Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Знакомый, близкий к РЖД, назвал статью пиздежом. Х его з кому верить.

> побурлит, чую, знатно

[устанавливает вентилятор, достает лопату] :)

- Директор! У нас дыра в безопасности!
- Ну хоть что-то у вас в безопасности... (с)

> Всё, что написано в статье, можно проверить самостоятельно, nmap доступен всем, скачивай да пользуйся.

И все знают, что будет дальше - указавшего на дыру объяват виноватником и террористом, взломавшим стратегическую сеть и подвергшему жизни сотен тысяч людей угрозе.
Не чиновников РЖД же наказывать. Они же ничего не делали!!!

> Всё равно обывателю на них не попасть.

Зато можно понять планировку сети и определить что именно и где надо искать, а не перебирать всё узлы подряд.

> > Всё, что написано в статье, можно проверить самостоятельно, nmap доступен всем, скачивай да пользуйся.
>
> И все знают, что будет дальше - указавшего на дыру объяват виноватником и террористом, взломавшим стратегическую сеть и подвергшему жизни сотен тысяч людей угрозе.

Я где-то что-то писАл о том, что проверив и подтвердив указанные в статье сведения, надо срочно бежать куда-то и кому-то рассказывать о том, что англичане ружья кирпичОм не чистят? Был бы жив Лаврентий Павлович и НКВД под его командованием, я бы позвонил дежурному в приёмную на Лубянке, но НКВД нет, а Лаврентий Павлович давно мёртв и потому уже глубоко похуй.

> бывшего директора ИТ, а ныне зам. директора РЖД Чаркина

С этим Чаркиным всё понятно если исходить с самого начала его биографии.

В 1999 с отличием окончил Финансовую академию при Правительстве РФ с присвоением квалификации экономист по специальности «Финансы и кредит».
Свою карьеру Евгений Чаркин начал с работы финансовым контролером в крупной международной логистической компании «ФМ Ложистик» в 1998 году.

Причём тут IT? Финансист и айтишник это то-же самое если балерун Цискаридзе будет назначен Главврачом "Коммунарки", главным ответственным за лечение ковидлы!

Картинка, впрочем идеальная к посту приложена:

[censored]

Вся эта полуграмотная ебанина, экономисты и финансисты в нищей, блядь, стране где экономика в жопе а финансы сосредоточены в узком кругу заинтересованных лиц - все эти коучеры, бизнес-аналитики и прочие, просто выброшенные нахуй деньги которые были потрачены на их образование и на их зарплаты!

Я кстати знаю таких "чаркиных". Сколько раз на важных переговорах по проекту приходилось от стыда сгорать, когда такой вот "чаркин" называл место на диске - "памятью"!

> ХЗ, но побурлит, чую, знатно :)

Там хуя, отвечающего за айти-безопасность надысь замом назначили. То есть, ему похуй.

> В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.

Это относится к другой статье, про Сапсан.

> Там хуя, отвечающего за айти-безопасность надысь замом назначили. То есть, ему похуй.

Ага, дятел стал пеликаном и покинул колонию!!!

> Тогда тебя не должен волновать вопрос о том, кому верить.

Что меня должно волновать - решать исключительно мне. Статья знатно хайпанула, между тем есть и другое мнение среди специалистов. Я его озвучил.

> > Т.е. близкий товарищ не проверяя части названий серверов, адресов подсетей, названий используемых программных продукто
>
> Какие там указаны названия серверов и адреса подсетей? Скриншотов с "внутренних сервисов" мог наделать обиженный работник. Скринов в микротике с серыми адресами я тебе сам могу наклепать мульен.

Для этого автор статьи и оставил свои контакты, представителям РЖД он, наверняка, предоставит полный аудит с рекомендациями по исправлению за отдельный прайс. А выложить краешек всего этого в интернет - это подстегнуть клиента, чтобы у него жопа горела. ))

> > когда такой вот "чаркин" называл место на диске - "памятью"!
>
> А у тебя точно диск? Может квадрат?

С SSD-дисками на микросхемах лучше обобщить до прямоугольника (квадрат - это его частный случай ;).

> А у тебя точно диск? Может квадрат?

Тогда уж "лист".

> Статья знатно хайпанула, между тем есть и другое мнение среди специалистов.

Любое мнение немедленно идёт лесом после предъявления опровергающих его фактов. Вместо того, чтобы ориентироваться на чьё-то мнение, следует взять в руки nmap и отсканировать все диапазоны адресов, зарегистрированных на ОАО РЖД. И если там найдется хотя бы один торчащий наружу прокси на 8080/tcp, к изложенным в статье фактам следует отнестись с доверием.

> Нельзя

Переименовать! Ну, что, съел?!

> Вместо того, чтобы ориентироваться на чьё-то мнение, следует взять в руки nmap и отсканировать все диапазоны адресов, зарегистрированных на ОАО РЖД.

А я вам, товарищ майор - еще раз говорю, что заниматься противоправными деяниями не планирую.КС

Этот порт не обязательно прокси. нужны еще тесты будут.

> Ты понимаешь уровень руководства безопасностью?

Сказать - не значит сделать. Сделать - не значит говорить об этом налево и направо.

> он не скрывает детали, а частично выкладывает подтверждения

[censored]

> А я вам, товарищ майор - еще раз говорю, что заниматься противоправными деяниями не планирую.КС

А я тебе ещё раз повторяю, что если ты не собираешься этого делать, нехуй мять глазами чужие сиськи мнения, сравнивая их размер и форму.

> Этот порт не обязательно прокси. нужны еще тесты будут.

Ага, Пелевин про белошвейку в публичном доме. Фразу «прокси, торчащий наружу на 8080/tcp» следует понимать как «отсканировали, нашли открытый порт 8080/tcp, открыли соединение, покидали в него CONNECT и GET чего-нибудь, получили осмысленный ответ, как от HTTP-прокси — значит, это прокси.

> > квадрат - это его частный случай ;).
>
> А можно и наеборот сказать

Сказать можно что угодно. Но вот это наеборот - будет неверным.

Проникновения небыло?

#31

Вообще, у меня ноль сомнений. На Хабре далеко не малолетние скрипткиддисы сидят из журнала "Ксакеп". И писать туда лажу вряд ли кто сподобился бы...
Я выше уже излил гнев на таких вот "чаркиных" в руководстве, которые нихуя не понимая ни в программировании ни в безопасности ни в элементарном понимании эксплойтинга и основ безопасности в сфере IT - полагаются только на своих работников, сисадминов, айтишников из которых добрая половина - дети РЖД-шных бухгалтеров и прочих клерков (из серии "Мария Ивановна просила сына устроить. Колледж закончил. Хороший мальчик")...
Спецы настоящие - стоят дорого. Возможно они в РЖД есть, но вряд-ли жадная контора щедро будет оплачивать услуги другим специалистам их уровня. Ни на какое шубохранилище тогда для ТОП-ов денег не хватит!

Возняка помню, Митника не помню. Чо за хуй?