Fórum Pirátské strany

Dobrý den,
v rámci fóra probíhá několik vláken ohledně Lukáše Nového a jeho působení v TO. To je široký pojem. Zároveň probíhají pro MO důležitá referenda.

Ačkoliv toto nebylo nikde explicitně řečeno, Lukáš Nový má práva na veškeré akce v rámci databáze fora (create, update, delete) a vhzledem k tomu, že nahazuje indexy, předpokládám, že má buď administrátorská práva nebo nějakého silného power usera.

Souhlasím se Standou, který mi věc potvrdil cituji

Někdo kdo má přístup k databázi bude vždycky existovat, i když to nebude Krtek. Sice se to loguje, ale uhlídat se to nedá.

Přesto jsem přesvědčen, že trvalé nastavení takových práv není nutné.

Věc:
Navrhuji přidělovat práva k databázi osobám v rámci TO pouze na dobu určitou, a to po dobu nezbytně nutnou a o tomto vždý vést záznam.
Dále prosím o revizi všech uživaelů a přidělených rolí v rámci přístupu k databázím.

Odůvodnění:
V tuto chvíli má neurčitý počet lidí (prosím o informaci, kdo to je) práva a přístupy k databázi fóra. Paralelně probíhá několik "vyšetřování" ohledně manipulace s hlasováním, které mohly proběhnout na úrovni databáze. Nic se neloguje. Informace o změnách nejsou. V rámci "opravy" Lukáš Nový jednoduše promazal tabulku na duplicity. Pokud by o tomto neinformoval, nikdo nic neví. Jelikož nemám v LN důvěru a probíhají poměrně velká rozhodnutí ohledně investic v MO, a LN si tentokráte vybral za cíl své trolli šikany zrovna mě a mé krokym nepřeju si, aby nevolený člověk, který se netěší důvěře vedení MO, měl jen hypotetickou možnost výsledky hlasování v průběhu či zpětně manipulovat, navíc v momentně, kdy neexistuje žádný způsob, jak toto zjistit. To, že si může všude hrabat v jiných věcěch, jak chce, nyní neřeším.

Mnou navrhovaný přístup i řešení je navíc v zájmu kohokoliv, kdo tato práva má. Zpětné obvinění z možné manipulace je pak možné lehce vyvrátit dle tabulky, která by jasně řekla: "smolík v té době jsem neměl ani read"

Řešení:
Není důvod, aby ve standardním provozu měl někdo jiný kromě voleného Šéfa TO práva k databázi. Nagrantování práv je otázka jednoho příkazu, stejně tak jejich odebrání. Pokud je tedy pro chod stranického stále nutné, aby měl kdokoliv další tato práva, bylo by vhodné aby mu byla přidělována právě při řešení nějakého problému a právě na tu dobu, nikoliv déle. O tom by měl být záznam.

Kecy prdy bedary.

Ivan.Bartos píše:Paralelně probíhá několik "vyšetřování" ohledně manipulace s hlasováním, které mohly proběhnout na úrovni databáze.

Zadne takove setreni neprobiha.

Ivan.Bartos píše:Nic se neloguje

Neni pravda.

Ivan.Bartos píše:Informace o změnách nejsou.

Neni pravda.

Ivan.Bartos píše:V rámci "opravy" Lukáš Nový jednoduše promazal tabulku na duplicity.

Neni pravda.

Ivan.Bartos píše:Pokud by o tomto neinformoval, nikdo nic neví.

Neni pravda.

Ivan.Bartos píše:Jelikož nemám v LN důvěru a probíhají poměrně velká rozhodnutí ohledně investic v MO, a LN si tentokráte vybral za cíl své trolli šikany zrovna mě a mé krokym nepřeju si, aby nevolený člověk, který se netěší důvěře vedení MO, měl jen hypotetickou možnost výsledky hlasování v průběhu či zpětně manipulovat/quote]
Tvoje paranoia neni racionalni duvod.To uz zkousel Adam a vedouci TO to odmitnul. Navic nerozumim jak by kdokoliv s pristupem k databazi mohl ovlivnovat rozhodnuti ohledne investic v MO.

Ivan.Bartos píše:kdy neexistuje žádný způsob, jak toto zjistit.

Neni pravda.

Ivan.Bartos píše:Není důvod, aby ve standardním provozu měl někdo jiný kromě voleného Šéfa TO práva k databázi. Nagrantování práv je otázka jednoho příkazu, stejně tak jejich odebrání. Pokud je tedy pro chod stranického stále nutné, aby měl kdokoliv další tato práva, bylo by vhodné aby mu byla přidělována právě při řešení nějakého problému a právě na tu dobu, nikoliv déle. O tom by měl být záznam.

Toto je evidentni nesmysl a single-point-of failure.

Spravne reseni, ktere zabrani potencialni manipulaci ma na stole KK a AO, verim, ze jiz brzy bude uvedeno v chod.

A do té doby bych prosil omezení práv lidí k přístupům do databáze na míru nezbytně nutnou.
Prosím o doložení logu aktivity, kterou LN prováděl v souvislosti s "vyšetřováním divného počtu halsů" 15 hlasů od uživatele 0 u akce Soukromé věci na doméně Piráti.cz z poslední doby.
Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?
V historických řešení manipulace s emaily opět chyběly důkazy, a to z jednoduchého důvodu Nic relevantního se nelogovalo.

Ivan.Bartos píše:A do té doby bych prosil omezení práv lidí k přístupům do databáze na míru nezbytně nutnou.

Na to nemas narok.

Ivan.Bartos píše:Prosím o doložení logu aktivity, kterou LN prováděl v souvislosti s "vyšetřováním divného počtu halsů" 15 hlasů od uživatele 0 u akce Soukromé věci na doméně Piráti.cz z poslední doby.

Na to nemas narok.

Ivan.Bartos píše:Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?

Ukaz.

Ivan.Bartos píše:V historických řešení manipulace s emaily opět chyběly důkazy, a to z jednoduchého důvodu Nic relevantního se nelogovalo.

Logy byly k dispozici, nikdo si o ne nepozadal.

Ivan.Bartos píše: Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?

Sám jsi mě citoval, když jsem napsal, že se to loguje

Hele, ve chvíli, kdy má uživatel roota na tom stroji, tak nějaké omezení na úrovni mysql postrádá smysl. Roota na stroji mají (v pořadí podle doby trvání) Krtek, Ondra Profant, já a Zdeněk Kubala.

Ivan.Bartos píše:Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?

Ivan.Bartos píše: Souhlasím se Standou, který mi věc potvrdil cituji
Někdo kdo má přístup k databázi bude vždycky existovat, i když to nebude Krtek. Sice se to loguje, ale uhlídat se to nedá.

Si protirecis i v ramci jednoho prispevku. Ty, ze delas architekta databazi? A ma to aspon 0NF?

Loguje se přístup k databázi, kam můžeš kdykoliv. Tento log tedy postrádá smysl v jakémkoliv dokazování. Ano XY tam měl přístup, přihlásil se, ale nic neudělal? Já chci vidět, jak jsou v databázi někde zaznamenány například kroky, které Lukáš dělal teřba v rámci ověřování chybného započtení hlasů ve výše zmíněné kauze.
Pokud si tady hrajeme na role a práva na foru resp. kdo kam smí a co může vidět, rozhodně nejsem spokojen s tím, že si v tom v backendu může LN listovat dle libosti a na dobré slovo.
Stále to neřeší problém, který jsem adresoval.
Momentálně nedělám systémové architekta, ale to je irelevantní k mnou adresovanému problému.

Stando muzu to tady zamknout?

Ivan.Bartos píše:Loguje se přístup k databázi, kam můžeš kdykoliv. Tento log tedy postrádá smysl v jakémkoliv dokazování. Ano XY tam měl přístup, přihlásil se, ale nic neudělal? Já chci vidět, jak jsou v databázi někde zaznamenány například kroky, které Lukáš dělal teřba v rámci ověřování chybného započtení hlasů ve výše zmíněné kauze.
Pokud si tady hrajeme na role a práva na foru resp. kdo kam smí a co může vidět, rozhodně nejsem spokojen s tím, že si v tom v backendu může LN listovat dle libosti a na dobré slovo.
Stále to neřeší problém, který jsem adresoval.
Momentálně nedělám systémové architekta, ale to je irelevantní k mnou adresovanému problému.

Kroky, které provedl LN, jsou například v souboru .mysql_history. Ale není problém tento soubor smazat, jako se patrně to stalo před mým nástupem do TO. Kromě toho se dělají např. binární logy, ale to fakt není zábabné čtení.

Podání beru na vědomí, ale navržené řešení není v současné době technicky proveditelné tak, aby mělo zamýšlený efekt.

Cesta least privileges je spravny model, ale ma svoje vyjimky. Nekdo musi mit roota nemuze to byt jenom jeden clovek. Roota nelze ten tak lehce omezovat, jelikoz nic silnejsi jak root proste neni. Lze uvazovat systemy jako RHEL+selinux+MLS, ktere dokazi urcite moznosti roota omezit, troufam si tvrdit, ze nastavit to ve strane dokazu spravne zase jenom ja. (pracovni zkusenosti s bezpecnostnim testovanim MLS primo u vyrobce, certifikace RHSA a RHCE). Nebo se da jit cestou dockeru, kde proste konkretni root muze ovlivnit jenom jednu jedinou aplikaci. Aby to ale fungovalo, musi tam byt opet nejaky centralni ridici system starajici se o provisioning, deployment a routing (na 5. a 6. vrstve) a ten musi mit roota. Opet pochybuji, ze by tu s dockerem nekdo mel takove zkusenosti (kompletni code-review, implementace instrumentacnich bodu a intergrace s orchestracnimi sluzebami pro project zennet.sc).

Roota maji proverene a duverihodne osoby, za coz me vedouci TO v tuto chvili povazuje. Za celou dobu meho pusobi v TO tez nemel zadny organ proti memu pusobeni v TO namitky. Dokonce ani RK jiz byl Analni Speleolog clenem nepovazovala za vhodne ci nutne jakkoliv moje opravneni menit. Tez proti me neni vedeno zadne rizeni v podobne ohledu a dokonce proti me v tuto chvili neni ani zadne relevantni podani u KK. Takze to, co tady predvadis se zaklada na tvych bludech, ktere se rozchazi z realitou. Prestan, jenom se strapnujes.