka httpOnly niewidoczne przez JS. Druga metoda to porównanie IP i user-agenta (opcjonalnie). Trzecia metoda to hash który ubije sesje w momencie jak więcej jak 1 osoba będzie korzystać z danej sesji.
Mechanizm działa i jest przeźroczysty.
Następna dyskusja:
пропозиції роботи
