February 4th, 2006

dil: (Default)
Saturday, February 4th, 2006 12:10 am
Темой сегодняшней лекции для веб-девелоперов будет одна простая мысль,
а именно: никогда не доверяйте данным, полученным от пользователя. НИКОГДА.

Вот, собственно, и всё.
Удивительно, но этой мыслью настолько часто пренебрегают, что я начал сомневаться в ее очевидности.
Подробности )
Upd: те же гениталии, вид с другого ракурса, то есть, применительно конкретно к PHP: http://www.citforum.ru/internet/securities/phpsecure.shtml
dil: (Default)
Saturday, February 4th, 2006 01:01 pm
А что я потеряю, если выберу, скажем, Canon 300D вместо 350D?

Мегапискселов меньше. Ну и ладно, мне вполне хватало предыдущих трёх с копейками.
Кадров 2.5/с против трех. Ну и ладно, мне хватит.
USB 2.0 нету. Один черт, я внешней карточиталкой пользоваться буду.
Вес больше. на 70 г.

Что я еще не заметил?
dil: (Default)
Saturday, February 4th, 2006 08:11 pm
И не надейтесь, что если вы используете умную базу данных с правильными констрейнтами и значения туда передаёте только при помощи байндинга, то вам больше нечего бояться.
Фигвам. Injection может быть вовсе не только в SQL. Прямое использование данных, полученных от пользователя, при формировании команд для операционной системы, имён файлов и даже при генерации HTML-кода обратно тому же пользователю, является потенциально опасным.

Вот тут есть любопытная заметка на сходную тему.
И дело даже не в том, что писатели из Майкрософта в очередной раз выпендрились и за каким-то х непонятно зачем приделали возможность неявного запуска джаваскрипта посредством свойства behavior в css.

А в том, что вот так делать НЕЛЬЗЯ:

<?php
echo "<link rel=\"stylesheet\" type=\"text/css\" href=\"" . $_GET["theme"] . "/style.css\">\n";
?>
dil: (Default)
Saturday, February 4th, 2006 09:43 pm
На днях руководитель департамента госполитики Мининформсвязи Виталий Слизень, выступая на пресс-конференции по поводу новых правил оказания услуг по передаче данных коснулся и IP-телефонии, заявив, в частности, что если компания Skype намерена продолжать оказывать российским гражданам услуги звонков с компьютера на обычные телефоны, то она обязана получить лицензии на междугороднюю и международную телефонную связь.

Я пообщался с юристами и с директором одной крупной компании, не первый год работающей на российском рынке IP-телефонии, и вот что получилось:

По нынешнему мнению чиновников из Мининформсвязи IP-телефония - это только когда голосовые данные передаются по IP-сетям с компьютера на компьютер, и эта деятельность лицензированию (по крайней мере, пока) не подлежит.
Если же хотя бы с одной стороны используется телефонная сеть общего пользования (ТфОП), и звонок передается не в пределах одного города, то это уже международная и междугородная _телефонная_ связь, оказание услуг по которой подлежит лицензированию.

Как известно, в настоящее время Skype оказывает три услуги:
1) звонки с компьютера на компьютер
2) SkypeIn - звонки на обычный телефонный номер, которые приходят на компьютер абонента этого номера
3) SkypeOut - звонки с компьютера на обычный телефон

1, очевидно, интереса не представляет.
2 - может быть, и представляет, но поскольку Skype в настоящее время не предлагает пользователям этой услуги российских телефонных номеров, то в Россию такие звонки попдают исключительно по IP, и отследить их технически невзможно
3 - вероятно, именно это и имел в виду товарищ Слизень.

Однако, компания Skype зарегистрирована в Люксембурге. И когда она оказывает услуги (в том числе, и гражданам, находящимся на территории России), то по российскому Гражданскому кодексу местом оказания услуг считается Люксембург.
Почему товарищ Слизень решил, что при этом Skype подпадает под российское законодательство и должен получать российскую лицензию, остается вдумчивому читателю в качестве домашнего задания.

Где именно физически находятся точки приземления трафика (шлюзы, которые передают голосовой трафик из IP в ТфОП и обратно) при звонках из Скайпа на российские телефоны - я не знаю. Насколько мне известно, сам Скайп в России не присутствует. Очевидно, у него есть какие-то контрагенты, которые осуществляют преобразование трафика. Однако, эти контрагенты не оказывают конечным клиентам услуг по междугородной/международной телефонной связи, поэтому требовать лицензии от них тоже нельзя..
Если всё будет совсем плохо, то точки приземления трафика уедут из России в ближнее или дальнее зарубежье, но заставить Скайп озаботиться получением российской лицензии это всё равно не поможет..