С огромным удовольствием пну под зад жирного облемнившегося кота... потому что может быть она заболит так, кто вышепомянутый кот перестанет лизать яйца и займется прямым котовым делом - ловлей мышей...
Ваша Честь, господа Заседатели!
Целью нашего заседания явлется установление подсудности и степени вины обвиняемого в причиненном прямом и непрямом ущербе от его действий по публикации пресс-релиза Аудит безопасности веб-проектов на «Битрикс: Управление сайтом»
Вопрос первый - подсудность... Поскольку, как будет показано ниже, действия, являющиеся предметом рассмотрения, наносят непрямой ущерб всему сегменту CMS как объекту бизнеса, обвиняемый подсуден рассмотрению состава правонарушения заседателями - игроками данного сектора рынка.
Рассмотрим непосредственно сами действия
Цитаты пресс-релиза приводятся по
http://www.bitrixsoft.ru/sitemanager/news/10109.php, который считается официальым документом компании без придания ему юридической силы...
По итогам проведенного аудита выдан сертификат, подтверждающий неуязвимость продукта ко всем видам известных атак, направленных на веб-приложения.
1. Как известно, уже есть как минимум 1 сертификат безопасного веб-приложения, выданный на продукт "Битрикс. Управление сайтом"... Есть ли дополнительная польза от получения еще одного, от фирмы, не являющейся настолько известной в непрофессиональных кругах, как Positive Technologies? Ваша Честь, обвинение полагает, что эффект может быть скорее отрицательный и многоплановый. Во первых, это не тот случай, когда количество переходит в качество, и "много" скорее может означать "плохо"... Как пример можно привести пример обесценивания сертификатов BrainBench... И сторонний эффект - удар не только по Немесис ("...не иначе как их просто купить дешевле...") и PT ("...каким помоечникам они выдают свои сертификаты..."), но и прочим разработчикам CMS, которые (возможно) захотят получить для своих систем обесцененные действиями подсудимого сертификаты данных компаний. Со своей стороны отмечу, что Немесис является "широко известной в узких кругах" компанией и репутационные риски являются явно незаслуженными в данном случае
2. Формулировка "неуязвимость продукта ко всем видам известных атак, направленных на веб-приложения" является введением потребителя в заблуждение, поскольку сертификатор как профессиональный безопасник
не мог утверждать о всех видах известных атак (иначе мы должны согласиться что компании Немесис доступно всеведение, что вряд-ли принимается даже как теория), и данное искажение умышленно или неумышленно внесено обвиняемым
Специалисты «Немесис» анализировали программный продукт в течение четырех месяцев
Поскольку на продукт распространяется действиек технологии SiteUpdate, нельзя утверждать, что анализируемый продукт является тем продуктом, который используется у клиентов и следовательно - реальная потребительная ценность данного сертификата в настоящий момент является практически нулевой. Ненулевой она, тем не менее, может быть в случае, если сертификат сетифицирует известный и задокументированный в тексте сертификата билд, и для тех и только тех сайтов клиентов, которые используют данный билд и не активизировали технологию SiteUpdate. Для поддержания достоверности сертификата безопасности специалисты Немесис должны проводить реаудит комплекса после каждого обновления, причем верифицироваться должен не только измененный обновлением код, но и обновленная система в целом... что, судя по предоставленной информации,
не проводится и
не планируется
аудит сайтов позволит предложить специальный комплекс услуг корпоративным клиентам, уделяющим серьезное внимание вопросам безопасности сайтов, обеспечить и в дальнейшем поддерживать высокий уровень информационной безопасности веб-проектов
Поскольку предлагается разовый аудит, нарушающий базовый принцип "Безопасность - это не состояние, безопасность - это процесс", он не может считаться методом, гарантирующим безопасность веб-проекта... Педлагаемый аудит правдив в результатах до первого изменения системы, что, как мы знаем, с использованием SiteUpdate не является стабильным состоянием программного комплекса и сам аудит может квалифицироваться только как "еще один способ относительно честного отъема денег"
Аудит веб-проектов можно заказать непосредственно в компании «Немесис» или у партнеров «Битрикс».
Прошу обратить внимание на окончание предложения - "...или у партнеров «Битрикс»". Партнерами «Битрикс» являются не безопасники, а программерско-дизайнерские организации. Что и как могут они проанализировать, оставим на совести авторов прессс-релиза и идеи, мы ограничимся лишь поговоркой "сапожник пусть судит не выше сапог"... или компания Немесис в сотрудничестве с Битрикс открыла метод обучения Blonde Mary на профессионала-безопасника?! С нетерпением ждем пресс-релиза на этот прорыв в методологии обучения
Первым партнером, который предлагает своим клиентам дополнительные услуги по аудиту безопасности веб-проектов является компания QSOFT.
И обвинение полагает, что компания, специализацией которой является
Управляемые интернет-сайты
Надежные интранет-решения
Корпоративные порталы
J2EE приложения
Интеграцию с ERP-системами
могда бы проткрыть завесу тайны над тем, как ей удалось так оперативно войти в новый для нее рынок "комплексный аудит безопасности"
Таким образом, Ваша Честь, господа Зеседатели, обвинение постаралось показать в своем выступлении наличие состава следующих преступлений
1. Нанесение морального вреда (репутационный ущерб)
2. Обман
3. Мошенничество
4. Недобросовестная реклама
Обвинение закончило, Ваша Честь!
