Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

Wpis użytkownika antylop w Dyskusje

Gwiazdor

w Dyskusje

85

Pracuję od niedawna przez pośrednika typu gigakorpo dla jednej z topowych amerykańskich firm (też gigakorpo). 3 vpno-firewalle, śledzenie ruchu https, komputer tak zablokowany, że praktycznie nic nie można, pracuję w bardzo ograniczającym środowisku (przez co dużo wolniej), a nad tym wszystkim są umowy z drakońskimi karami za dosłownie wszystko. Napieprzają ciągle o zarządzaniu ryzykiem i bezpieczeństwie na meetingach i mailingach.

Tyle teorii.

W praktyce:

* wyciekli mojego maila (catch all, każdy ode mnie dostaje unikatowy e-mail, więc jak wycieknie to wiem od kogo), wraz z danymi osobowymi typu adres (bo scamy są targetowane) w pierwszy dzień mojej pracy tam,

* (niektórzy) pracownicy pracują z prywatnych komputerów - i te wszystkie firewalle ich wpuszczają, mimo, że powinny wyłapać, że ktoś łączy się z Linuxa, który w firmie nie jest akceptowany

* a niektórzy nawet radośnie commitują tak, że w treści wpisane jest, że stosowali niedozwolone w firmie AI

Nie wierzcie nikomu, kto pisze, że dba o bezpieczeństwo i Waszą prywatność xD

i

Komentarze (16)

Gruba ryba0

@antylop to ze cie w chujofirmie ru⁎⁎⁎ją na bezpieczeństwie, nie oznacza że caly swiat tak funkcjonuje

Gwiazdor0

@TheLikatesy

Wiedza o bezpieczeństwie w społeczeństwie jest słaba, a temat naprawdę trudny do ogarnięcia w pełni. Każda firma składa się z mnóstwa takich słabych ogniw, które doprowadzą do problemu w mniejszej lub większej skali w końcu.

Nie cały świat tak funkcjonuje, ale wiara w dobre intencje korpo to imo spora naiwność. Mam inne przykłady też:

* Byłem w innym dużym korpo, tam jak się zaczął szał na bannerki z cookies to wstawialiśmy atrapę - zapisuje wartość, ale nic z tym nie robi. Może teraz jest inaczej.

* W innej gównofirmie jeszcze przed rodo szefowa jawnie mówiła, weź tu z projektu X osoby zapisane do mailingu i dopisz ich do mailingu firmy Y.

* Wycieki na catch-all złapałem już kilka razy. Od księgowej np.

* Wszystkie te gray patterny przy przełącznikach prywatności, newsletterach i innych takich to imo też "ruchanie" ludzi.

* Nie mówiąc o magicznych telefonach od fotowoltaiki/aparatów słuchowych/itd, nieraz dziwnie powiązanych z zakupami w różnych miejscach

Więc jak chcesz z ufnością podchodzić do tego, co robią firmy wszelakie - droga wolna. Ja zalecam maksymalną nieufność.

Fanatyk5

Spoko, w mojej byłej pracy mielismy jedno konto które miało dostęp do wszystkich umów klienta. Hasło zapisano plain textem w pliku do którego wgląd ma tysiące osób

Ale zapisali je białą czcionką na białym tle xDD

Gruba ryba2

@antylop Brzmi niczym wdrożenie BEZPIECZEŃSTWA I NIS2 za pierdyliard monet.

Sum2

@antylop "wyciekli mojego maila (catch all, każdy ode mnie dostaje unikatowy e-mail, więc jak wycieknie to wiem od kogo), wraz z danymi osobowymi typu adres (bo scamy są targetowane) w pierwszy dzień mojej pracy tam," zaintrygowales mnie, co to jakto? Jakie slowa kluczowe w google?

Gwiazdor6

@Marcowy_Kot słowo kluczowe: "catch-all". Masz własną domenę, np. antylop.pl, więc cała domena jest dla Ciebie, ustawiasz sobie pocztę tak, że masz jedno realne konto, np: "antylop@antylop.pl", a wszystkie inne adresy przekierowują pocztę na te główne.

Fajne, gorzej jak trzeba wysyłać wiadomości do ludzi:

* każdy nowy adres wysyłki musisz sobie ustawić osobno - nie spotkałem się, żeby jakiś klient pozwalał po prostu wpisać sobie adres "od", zazwyczaj musisz tworzyć jakąś formę "tożsamości", którą potem wybierasz z dropdowna przy wysyłce

* musisz pilnować poprawności tego adresu "od" jak do kogoś piszesz, bo ja np. księgowej odpisałem zamiast z "ksiegowosc@antylop.pl", to z głównego, co wprowadziło zamieszanie (czy to scam? + do teraz wysyłają mi wiadomości czasem na jeden, czasem na drugi adres)

A to nie wszystkie niedogodności:

* dodatkowo trzeba uważać na maile rozsyłane masowo, gdy nie widać adresów odbiorców - nie widać wtedy też Twojego adresu, więc domyślnie wybierze się główny adres, a nie adres, którego używasz z danym nadawcą

* sporo spamu leci na losowe maile, boty zakładają, że każda domena to na pewno jakaś firma, więc atakują od razu biuro@ info@ reklama@ i parę innych adresów

* trochę ze względu na powyższe maile typu facebook@ google@ hejto@ nie są najmądrzejszym wyborem - bo łatwo je zgadnąć i wysyłać ci tam spam i nie będzie to dowodzić, że wyciekł mail z facebooka, ja mam np. `facebook.to.gowno@`, `biedroneczka.czerwona@`, a czasem totalna abstrakcja jak `bociany.uzywane.tanio@`. Im większa abstrakcja, tym większy wstyd przy kontakcie z supportem 😉 No i trzeba sobie zapisywać te e-maile, bo potem za cholerę nie zgadniesz jakiego użyłeś

PS. nie posiadam domeny antylop.pl, to tylko przykład był.

Autorytet9

@antylop linuxa nie akceptują? what the fuck?

Zawodowiec0

@Amhon słusznie. Ja też się zawsze upewniam. Oraz czy nie ma VDI. Już raz mnie zrobili "pracujesz na czym chcesz, nawet na własnym" tylko pominęli, że przez VDI...

Kosmonauta0

@Meverth to chyba w złych korpo byłem. Ale ja to się rozłączam na rozmowie o pracę jak słyszę Windows.

Zawodowiec5

@209po 90% corpo nie akceptuje. Wszystkie banki. A to dlatego, że nie potrafią założyć wystarczająco dużo spyware, by być zadowolonym.

Lider3

@209po OP pracuje dla Microsoft... xD

Gwiazdor7

@209po jest jakiś linux który realnie pozwala na zdalne założenie i zarządzanie kagańcami tak ostrymi, że nic nie możesz? miałem kiedyś chwilowo "przyjemność" pracować na Ubuntu skonfigurowanego do pracy w Windowsowej domenie i prawie nic nie działało, ale zarówno mi, jak i adminom 🙂

Osobistość5

@209po many such cases

GURU41

@antylop Dyski też pewnie niszczą żeby nic nie wyciekło xDDD

Gwiazdor14

@entropy_

* szefie, te 5000 zniszczonych dysków mogę wziąć do domu? :smirk:

* jasne