Вход | Регистрация


1С:Предприятие ::

Метки:

v8: Безопасность тонкого клиента 1С в Интернете.

Я
   sikuda
 
06.09.13 - 16:09
2. Неотвлекай нас от работы в пятницу.79% (11)
3. Это фича 1С. Неиспользую 1С в интернете.14% (2)
5. Бить в колокола. Это дыра.7% (1)
1. Неправы. 1С самая защищенная система в мире.0% (0)
4. Что вы говорили о программисте. Уже пишу..0% (0)
Всего мнений: 14

Читаю в документации: "Имеет доступ к файловой системе компьютера"
Думаю. Браузеры же специально делали так, что бы так просто не имели доступ и это начало безопасности. Получается, что не совсем честный программист или удаленный сервис 1С может получить доступ к Вашему компьютеру. И отключить такой доступ нет возможности если Вы используете тонкий клиент. Запуская тонкий клиент вы впускаете троянкого коня?

Помним всю историю о испорченной репутации по безопасности Windows в интернете. А они начали работать по безопасности, когда уже появились шквал проблем. Не наступит ли 1С на теже грабли?
 
  Рекламное место пустует
   jsmith82
 
1 - 06.09.13 - 16:10
.

2. Неотвлекай нас от работы в пятницу.
   Laerys
 
2 - 06.09.13 - 16:12
..

2. Неотвлекай нас от работы в пятницу.
   Bumerang
 
3 - 06.09.13 - 16:13
...

2. Неотвлекай нас от работы в пятницу.
   oslokot
 
4 - 06.09.13 - 16:13
....

2. Неотвлекай нас от работы в пятницу.
   Odavid
 
5 - 06.09.13 - 16:15
(0) >>Не наступит ли 1С на теже грабли?
не наступит.
Все, что задекларировано 1С - еще не значит, что работает именно так.
А там и пользователи забьют на эти игрушки....
   sikuda
 
6 - 06.09.13 - 16:15
Ну я предупредил.
"4-й пленум был траурным.
Я выступил и сказал: "Делегаты! Если у меня когда-нибудь будут дети, я повешу им на стенку портрет прокуратора Иудеи Понтия Пилата, чтобы дети росли чистоплотными. Прокуратор Понтий Пилат стоит и умывает руки - вот какой это будет портрет. Точно так же и я: встаю и умываю руки."
Венедикт Ерофеев. Москва-Петушки.

5. Бить в колокола. Это дыра.
   banco
 
7 - 06.09.13 - 16:16
так в веб клиенте тоже нету доступа к файловой системе, а тонкий клиент это программа которую ты устанавливаешь себе на комп, так что можешь не устанавливать, если боишься.

2. Неотвлекай нас от работы в пятницу.
   Sabbath
 
8 - 06.09.13 - 16:17
.....

2. Неотвлекай нас от работы в пятницу.
   le_
 
9 - 06.09.13 - 16:27
Для того, чтобы например удалить файлы через вэб-клиент, нужно предварительно подключить расширение работы с файлами. И на веб-клиенте метод работает только с локальными файлами.
© СП
(7) +1

2. Неотвлекай нас от работы в пятницу.
   Молодой 1Снег
 
10 - 06.09.13 - 16:31
Тонкий клиент в интернете опасен!

2. Неотвлекай нас от работы в пятницу.
 
 
   Odavid
 
11 - 06.09.13 - 16:32
(6) как хорошо, что я не читаю Ерофеева.
И, как вижу, не зря.
   Odavid
 
12 - 06.09.13 - 16:33
(7)>>так что можешь не устанавливать, если боишься.
я вот 1с боюсь устанавливать - а ну как взорвется?!
   ДенисЧ
 
13 - 06.09.13 - 16:33
!

2. Неотвлекай нас от работы в пятницу.
   Fragster
 
Модератор
14 - 06.09.13 - 16:36
(_!_)

2. Неотвлекай нас от работы в пятницу.
   Fragster
 
Модератор
15 - 06.09.13 - 16:38
а по сабжу - тонкий клиент делает то, что от него требует 1сник, соответственно, если ссыкотно - юзайте ВПН.

3. Это фича 1С. Неиспользую 1С в интернете.
   sikuda
 
16 - 06.09.13 - 17:11
Я это понимаю, но уж больно много свободы.
В HtmlПоле выпоняется любая ссылка на любой код javascript.
Хотя он вроде вконтейнере, но напрягает.
   Лефмихалыч
 
Модератор
17 - 06.09.13 - 17:12
- У нас дыра в безопасности!!!!111одинодин
- Ну слава Богу! Хоть что-то у нас в безопасности

2. Неотвлекай нас от работы в пятницу.
   sikuda
 
18 - 09.09.13 - 16:05
Запускаешь 1С, а там при сдаче отчетности а там prompt("для работы в программе пошлите sms на номер... и введите ответный код)".
Может у меня богатое воображение?
   IamAlexy
 
19 - 09.09.13 - 16:10
а кстати интересно ведь



а есть ли реальные примеры когда через опубликованную на веб базу 1С 8.2 или 8.3 нанесли вред например получив доступ к конфиденциальной информации (взломав базу) или же нанесли вред серверу ?
(тупой брутфорс не считается за взлом)

?
   IamAlexy
 
20 - 09.09.13 - 16:11
+(19) к чему это я..

открытый наружу астерикс постоянно подвергается атакам ибо это типа интересная халява.. звонки там разные можно делать за чужой счет..

а вот 1с опубликованная - есть ли примеры взлома и есть ли смысл злодеям ее ломать ?
   H A D G E H O G s
 
21 - 09.09.13 - 16:14
(20) 1С - это неуловимый Джо.
   sikuda
 
22 - 11.09.13 - 11:02
(19) Безопасность сервера это проблемы 1С, а безопасность клиента будут наши проблемы.
Здесь нашел способ для видео в 1С:
<OBJECT id=MediaPlayer classid=CLSID:6BF52A52-394A-11d3-B153-00C04F79FAA6>
<PARAM NAME="URL" VALUE="http://v8.1c.ru/cnt.jsp/:korp1306:/http://v8.1c.ru/konf0613/files/11/10_10_sovr_arh_for_corp_83_nuraliev_s.wmv">;
<PARAM NAME="autoStart" VALUE="1">
</OBJECT>

Но думаю с точки зрения безопасности, это очень плохо! Поэтому 1С и не использует и не говорит никому!
   vde69
 
23 - 11.09.13 - 11:14
20 например та самая система факторинга, ее взлом дает доступ к системе начисления процентлв, идаже к плотежам
Или торговля и там скидки....
По этому безописность в 1с нужна

Безопасность тонкого должна быть многоуровневач, например защита от захвата всех лицензий, и как следствие отказ на вход админа. Защита от чтения и слива. Защита от изменегия данных. Защита от повышени привелегий....
Можно поодолжать, все это требует разных подходов
   Odavid
 
24 - 11.09.13 - 11:38
Защиты нет.
Какие еще будут вопросы? Почему?
А потому. Кто еще что хотел узнать?
   giallo
 
25 - 11.09.13 - 11:41
(0) вроде в заметках зазеркалья было сообщения, что можно будет настраивать ограничения доступа, в стом числе к файловой системе
   giallo
 
26 - 11.09.13 - 11:44
Вот

"Стандартно, после создания, профиль безопасности запрещает выполнение всех потенциально опасных действий:

Это такие действия, как:

обращение к файловой системе сервера;
запуск COM-объектов;
использование внешних компонентов 1С:Предприятия;
запуск внешних обработок и отчётов;
запуск приложений, установленных на сервере;
обращение к ресурсам Интернета.
Таким образом защититься от нежелательных действий незнакомого прикладного решения очень просто: нужно создать пустой профиль безопасности и назначить его информационной базе.

Далее, если есть необходимость, можно расширять этот профиль, описывая в нём действия, которые разрешается выполнять прикладному решению.

Например, можно разрешить прикладному решению обращаться к некоторой области файловой системы сервера. Для этого нужно описать это разрешение в разделе Виртуальные каталоги:"
http://v8.1c.ru/o7/201303sp/index.htm
   mistеr
 
27 - 11.09.13 - 11:48
(0) О боже! Клиент-серверное приложение имеет доступ к файловой системе!
белки_истерички.jpg

Не уловил разницы тонкого клиента с каким-либо другим. Чего так вопить-то. 1С еще толком никто не щупал. Как начнут, будет и веселье с ежемесячными патчами, как у MS.

Видал нетленки, которые при запуске шлют HTTP запрос "а нет ли обновлений". И если в ответе приходит некий дополнительный текст, тупо пихают его прямо в Выполнить(). А результат POST-ят обратно. Толстый клиент, обычные формы.
   Odavid
 
28 - 11.09.13 - 12:11
(27)>>1С еще толком никто не щупал
и не будет щупать. Сделала "для галочки" - неофиты в восторге. Больше ничего не надо. Теперь другие игрушки в повестке дня.
>>Как начнут
не мечтайте, не начнут. Забросят, как и все остальное до этого.
   Odavid
 
29 - 11.09.13 - 12:12
(25)>>что можно будет настраивать ограничения доступа, в стом числе к файловой системе
угу, скоро получим в 1С файловый менеджер?
   Смотрящий от 1С
 
30 - 11.09.13 - 12:16
Год назад или чуть раньше, когда 1С только начинала продвигать облачные технологии запросил демо вход на сайте 1С fresh. Без особых проблем разобрался как слить все шаблоны с сайта. Зашел на системный диск сервака. На аналогичных сервисах других контор с демо доступом ситуация была похожая. Может  с тех пор что то изменилось. Не знаю

3. Это фича 1С. Неиспользую 1С в интернете.
   mistеr
 
31 - 11.09.13 - 12:17
(28) Будет профит - будут щупать. А профит будет, если удастся раскрутить облачные сервисы.
   Конфигуратор1с
 
32 - 11.09.13 - 12:24
Мне начинает казаться, что  Odavid это агент сапа, засланный на мисту сеять среди 1сников панику и неуверенность в партийной линии. Кто подскажет телефон особого отдела 1с?
   vde69
 
Модератор
33 - 11.09.13 - 12:34
30 1с вроде ищет спецов на безлпаснрсть фреша,
Только ИХ подходы рядовым пользователям не подойдут.
Я общался на эту теиу с ними. У меня сложилось мнение, что для них важно только превышение привелегий ну и выполнение кода на сервере, и как следствие получение доступа к чужим ресурсам, а например на мою ремарку, что можно тупо вселицензии сеовера сожрать, получил ответ, что тут можнл не парится...
Склрее всего у них есть клюс на 10000000000000000 лицензий
Именно по этому 1с и продвигает технологии которые кроме десятка фирм нафиг никому не нужны...
 
  Рекламное место пустует
   sikuda
 
34 - 11.09.13 - 13:59
(26) А сама 1С включила профили на своих демках?
http://platform.demo.1c.ru/demo83/
Что-то они не не установили другие 1С
http://saveimg.ru/show-image.php?id=d6362f1521a902422bfe569489e37442

Обработка infostart: http://infostart.ru/public/190185/
   fmrlex
 
35 - 11.09.13 - 14:03
В интернетах вообще опасно...
Надо вернуться к векторному фидонету.
   Odavid
 
36 - 11.09.13 - 17:01
(33)>>Именно по этому 1с и продвигает технологии которые кроме десятка фирм нафиг никому не нужны...
Мы с вами два агента??
   vde69
 
Модератор
37 - 11.09.13 - 19:38
36
Нет, мы о разном.
Я не вижу прикладного значения в механизме разделения данных..
   sikuda
 
38 - 13.09.13 - 13:13
Я бы все-таки обратил внимание на то, что безопасность сервера 1С еще интересует, то с безопасностью тонкого клиента Windows пользователя оставляют один на один.



Список тем форума
Рекламное место пустует   Рекламное место пустует
ВНИМАНИЕ! Если вы потеряли окно ввода сообщения, нажмите Ctrl-F5 или Ctrl-R или кнопку "Обновить" в браузере.
Тема не обновлялась длительное время, и была помечена как архивная. Добавление сообщений невозможно.
Но вы можете создать новую ветку и вам обязательно ответят!
Каждый час на Волшебном форуме бывает более 2000 человек.
Рекламное место пустует