MICRO: užij si dovolenou, doufám, že budeš mít klidný a krásný výhled do zeleně :)

OT:
Přes půl roku pracuji na věci, která do nemalé míry překopává celou codebase, a dnes mi šéf píše:

Už se těším až si vyložím nohy na stůl a vypnu telefon. :)

FRAKIRA: Vidim, ze jsi vytrvala :-) Dej mi tyden, ozvu se Ti. Treba se dohodneme.

(Ani tady neni nekdo, kdo by stal o pomoc neprijemne dukladne testerky se svym soukromym projektem? (ne hra ani nic podobneho, kde je mozne se ztratit))

SATAI: timeout reaching https://xn--nco-0ra/n%C4%9Bco?token=token_ktrej_te_tam_autorizuje

login failed, invalid user Mojetajnyh3sl0

..

TOOMIX: A co teprve když jsou ty logy u webu pod document_root a jediná "security" je, že jsou pojmenovány ve formátu errors-2012-06.log, což určitě stačí, protože přece nikdy nikoho nenapadne na takovou url přistupovat.

TOOMIX: autorům utrhat křidýlka i nožičky

A co teprve logování nepovedených pokusů o přihlášení: "Uživatel 'Franta' se neúspěšně pokusil přihlásit heslem 'hesloFrantq'", ze kterých se da při překlepu to heslo vydedukovat. K tomu je pak celý bcrypt, pbkdf2 atd. k hovnu :)

MLEKAR_STEIN: Plaintext je jenom jedna část toho problému. Ta druhá část je, že na to ani nebyl potřeba select v databázi. Admin se prostě přihlásil do systému zákazníka a mohl vidět heslo i e-mail libovolného účtu jen tak prostě v UI. Což odhaduji v tu dobu klidně mohlo být 50 lidí s admin přístupem. No a jestli to měli stejně i zákazníci v roli pod-admina tak to jsou další stovky. Přičemž ty účty jsou i cizí a náhodní lidé. Nikoliv pouze zaměstnanci u koho vidíš hesla. A lidi prostě mají stejná hesla všude. A v tu dobu dvoufázové přihlášení moc nebylo rozšířené. Já jsem viděl heslo v plaintextu a to jsem o to ani nestál... jenom jsem si rozklik detail účtu.

MLEKAR_STEIN: byvalej kolega daval do plonkovnich databazi na testovani hesla typu "nereknu" nebo "noprostenevim". Takze bylo vtipne, kdyz prisel novej kolega a zacal se ptat po hesle ;)

FARIN: mě nevadí hesla v plaintextu, to holt některý systémy maj.
mě vadí, když mi někdo v tomhle úplně zbytečně lže.

JARDABEREZA: nejmenovaná společnost, krerá má jako motto "pomáháme modernizovat státní správu" má hesla v plaintextu pořád. a ještě o tom lžou. a když jim ukážete select z db, tak tvrdí, že ro není mozný.

MLEKAR_STEIN: hehe, kolega prej 'pujc mi svoje heslo na vsphere' a ja se zacal kroutit 'nooo... ee.... viiiis... to jee... eee... do domeny, to nemuzu' ;)

KLEINZACH: roky jsem používal "kurvadoprdelepičapespráce" a.měl v tom někde čísla a znaky.
a jednou jsem to musel někomu předat (předaval jsem práci nastupci) a ten jen zvedl obočí a zeptal se "až tak" a na to jsem odpověděl "jo"
alé nastoupil :)

cely roky se mi nestalo abych provaril nekomu heslo.
asi nastvanej, do posledniho hesla jsem si dal sprostou nadavku a tento tyden uz jsem heslo poslal dvoum lidem... #murphy

JARDABEREZA: jeste se misto celyho disku nabizi moznost "ramecek + libovolny disk"
tu jsem ted zmeril v KDiskMarku jedno demo pres USB-C:
- onboard TOSHIBA KBG40ZNS256G
- IcyBox M.2 NVMe USB-C + Samsung SSD 997 Pro

vysledek:
NVMe speed compare - Album on Imgur
https://imgur.com/a/TUXBXd3

tl;dr: propad v rychlosti tam je a ne uplne maly. zas na druhou stranu ten vysledek neni tak spatny, aby se to nedalo pouzivat
kdyz si vezmu, ze jsem pouzival OS bootovany i z USB2.0, tak tohle jsou parametry pro docela v pohode pouzitelny system