Žádost - doporučení - práva k databázi nejen Lukáše Nového

Technický odbor působí v oblasti správy, údržby a vývoje technických systémů strany a jejích technických zařízení a poskytuje servis ostatním orgánům strany.

Moderátor: Odbor - technicky

Pravidla fóra
  • Sem vkládejte připomínky k činnosti technického odboru. Ke každému podnětu založte nové téma.
  • Na dotazy a podněty odpovídají dobrovolníci, buďte prosím ohleduplní. Svá podání pište slušně a požadavky formulujte dostatečně určitě.
  • Místo odkazů do jiných fór citujte celé texty, protože lidé mají zobrazování některých fór vypnuté.
  • V podatelně se nediskutuje a jakmile bylo podání vyřešeno, téma se zamyká.
Další informace můžete nalézt na následujících místech:
Ivan.Bartos
Předseda strany
Příspěvky: 10138
Registrován: 11 čer 2009, 09:44
Profese: Senior Oracle Database Engineer / Functi
Bydliště: U Botiče 1390/3, Praha 4 - Michle, 14000
Dal poděkování: 4177 poděkování
Dostal poděkování: 17096 poděkování
Kontaktovat uživatele:

Žádost - doporučení - práva k databázi nejen Lukáše Nového

Příspěvek od Ivan.Bartos »

Dobrý den,
v rámci fóra probíhá několik vláken ohledně Lukáše Nového a jeho působení v TO. To je široký pojem. Zároveň probíhají pro MO důležitá referenda.

Ačkoliv toto nebylo nikde explicitně řečeno, Lukáš Nový má práva na veškeré akce v rámci databáze fora (create, update, delete) a vhzledem k tomu, že nahazuje indexy, předpokládám, že má buď administrátorská práva nebo nějakého silného power usera.

Souhlasím se Standou, který mi věc potvrdil cituji
Někdo kdo má přístup k databázi bude vždycky existovat, i když to nebude Krtek. Sice se to loguje, ale uhlídat se to nedá.
Přesto jsem přesvědčen, že trvalé nastavení takových práv není nutné.

Věc:
Navrhuji přidělovat práva k databázi osobám v rámci TO pouze na dobu určitou, a to po dobu nezbytně nutnou a o tomto vždý vést záznam.
Dále prosím o revizi všech uživaelů a přidělených rolí v rámci přístupu k databázím.

Odůvodnění:
V tuto chvíli má neurčitý počet lidí (prosím o informaci, kdo to je) práva a přístupy k databázi fóra. Paralelně probíhá několik "vyšetřování" ohledně manipulace s hlasováním, které mohly proběhnout na úrovni databáze. Nic se neloguje. Informace o změnách nejsou. V rámci "opravy" Lukáš Nový jednoduše promazal tabulku na duplicity. Pokud by o tomto neinformoval, nikdo nic neví. Jelikož nemám v LN důvěru a probíhají poměrně velká rozhodnutí ohledně investic v MO, a LN si tentokráte vybral za cíl své trolli šikany zrovna mě a mé krokym nepřeju si, aby nevolený člověk, který se netěší důvěře vedení MO, měl jen hypotetickou možnost výsledky hlasování v průběhu či zpětně manipulovat, navíc v momentně, kdy neexistuje žádný způsob, jak toto zjistit. To, že si může všude hrabat v jiných věcěch, jak chce, nyní neřeším.

Mnou navrhovaný přístup i řešení je navíc v zájmu kohokoliv, kdo tato práva má. Zpětné obvinění z možné manipulace je pak možné lehce vyvrátit dle tabulky, která by jasně řekla: "smolík v té době jsem neměl ani read"

Řešení:
Není důvod, aby ve standardním provozu měl někdo jiný kromě voleného Šéfa TO práva k databázi. Nagrantování práv je otázka jednoho příkazu, stejně tak jejich odebrání. Pokud je tedy pro chod stranického stále nutné, aby měl kdokoliv další tato práva, bylo by vhodné aby mu byla přidělována právě při řešení nějakého problému a právě na tu dobu, nikoliv déle. O tom by měl být záznam.
Tito uživatelé poděkovali autorovi Ivan.Bartos za příspěvky (celkem 3):
Petr.Bajgar, Jindrich.Bartek, Petr.Vileta
předseda Pirátů
ivan.bartos@pirati.cz
Uživatelský avatar
Lukas.Novy
Příspěvky: 21224
Registrován: 02 črc 2009, 22:45
Profese: specialista pocitacove bezpecnosti
Bydliště: Praha, V Klaudu 42
Dal poděkování: 2361 poděkování
Dostal poděkování: 11863 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Lukas.Novy »

Kecy prdy bedary.
Ivan.Bartos píše:Paralelně probíhá několik "vyšetřování" ohledně manipulace s hlasováním, které mohly proběhnout na úrovni databáze.
Zadne takove setreni neprobiha.
Ivan.Bartos píše:Nic se neloguje
Neni pravda.
Ivan.Bartos píše:Informace o změnách nejsou.
Neni pravda.
Ivan.Bartos píše:V rámci "opravy" Lukáš Nový jednoduše promazal tabulku na duplicity.
Neni pravda.
Ivan.Bartos píše:Pokud by o tomto neinformoval, nikdo nic neví.
Neni pravda.
Ivan.Bartos píše:Jelikož nemám v LN důvěru a probíhají poměrně velká rozhodnutí ohledně investic v MO, a LN si tentokráte vybral za cíl své trolli šikany zrovna mě a mé krokym nepřeju si, aby nevolený člověk, který se netěší důvěře vedení MO, měl jen hypotetickou možnost výsledky hlasování v průběhu či zpětně manipulovat/quote]
Tvoje paranoia neni racionalni duvod.To uz zkousel Adam a vedouci TO to odmitnul. Navic nerozumim jak by kdokoliv s pristupem k databazi mohl ovlivnovat rozhodnuti ohledne investic v MO.
Ivan.Bartos píše:kdy neexistuje žádný způsob, jak toto zjistit.
Neni pravda.
Ivan.Bartos píše:Není důvod, aby ve standardním provozu měl někdo jiný kromě voleného Šéfa TO práva k databázi. Nagrantování práv je otázka jednoho příkazu, stejně tak jejich odebrání. Pokud je tedy pro chod stranického stále nutné, aby měl kdokoliv další tato práva, bylo by vhodné aby mu byla přidělována právě při řešení nějakého problému a právě na tu dobu, nikoliv déle. O tom by měl být záznam.
Toto je evidentni nesmysl a single-point-of failure.

Spravne reseni, ktere zabrani potencialni manipulaci ma na stole KK a AO, verim, ze jiz brzy bude uvedeno v chod.
pani nováková povídala, že u vás na balkóně
sou furt ňáký kluci, kouřej a smějou se.
| ‒ | – | — | ― | … | „ | “ | ‚ | ‘ | » | « | ½ | ¼ | ¾ | × | ‰ | ® | © | ™ | Fotku Stierlitze jako avatara mi zakazali, toz sem nahodil catvatara.
Ivan.Bartos
Předseda strany
Příspěvky: 10138
Registrován: 11 čer 2009, 09:44
Profese: Senior Oracle Database Engineer / Functi
Bydliště: U Botiče 1390/3, Praha 4 - Michle, 14000
Dal poděkování: 4177 poděkování
Dostal poděkování: 17096 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Ivan.Bartos »

A do té doby bych prosil omezení práv lidí k přístupům do databáze na míru nezbytně nutnou.
Prosím o doložení logu aktivity, kterou LN prováděl v souvislosti s "vyšetřováním divného počtu halsů" 15 hlasů od uživatele 0 u akce Soukromé věci na doméně Piráti.cz z poslední doby.
Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?
V historických řešení manipulace s emaily opět chyběly důkazy, a to z jednoduchého důvodu Nic relevantního se nelogovalo.
Tito uživatelé poděkovali autorovi Ivan.Bartos za příspěvek:
Petr.Bajgar
předseda Pirátů
ivan.bartos@pirati.cz
Uživatelský avatar
Lukas.Novy
Příspěvky: 21224
Registrován: 02 črc 2009, 22:45
Profese: specialista pocitacove bezpecnosti
Bydliště: Praha, V Klaudu 42
Dal poděkování: 2361 poděkování
Dostal poděkování: 11863 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Lukas.Novy »

Ivan.Bartos píše:A do té doby bych prosil omezení práv lidí k přístupům do databáze na míru nezbytně nutnou.
Na to nemas narok.
Ivan.Bartos píše:Prosím o doložení logu aktivity, kterou LN prováděl v souvislosti s "vyšetřováním divného počtu halsů" 15 hlasů od uživatele 0 u akce Soukromé věci na doméně Piráti.cz z poslední doby.
Na to nemas narok.
Ivan.Bartos píše:Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?
Ukaz.
Ivan.Bartos píše:V historických řešení manipulace s emaily opět chyběly důkazy, a to z jednoduchého důvodu Nic relevantního se nelogovalo.
Logy byly k dispozici, nikdo si o ne nepozadal.
pani nováková povídala, že u vás na balkóně
sou furt ňáký kluci, kouřej a smějou se.
| ‒ | – | — | ― | … | „ | “ | ‚ | ‘ | » | « | ½ | ¼ | ¾ | × | ‰ | ® | © | ™ | Fotku Stierlitze jako avatara mi zakazali, toz sem nahodil catvatara.
Stanislav.Stipl
Člen KS Královehradecký kraj
Příspěvky: 2067
Registrován: 04 úno 2012, 23:32
Profese: programátor
Dal poděkování: 1575 poděkování
Dostal poděkování: 3193 poděkování

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Stanislav.Stipl »

Ivan.Bartos píše: Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?
Sám jsi mě citoval, když jsem napsal, že se to loguje :-)

Hele, ve chvíli, kdy má uživatel roota na tom stroji, tak nějaké omezení na úrovni mysql postrádá smysl. Roota na stroji mají (v pořadí podle doby trvání) Krtek, Ondra Profant, já a Zdeněk Kubala.
Tito uživatelé poděkovali autorovi Stanislav.Stipl za příspěvky (celkem 3):
Lukas.Novy, Petr.Bajgar, Robert.Magni

test

Uživatelský avatar
Lukas.Novy
Příspěvky: 21224
Registrován: 02 črc 2009, 22:45
Profese: specialista pocitacove bezpecnosti
Bydliště: Praha, V Klaudu 42
Dal poděkování: 2361 poděkování
Dostal poděkování: 11863 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Lukas.Novy »

Ivan.Bartos píše:Informaci o to, že se věci nelogují a aktivity nelze dohledat mám od S.Štipla, vedoucího TO. Lže tedy?
Ivan.Bartos píše: Souhlasím se Standou, který mi věc potvrdil cituji
Někdo kdo má přístup k databázi bude vždycky existovat, i když to nebude Krtek. Sice se to loguje, ale uhlídat se to nedá.
Si protirecis i v ramci jednoho prispevku. Ty, ze delas architekta databazi? A ma to aspon 0NF?
Tito uživatelé poděkovali autorovi Lukas.Novy za příspěvek:
Ivan.Bartos
pani nováková povídala, že u vás na balkóně
sou furt ňáký kluci, kouřej a smějou se.
| ‒ | – | — | ― | … | „ | “ | ‚ | ‘ | » | « | ½ | ¼ | ¾ | × | ‰ | ® | © | ™ | Fotku Stierlitze jako avatara mi zakazali, toz sem nahodil catvatara.
Ivan.Bartos
Předseda strany
Příspěvky: 10138
Registrován: 11 čer 2009, 09:44
Profese: Senior Oracle Database Engineer / Functi
Bydliště: U Botiče 1390/3, Praha 4 - Michle, 14000
Dal poděkování: 4177 poděkování
Dostal poděkování: 17096 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Ivan.Bartos »

Loguje se přístup k databázi, kam můžeš kdykoliv. Tento log tedy postrádá smysl v jakémkoliv dokazování. Ano XY tam měl přístup, přihlásil se, ale nic neudělal? Já chci vidět, jak jsou v databázi někde zaznamenány například kroky, které Lukáš dělal teřba v rámci ověřování chybného započtení hlasů ve výše zmíněné kauze.
Pokud si tady hrajeme na role a práva na foru resp. kdo kam smí a co může vidět, rozhodně nejsem spokojen s tím, že si v tom v backendu může LN listovat dle libosti a na dobré slovo.
Stále to neřeší problém, který jsem adresoval.
Momentálně nedělám systémové architekta, ale to je irelevantní k mnou adresovanému problému.
Tito uživatelé poděkovali autorovi Ivan.Bartos za příspěvek:
Petr.Bajgar
předseda Pirátů
ivan.bartos@pirati.cz
Uživatelský avatar
Lukas.Novy
Příspěvky: 21224
Registrován: 02 črc 2009, 22:45
Profese: specialista pocitacove bezpecnosti
Bydliště: Praha, V Klaudu 42
Dal poděkování: 2361 poděkování
Dostal poděkování: 11863 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Lukas.Novy »

Stando muzu to tady zamknout?
pani nováková povídala, že u vás na balkóně
sou furt ňáký kluci, kouřej a smějou se.
| ‒ | – | — | ― | … | „ | “ | ‚ | ‘ | » | « | ½ | ¼ | ¾ | × | ‰ | ® | © | ™ | Fotku Stierlitze jako avatara mi zakazali, toz sem nahodil catvatara.
Stanislav.Stipl
Člen KS Královehradecký kraj
Příspěvky: 2067
Registrován: 04 úno 2012, 23:32
Profese: programátor
Dal poděkování: 1575 poděkování
Dostal poděkování: 3193 poděkování

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Stanislav.Stipl »

Ivan.Bartos píše:Loguje se přístup k databázi, kam můžeš kdykoliv. Tento log tedy postrádá smysl v jakémkoliv dokazování. Ano XY tam měl přístup, přihlásil se, ale nic neudělal? Já chci vidět, jak jsou v databázi někde zaznamenány například kroky, které Lukáš dělal teřba v rámci ověřování chybného započtení hlasů ve výše zmíněné kauze.
Pokud si tady hrajeme na role a práva na foru resp. kdo kam smí a co může vidět, rozhodně nejsem spokojen s tím, že si v tom v backendu může LN listovat dle libosti a na dobré slovo.
Stále to neřeší problém, který jsem adresoval.
Momentálně nedělám systémové architekta, ale to je irelevantní k mnou adresovanému problému.
Kroky, které provedl LN, jsou například v souboru .mysql_history. Ale není problém tento soubor smazat, jako se patrně to stalo před mým nástupem do TO. Kromě toho se dělají např. binární logy, ale to fakt není zábabné čtení.

Podání beru na vědomí, ale navržené řešení není v současné době technicky proveditelné tak, aby mělo zamýšlený efekt.

test

Uživatelský avatar
Lukas.Novy
Příspěvky: 21224
Registrován: 02 črc 2009, 22:45
Profese: specialista pocitacove bezpecnosti
Bydliště: Praha, V Klaudu 42
Dal poděkování: 2361 poděkování
Dostal poděkování: 11863 poděkování
Kontaktovat uživatele:

Re: Žádost - doporučení - práva k databázi nejen Lukáše Nové

Příspěvek od Lukas.Novy »

Cesta least privileges je spravny model, ale ma svoje vyjimky. Nekdo musi mit roota nemuze to byt jenom jeden clovek. Roota nelze ten tak lehce omezovat, jelikoz nic silnejsi jak root proste neni. Lze uvazovat systemy jako RHEL+selinux+MLS, ktere dokazi urcite moznosti roota omezit, troufam si tvrdit, ze nastavit to ve strane dokazu spravne zase jenom ja. (pracovni zkusenosti s bezpecnostnim testovanim MLS primo u vyrobce, certifikace RHSA a RHCE). Nebo se da jit cestou dockeru, kde proste konkretni root muze ovlivnit jenom jednu jedinou aplikaci. Aby to ale fungovalo, musi tam byt opet nejaky centralni ridici system starajici se o provisioning, deployment a routing (na 5. a 6. vrstve) a ten musi mit roota. Opet pochybuji, ze by tu s dockerem nekdo mel takove zkusenosti (kompletni code-review, implementace instrumentacnich bodu a intergrace s orchestracnimi sluzebami pro project zennet.sc).

Roota maji proverene a duverihodne osoby, za coz me vedouci TO v tuto chvili povazuje. Za celou dobu meho pusobi v TO tez nemel zadny organ proti memu pusobeni v TO namitky. Dokonce ani RK jiz byl Analni Speleolog clenem nepovazovala za vhodne ci nutne jakkoliv moje opravneni menit. Tez proti me neni vedeno zadne rizeni v podobne ohledu a dokonce proti me v tuto chvili neni ani zadne relevantni podani u KK. Takze to, co tady predvadis se zaklada na tvych bludech, ktere se rozchazi z realitou. Prestan, jenom se strapnujes.
Tito uživatelé poděkovali autorovi Lukas.Novy za příspěvky (celkem 2):
Ivan.Bartos, Robert.Magni
pani nováková povídala, že u vás na balkóně
sou furt ňáký kluci, kouřej a smějou se.
| ‒ | – | — | ― | … | „ | “ | ‚ | ‘ | » | « | ½ | ¼ | ¾ | × | ‰ | ® | © | ™ | Fotku Stierlitze jako avatara mi zakazali, toz sem nahodil catvatara.
Zamčeno

Zpět na „Podatelna technického odboru“