UPD: Пользователь Sabubu рассказал о том, что IT-директор компании Burger King начал публично угрожать автору расследования.
Вступление
Первое расследование о приложении Burger King создало резонанс в СМИ, а также оказалось в топе Пикабу, TJournal, и Хабрахабр.
Как выяснилось — людям небезразличен шпионаж за ними.
Расследование понравилось и хакерам. С момента публикации, на мой блог совершили десятки хакерских атак.
Примечание: все ссылки на официальные ответы и ресурсы Burger King — архивные, в целях предотвращения редактирования либо подмены своих постов администрацией Burger King после или во время написания данной статьи.
Для архивирования ссылок используется проверенный сервис archive.is.
Все оригинальные ссылки — в конце данной статьи.
Часть I. Ответы.
Компания Burger King молчала и нагло игнорировала вопросы своих клиентов в течении целого дня после публикации расследования, и ответила только после прямого обращения РосКомНадзора.
Какой ответ мы получили?
I.I. Официальный ответ Burger King ВКонтакте.
Ну что же, давайте разбирать по пунктам.
Во-первых — под «европейским законом о защите персональных данных» подразумевается GDPR. Он действует только для Европейского Союза, и Россия де-факто не имеет к нему никакого отношения.
Российский Burger King ему не подчиняется.
Burger King обязан следовать Федеральному закону "О персональных данных", но он ему не следует.
Во-вторых — «мы не делаем запись».
В моём оригинальном расследовании чётко видно, что приложение Burger King не просто записывает экран, а делает это постоянно.
В том числе — во время ввода реквизитов банковских карт.
В-третьих — «получаем обезличенную аналитику по работе приложения».
О какой обезличенности идёт речь, если Burger King получает номер телефона, имя, и почтовый адрес клиента (компания-разработчик приложения Burger King сама об этом говорит) при регистрации и использовании приложения?
Также, Burger King хранит детальные данные о каждом пользователе, что подтвержает директор по digital-проектам Burger King Сергей Очеретин.
Сергей Очеретин. Директор по digital-проектам Burger King.
Фотография из открытых источников.
Сергей открыто заявил, что «проверил мои аккаунты» (после недвусмысленного намёка на то, что знает мое местоположение; на момент написания статьи комментарий удален) и что у Burger King есть «логи» (запись действий) каждого пользователя.
Скриншот с форума 4PDA.
В-четвёртых: «или об этом уже нельзя говорить?»
Burger King ни разу не отвечал на вопросы о слежке до этого комментария.
Они наглейшим образом игнорировали вопросы своих клиентов и начали отвечать только после прямого обращения РосКомНадзора. (о чем я написал выше).
Здесь Burger King делает вид, что они якобы уже об этом говорили, но на самом деле — не было ни одного ответа.
Ответ на обращение РосКомНадзора — их первый за все время, и они сразу же пытаются манипулировать мнением говоря «или об этом уже нельзя говорить?».
Запись экрана — доказана.
Благодаря вышеперечисленным аргументам можно сделать вывод, что Burger King снова лжёт.
I.II. «Опровержение»
Вскоре, после того как Burger King ответил ВКонтакте — опровержение выпустила и компания-разработчик приложения Burger King.
Они говорят, что (далее цитата):
- Скрытие личных данных при записи видео для аналитики прописано в коде приложения. Данные скрываются до того, как покинут мобильное устройство.
- Burger King, e-Legion и Appsee не имеют доступа к банковским данным пользователей. Эти данные не записываются, не хранятся и не передаются третьим лицам.
- Burger King получает только имя, email и телефон пользователя в соответствии с Пользовательским соглашением: burgerking.ru/legal_for_app
- Запись видео с экранов помогает собрать статистику с целью улучшения работы приложения.
- Appsee строго придерживается всех существующих законов о работе с персональными данными пользователей. Это прописано в их политике: www.appsee.com/legal/privacypolicy
- Передача данных в сервис аналитики Appsee происходит только по Wi-Fi и не расходует мобильный трафик
Давайте пройдемся по каждому из пунктов.
Пункт первый — «скрытие личных данных при записи видео для аналитики прописано в коде приложения, данные скрываются до того, как покинут мобильное устройство».
Скрытие личных данных не прописано в коде приложения.
Скрытие личных данных при записи видео — это параметр, который приложение запрашивает каждый раз у удаленного сервера, и только после получения ответа («да» или «нет») оно устанавливает значение параметра в «скрывать личные данные» или «не скрывать личные данные».
Данный параметр контролируется удаленно и поменять его Burger King может в любой момент. Проще говоря: хочет — не скрывает, хочет — скрывает.
Комментарий пользователя на Habr.com
Таким образом, мы делаем вывод, что утверждение «данные скрываются» — это очередная наглая ложь со стороны Burger King и их команды разработчиков.
Пункт второй — «Burger King, e-Legion и Appsee не имеют доступа к банковским данным пользователей. Эти данные не записываются, не хранятся и не передаются третьим лицам».
Как мы выяснили в разборе первого пункта — данные не скрываются и не шифруются. Они передаются на удаленный сервер в открытом виде, и там хранятся.
Доступ к этим данным имеют все, кто связаны с приложением, а также с метрикой AppSee.
Заявление о том, что Burger King, e-Legion (разработчик приложения), и AppSee «не имеют доступа к банковским данным пользователей» — это очередная наглая ложь.
Пункт третий — «Burger King получает только имя, email и телефон пользователя в соответствии с Пользовательским соглашением».
Как мы выяснили в первых двух пунктах — Burger King имеет доступ к записям экранов пользователей и их платежным данным, поэтому данное заявление — лживое и призвано ввести клиента в заблуждение.
Однако, Burger King действительно имеет доступ к именам, E-Mail, и телефонам клиентов, однако не «только», а «вместе» с записями экранов, банковских карт, и полной сводки действий каждого пользователя.
Также, в Пользовательском Соглашении
Заявление о том, что «Burger King получает только имя, email и телефон пользователя» — наглая ложь.
Пункт четвёртый — «Запись видео с экранов помогает собрать статистику с целью улучшения работы приложения».
Здесь мы приходим к официальному подтверждению записи экрана без размытых формулировок.
Однако, ведь в своём официальном заявлении Burger King говорил, что они не записывают экран! Как же так?
Судя по многочисленным жалобам и отзывам на приложение — оно очень медленное и плохо работает.
Никакого «улучшения работы приложения» нет.
Пункт пятый — «Appsee строго придерживается всех существующих законов о работе с персональными данными пользователей».
AppSee — сервис аналитики, и Burger King постоянно заявляет что сервис «следует GDPR», однако — как мы уже высянили, для России соблюдение GDPR ничего не значит. А вот Федеральному закону "О персональных данных" он не подчиняется.
Значит — опять ложь. Ведь главному закону о персональных данных — AppSee не подчиняется.
Пункт шестой — «передача данных в сервис аналитики Appsee происходит только по Wi-Fi и не расходует мобильный трафик».
Тестирование показало, что передача видео происходит и по Wi-Fi, и по сотовой сети.
Более того, собственное видео команды e-Legion (разработчик приложения Burger King) из их поста доказывает, что загрузка происходит и по сотовой сети.
Скриншот из видео выше, «Cellular» — сотовые данные.
Из этого делаем вывод — очередная наглая ложь.
Часть II. Доказательство записи и передачи банковских данных.
Вступление
Самой главной претензией ко мне было то, что я показал только скриншот из перехваченного мною видео, а само видео — не показал.
Этим мгновенно воспользовался Burger King и в отдельности Сергей, чтобы обвинить меня якобы во лжи.
Это же подхватили и все остальные, начав беспочвенно обвинять меня в «набросе», аргументируя это тем, что я не показал видео. Доходило до прямых оскорблений и угроз.
Почему же я не показал сначала видео?
Все просто — я тоже человек :)
Во-первых — я не сохранил видео с банковскими картами (я его смотрел из программы-инспектора трафика, и не сохранил), а скриншот показал из другой записи, которую загружать смысла не было.
Во-вторых — сделав оригинальный пост-расследование ночью, я не пошел спать. Я забыл про сон и стал отвечать каждому в комментариях. Чуть позже — журналисты обнаружили моё расследование, поднялся резонанс, и я сидел отвечал не только на комментарии, а и на письма и сообщения журналистов.
Просидел я так очень долго, и сидел бы дальше.
Но увы, у меня нет кнопки «отключить сон и отвечать всем», поэтому я пошел спать.
Проснувшись от кучи уведомлений на своём телефоне, я в полусне увидел что от меня хотят видео.
Причем не просто хотят, а хотят с оскорблениями, с угрозами, с хамством.
Я думаю, что моя реакция на подобные требования ночью была очевидна — послав всех оскорбляющих меня хамов я лег спать дальше.
А люди, поливающие меня помоями, видимо считали, что я обязан по первому щелчку пальцев бежать что-то делать. Нет уж.
В какой-то момент я решил вообще всё послать и ничего не делать (оскорбления не добавляют желания что-то делать). Но, решил все-таки доказать, что я был прав.
Когда проснулся — вспомнил что нужно сделать видео. Сделал. :)
Часть II.I. Видеозапись, сделанная приложением
Данное видео было перехвачено мной из копии трафика приложения Burger King для iOS (версия 2.2.0 — последняя).
Видео никоим образом не модифицировалось, трафик и код приложения не менялись.
Как Вы можете видеть, детали банковской карты — не скрываются.
Не скрываются и поля ввода телефона, E-Mail, имени, и клавиатура.
Также, в начале видео я убрал подтверждение согласия с правилами использования, но запись видео не прекратилась и оно все равно отправилось на сервер.
Часть II.II. Техническая информация
По параметрам (разрешение, FPS, битрейт) — моё видео полностью совпадает с видео, на которое ссылается команда-разработчик приложения Burger King в своем посте, заявляя что поля ввода данных «закрашиваются».
Часть II.III. Почему моё видео — настоящее.
Хочу отметить очень важное доказательство того, что моё видео — действительно из приложения: на нём не видно статус-бара (строки с уровнем сотового сигнала, времени, заряда батареи), вместо него — пустое место.
Сравните сами:
Слева — моя запись, справа — официальный скриншот приложения
Такое видео может записать только само приложение.
Почему?
На iPhone (а именно на нём я и запускал приложение) — невозможно скрыть статус-бар при использовании средств ОС для записи дисплея (а других — не существует).
На моем iPhone нет jailbreak (взлома ОС) и стоит последняя версия iOS, поэтому у меня нет возможности скрыть статус-бар или использовать сторонее приложение для записи экрана.
Поэтому единственный вариант получить такую запись — это чтобы приложение само себя записало, так как на iOS оно не может записать системные элементы кроме клавиатуры.
Также сравните пустые статус-бары на записях предоставленных Burger King, и на моем видео. Они совпадают, их нет.
Часть III. Заключение.
Часть III.I. Итоги
Что имеем в итоге?
Каждый пункт «опровержения» Burger King — разбит мною в пух и прах.
Здесь же — доказательства прямой лжи Burger King.
Часть III.II. Проверка РосКомНадзором
Я (и многие люди) хотели бы, чтобы РосКомНадзор проверил Burger King насчет их небезопасного и пофигистичного обращения с персональными данными и банковскими картами клиентов.
И чтобы это ограничилось не постом в ВК с мемасиками, а серьезной проверкой.
Часть III.III. А зачем мои карты Бургер Кингу?
Предвещая вопрос:
— «Зачем Burger King воровать данные платежных карт? Они и так богатые, а кражей карт — испортят себе репутацию.» (цитата реального вопроса на форуме)
— отвечу:
Дело в том, что приложение Burger King делает не директор сети собственноручно. Поверьте, он не сидит на кожанном кресле за компьютером, прикуривая кубинские сигары пачкой баксов и набирая код приложения, чтобы украсть деньги у россиян.
Приложение Burger King делает нанятая ими компания e-Legion, а к записям экрана имеют доступ все (я не верю заявлениям e-Legion о том, что доступ есть только у сотрудников Burger King после прямой лжи, которую я доказал): и e-Legion, и Burger King, и все в промежутке.
Там может быть и студент, работающий за дошираки, и захотевший легкой наживы.
А может быть и злоумышленник, который прямо сейчас поймал Вашу карту и уже купил себе новенький айфон.
Вы никогда не узнаете, ведь если такое произойдет — то Burger King как обычно нагло Вам наврёт и скажет что все «окей, и вообще — «вы окурели».
И репутацию там портить ниже некуда.
Часть III.IV. Сотрудники, которых нельзя пускать к людям.
Наглая ложь, угрозы, хамство, оскорбления. Это только начало.
Хотя чего ожидать от компании с такой рекламой:
И такими сотрудниками:
Ссылки в статье — это архивные копии ссылок ниже, сделанные в целях предотвращения изменения или удаления постов/сообщений Бургер Кингом.
Я не рекомендую читать ответы Бургер Кинга по ссылкам ниже, так как их могли изменить после публикации моей статьи.
Обращение РосКомНадзора ВКонтакте
Пост компании-разработчика приложения e-Legion
IT-директор Burger King сам говорит о собирании информации о пользователях
Информация о Сергее Очеретине — IT-директоре Burger King
Пользовательское соглашение приложения Burger King
Комментарии (277)
ebragim
14.07.2018 03:38+1Я смотрю, коментарии на пикабу теперь у нас официальный способ общения с бургеркингом?
stalinets
14.07.2018 03:46+2Ну, кто-то мог бы предложить радикальный вариант — заDDoS'ть их сайт и сервисы, но я предложил бы более цивилизованный вариант — не ходить к ним и ничего не покупать. Я вот если и ем фастфуд, то стараюсь брать в местных (но проверенных) ларьках, которые или вообще одиночные, или сетевые, но сеть в пределах одного города. У них нет следящих приложений, у них и цены обычно ниже, и не менее вкусно. И заплаченные за эту еду деньги остаются в стране, а не идут за океан.
BlessYourHeart
14.07.2018 04:19БК это франшиза. Головной офис обычно очень критично относится к репутационным потерям (см недавнюю историю с Papa John's)…
vintage
14.07.2018 07:26Где смотреть?
BlessYourHeart
14.07.2018 07:40Погуглите "основатель Папа Джонс".
vintage
14.07.2018 10:41Спасибо за ссылку. Тут похоже дело не столько в репутации, сколько в предлоге, чтобы сместить неугодного человека.
3aBulon
14.07.2018 14:53+4удалил приложуху, поставил кол в плей маркет с претензией о записи, и да, ходить больше к ним не буду.
приложение они переписывали с нуля за год полтора раза 3 точно, есть три разных приложения бургер кинг, они менялись как обувь в сезон, возможно разные разработчики и наконец нашлись те которые окурели так как нужно
ankh1989
14.07.2018 23:54+3Нужно настучать на них в головной офис Burger King. Если репутация им важна, то они вероятно расторгнут контракт с AppSee, а все эти наглые менеджеры российского офиса пойдут искать новую работу.
saiscea
15.07.2018 16:29Да, это должно сработать. В случае с провокационной рекламой потребители пожаловались в центральный офис, и российский БК рекламу убрал.
areht
15.07.2018 11:36Я, например, там обычно беру типа капучино. В несетевых можно вместо капучино разве что растворимый нескафе 3-в-1 получить, а в сетевых — ну точно не дешевле, даже в макдаке.
PS. Из ларьков, вероятно, деньги на Кавказ идут, а не в стране остаются.
constb
15.07.2018 16:29-2Ну, кто-то мог бы предложить радикальный вариант — заDDoS'ть их сайт и сервисы
по мне так было бы логичнее если бы РосКомНадзор вспомнил о том, зачем он вообще существует, и отправил в блокировку сервера AppSee…
Xuxicheta
15.07.2018 21:52я и так давно к ним не хожу. Где-то года три назад испортились, и теперь там есть невозможно.
Alexufo
14.07.2018 04:11-15Вступлюсь уже немного за бургер ). Все таки чувствуется возраст автора статьи, в конце совсем в демагогию полез. Вот ему там хамят, матом отвечают, не нравится ему) Тебе отвечает такое же пацанье. У нас нет культуры открытой обратной связи по техническим вопросам. Неужели это новость?
Тот, который главный, мог просто тебе лапши навешать что по ip тебя вычислил, а потом удалил, понял что хрень написал. Почему? Потому что это работает. У них там работа кипит, отпуска, а тут какой то хрен про галочки с карточками пишет, да все плевали на это. Делают как удобнее пока вот случай типа твоего не попадется)
Их теперь главная задача не рисовать скриншоты, а начать топить конкурентов, ковыряя их приложения и поднимая шухер громче своего. По мне самая верная маркетинговая стратегия))devalone
14.07.2018 10:55+5Вступлюсь уже немного за бургер ). Все таки чувствуется возраст автора статьи, в конце совсем в демагогию полез. Вот ему там хамят, матом отвечают, не нравится ему) Тебе отвечает такое же пацанье. У нас нет культуры открытой обратной связи по техническим вопросам. Неужели это новость?
Отличное оправдание! На самом деле нет, если отвечают действительно представители бургер кинга, то это неприемлимо вне зависимости от их возраста.
Тот, который главный, мог просто тебе лапши навешать что по ip тебя вычислил, а потом удалил, понял что хрень написал
С чего бы это вдруг мне не верить, если они сами говорят, что следят за пользователями? А если не следят, то не надо было делать подобных заявлений, в любом случае уже никто не поверит, что они такие святые.Alexufo
14.07.2018 13:35-1На самом деле нет, если отвечают действительно представители бургер кинга, то это неприемлимо вне зависимости от их возраста
Неприемлемость, это свойство общества, если вы пишите в стиле «я вас воров всех тут раскусил» на неофициальной площадке, нечему удивляться, что кто то из разрабов покрутит пальцем у виска.
То что они не соблюдают требования законодательства с этим уже разобрались.
GeekberryFinn
14.07.2018 11:11+1Alexufo если бы твою карточку похитили, ты бы и в этом случае посчитал бы нормой, что тебя кроют матом в качестве отрицания?
Alexufo
14.07.2018 13:22Во-первых, о факте кражи речи не идет нигде. Речь о банальной разработке, где кладут на
безопасность. Во-вторых, официальный ответ написан в куда более приятном виде.mkv
15.07.2018 00:40+2Во-первых, о факте кражи речи не идет нигде
А как вы собрались о нем узнать? Когда банковские данные через месяц/полгода/год будут продаваться в даркнете?
Не говоря о том что определить был ли слив именно из этой конторы невозможно.Alexufo
15.07.2018 01:38-1Не говоря о том что определить был ли слив именно из этой конторы невозможно.
Об этом и речь. Поэтому доверенные терминалы по снятию бабла в супермаркетах от 1000р у меня просят ввести пинкод, а оплата через интернет — подтверждения смс кода. Кто-то там говорил о дубликате симки — каждый раз при дубликате мне нужно звонить в техподдержку и активировать ее.
Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаны — я бы не вводил ее вообще никуда.edogs
15.07.2018 01:56+1Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаны
Зря Вы так.
Выкладывайте сюда в топик карту и дайте явное разрешение использовать ее данные для оплаты чего угодно.
А через 50 дней напишите какой минус на карте образовался.Alexufo
15.07.2018 02:02-3Мне не нужны покупки без уведомлений до 1000р, не нужны кучи смс которых я не запрашивал — спасибо.
edogs
15.07.2018 02:07А куда делось «Если бы кто-то мог снять деньги с моей карты по тем циферкам, что там нацарапаны»?
Могут, и больше 1000р, и даже без уведомления в момент самой операции.Alexufo
15.07.2018 02:28-1Никуда. 1000р это не деньги а риски, на которые идет банк, чтобы облегчить процедуру покупки. Снять их может очень доверительный запрос в банк, (точнее факт транзации происходит через день или пару) но я не верю в страшных тупых хакеров, у которых есть доступ к такому верифицированному терминалу ради 1000 рублей, а вот в школоту верю и потерю своего времени верю.
edogs
15.07.2018 02:53+2Не надо никаких «доверительных отношений с банком», равно как и «сумм меньше 1000р», что бы загнать Вам карту в минус (даже не в ноль) зная лишь «цифирки с нее».
Alexufo
15.07.2018 03:00Вы хотите сказать, что служба безопасности банка замечает мой запрос вывода 5тр на яндекс деньги, но прозевает более подозрительную транзакцию, загибающую карту аж в минус?
Я это допускаю, конечно, но тут уже вопрос веры.edogs
15.07.2018 04:11+2Вы хотите сказать, что служба безопасности банка замечает мой запрос вывода 5тр на яндекс деньги, но прозевает более подозрительную транзакцию, загибающую карту аж в минус?
Это достаточно частая ситуация, но не об этом речь.
Проводимость операции списания зависит от мерчанта.
Все меры безопасности банка (смс, пин-коды, 3д-секьюре, внутренний контроль) работают только при желании мерчанта их запрашивать и наличии у мерчанта возможности их запросить.
Если мерчант забил на меры безопасности и провел платеж без них, то банк всё равно захолдит этот платеж, а если мерчант не пришлет его отмену, то даже спишет.
Да, по Вашей своевременной претензии, в большинстве случаев, платеж можно будет отменить, но не более того.Alexufo
15.07.2018 12:44Если мерчант забил на меры безопасности и провел платеж без них
То он лишится вскоре возможности работать с любым банком, если будет допускать такие вольности. Вы так пишите, как будто они не несут вообще никакой ответственности и просто за красивые глаза имеют доступ к списанию средств.edogs
15.07.2018 13:15+2То он лишится вскоре возможности работать с любым банком, если будет допускать такие вольности.
amazon уже стоит и боится Вашей угрозы:) И куча других магазинов (не будем называть, что бы не плодить мамкиных хакеров).
А есть еще оффлайн операции, где онлайн проверка в принципе невозможна, как бы мерчант не хотел выпендриться.
А еще «белую эмбоссированную карту с полосой и пейпассом» с нынешними технологиями стоит сделать рублей 500р в обычной лавке, тут не надо быть «крутым хакером», что дает поистинне широкие возможности по снятию.
Вы так пишите, как будто они не несут вообще никакой ответственности и просто за красивые глаза имеют доступ к списанию средств.
Уголовной не несут. А штрафы и возвраты по претензиям — это просто риск и доп. расходы заложенные в бизнес-модель.
Бизнес это не церковь с их заповедями, у каждого решения (требовать подтверждения оплаты или нет) есть своя цена, если она приемлимая — бизнес ее платит.
В общем выкладывать цифирки своих карт — беспредельная глупость, если не ставить целю потом закопаться в куче исков и оспариванию кучи платежей, часть из которых оспорить и вернуть не получится.
Darth_Malok
15.07.2018 16:09+1Aliexpress, например, sms-коды при оплате не спрашивает. Чего-то до сих пор возможностей работать с банками не лишился.
Тут всё дело в анализе рисков. Если не спрашиваешь sms-коды, увеличиваются шансы оплаты с краденной карты и отзыва платежа. Если стоимость внедрения проверки кодов выше чем потери на возвратах, то коды спрашивать не имеет смысла. И речь не только про цену написания и внедрения кода — люди, похоже, намного охотнее покупают онлайн, если их не заставляют каждый раз вводить какие-то данные.areht
15.07.2018 16:59Коды часто не спрашивают там, где физическая доставка по адресу (DeliveryClub тот же), понятно с кого спрашивать. Или там, где товар виртуальный и возврат не принесёт убытков (билеты в кино).
edogs
15.07.2018 19:06Позанудствуем.
Нельзя спрашивать с получателя, его единственная обязанность это получить товар. Он не всегда может и не должен нести ответственность за плательщика.areht
15.07.2018 21:16Как минимум, он должен плательщика знать, а товар сохранить.
А вот получать обязанности нет. Брать себе чужие товары, случайно присланные на твой адрес — это такое себе. В лучшем случае, надо будет вернуть в товарном виде. В худшем — окажешься крайним.edogs
15.07.2018 21:24Как минимум, он должен плательщика знать, а товар сохранить.
Нет, не должен.
А вот получать обязанности нет.
Ок. Право. Вы правы.
Брать себе чужие товары, случайно присланные на твой адрес — это такое себе. В лучшем случае, надо будет вернуть в товарном виде. В худшем — окажешься крайним.
О_о? Где тут вообще был разговор о чужом товаре присланном случайно на твой адрес?
Получатель сам по себе никак не может быть крайним с точки зрения закона, получение товара ни в какой уголовной статье Вы не найдете.areht
16.07.2018 09:31> Нет, не должен.
Нет, должен.
> получение товара ни в какой уголовной статье Вы не найдете.
Вам, видимо, кажется, что подходящая уголовная статья должна называться именно «получение товара» — нет.
Да и в гражданском я пару статей найду.
> Где тут вообще был разговор о чужом товаре присланном случайно на твой адрес?
«По неосторожности»?
Или вы таки на свой адрес ворованной картой заказываете?
eXoToL
15.07.2018 00:34Alexufo не зависимо от ситуации, профессионал должен оставаться профессионалом, а не быдлом из подворотни. Автор, конечно, сам немного сглупил, указав свой возраст, а не укажи — воспринимался бы совсем по другому…
Alexufo
15.07.2018 01:40Вы не совсем правы, возраст был указан для подчеркивания уникальности, это нормально, ( я как-то патча ждал на прошивку вообще от 15 летнего). возраст часто виден по обидам, сильному отстаиванию и признанию своей персоны в мире с 7млрд человек.
edogs
15.07.2018 02:07Автор, конечно, сам немного сглупил, указав свой возраст, а не укажи — воспринимался бы совсем по другому…
Как раз не сглупил, а очень правильно сделал. Статья хотя написана и по делу, но подача информации такова, что читателю необходимо понимать причины такой подачи, иначе тяжело воспринимать статью и ее автора серьезно.
chesterset
14.07.2018 07:19+18Вёрстка «статьи» в «лучших традициях». Понимаю, что вы наверняка под большими эмоциями писали всё это, но стиль изложения откровенно ужасен. Во-первых, не следует перебарщивать с жирным текстом. Вы выделили так много всего, что смысл от этого выделения пропадает напрочь. Во-вторых:
они сразу же пытаются манипулировать мнением говоря «или об этом уже нельзя говорить?»
Я уверен, что у вас в мыслях должен был получиться сарказм, но, увы, он не вышел. Сарказм вышел здесь.
очередная наглая ложь
наглая ложь
нагло игнорировала
наглейшим образом игнорировали
нагло Вам наврёт
Зачем вы так часто используете прилагательное «нагло/наглая»? Вы можете себе представить более-менее серьёзную статью, где автор будет так разъясняться? Что будет, если «доказательства прямой лжи Burger King» окажутся вовсе не доказательствами, а домыслами или неверным интерпретированием? Пусть даже часть, пусть даже малая, но всё же.
Я понимаю вашу обиду по причине хамских ответов, угроз и неадекватной реакции (не важно чьих), но разве это повод зажигать факел, поднимать вилы и худшим образом отвечать на всё это?
Сейчас ваша запись больше похожа на истеричный крик ребёнка, истерику, очень самоуверенную:
Каждый пункт «опровержения» Burger King — разбит мною в пух и прах.
Это вам кажется, что вы разбили что-либо в пух и прах. Насколько убедительны и правдивы ваши доказательства и прочее — это уже читателям решать (и прочим).
Что же до самой темы статьи (хотя это и не совсем статья, скорее запись в личном блоге на Хабре) — полностью поддерживаю основной призыв к проверке всех причастных. Аргументы вида «это аналитика, ничего страшного, расходимся» лично мне не кажутся убедительными, как и отписка компании-разработчика о том, что всё шито-крыто. Даже если согласие на запись экрана было бы прописано где-то в дебрях Политики или Правил (насколько я понял, там об этом не написано — могу ошибаться), такая практика явно не согласуется с прозрачностью, которую пропагандирует GDPR и прочее. От согласия на использования куков стократно меньше толку, чем от явного и информированного согласия на запись экрана (хотя бы потому что обыватель с большей долей вероятности поймёт, что такое запись экрана, чем какие-то куки). Нет никаких гарантий, что видео, даже если там все поля по сто раз закрашены/заблюрены, не сопоставляются с пользователями, да и толку от видео без сопоставления? (не просматривать же все подряд в поисках бага, скорее багрепорт или лог об ошибке должен сопровождаться записью экрана). Если система не прозрачна, тогда исходить следует из самого худшего и «полезная функция» по-умолчанию не только не полезна, но и вредна.
Особенный пламенный привет хотелось бы выразить от лица тех, у кого wi-fi такой же лимитированный, как и мобильная сеть. Считаю крайне порочной практикой тратить трафик пользователя, пусть даже через wi-fi на то, что не имеет прямого отношения к заявленным функциям приложения. Кто-то удивится, но wi-fi может раздаваться с такой же обычной сим-карты, с другого смартфона, а в некоторых странах есть как лимитированный трафик для wi-fi, так и система «добросовестного использования» (это когда у вас есть условные 50 ГБ «быстрого» интернета, после чего скорость режется до начала следующего месяца). Так что гонять видео, пусть и в плохом качестве в нон-стоп режиме для 10% пользователей (как заявляет разработчик приложения) это ой как расточительно. И без этого видео всякие метрики наверняка жрут не меньше, а то и больше самого функционала, так ещё и видео не хватало. Так что да, wi-fi нисколько не гарантирует, что неудобства не причиняются. Избежать этого легко — спрашивать разрешение на такое необязательное логирование.TimsTims
14.07.2018 13:27в некоторых странах
Но ведь это приложение работает только в России по сути. Зачем ты будешь заказывать в Россию бургеры, находясь в другой стране? Это же и касается утверждения, что баланс уйдет в минус в роуминге.
гонять видео, пусть и в плохом качестве в нон-стоп режиме
Mp4 очень хорошо сжимается, и минутное видео может весить даже меньше чем картинка(сам делал обучающий ролик на 90секунд в хорошем качестве, весил меньше 1мбайта). Ведь завалить трафиком пользователя можно и всего одной кривой картинкой сочного бургера на 10мбайт, почему такой аргумент тогда не берется в счёт? А если таких картинок будет 20? Но ведь нет, жирные картинки — это нормально, а запись видео — тяжело для трафика.
FreeNickname
14.07.2018 16:33Картинка бургера имеет прямое отношение к функциональности приложения. Лучше бы её, конечно, сжать, но она хотя бы полезна для пользователя напрямую. А аналитика просто ест трафик. Насчёт локальной природы приложения – в России точно так же можно раздавать мобильный интернет по wi-fi. Ну и я лично не проверял, но некоторые пользователи скидывали скриншоты статистики использования сети приложением Burger King, и порой за месяц набегал гигабайт трафика в фоновом режиме, при чём именно по сотовой сети. Это очень-очень-очень много в фоне для приложения для заказа бургеров.
По теме статьи нечего добавить к словам chesterset, он прекрасно всё сформулировал. Нужно всё проверять. Лично мне «видеодоказательства» автора кажутся крайне сомнительными, как и статьи. Полезный в целом позыв, который может быть разрушен маленькой «ложью во спасение», которая может оказаться не такой уж и маленькой. А может и не ложью. Нужно разбираться.
vedenin1980
14.07.2018 19:30Это же и касается утверждения, что баланс уйдет в минус в роуминге.
Разве в России уже все операторы отменили роуминг между городами (серьезно не в курсе, давно в России не был)?
И разве в Россию не приезжают иностранцы (особенно из ближнего зарубежья), которые как раз будут в роуменге?
жирные картинки — это нормально, а запись видео — тяжело для трафика.
Жирная картинка грузится один раз, а видео если оставить включеным приложение может писаться всю ночь, заодно убив батарею в ноль (и кстати тому кто грузит на мелкий экран мобильного HD картинку для гиганского десктопного дисплея тоже руки нужно оторвать и переставить в правильое место).
Плюс я готов заплатить за основой функционал приложения, но почему за мой счет производится его отладка (причем без предупреждения), а жирные картинки при этом тоже никуда не деваются? С таким же успехом они могли в фоне майнить криптовалюту (это тоже полезно для улучшения приложения, ведь надо же платить программистам).
ChieF_Of_ReD
14.07.2018 13:37+6Вёрстка «статьи» в «лучших традициях».
Вы выделили так много всего, что смысл от этого выделения пропадает напрочь
Зачем вы так часто используете прилагательное «нагло/наглая»? Вы можете себе
представить более-менее серьёзную статью, где автор будет так разъясняться?
Сейчас ваша запись больше похожа на истеричный крик ребёнка, истерику, очень самоуверенную
Знаете, вы мне сейчас напоминаете некоторых разработчиков с работы. диалог в слаке:
-Мы теряем бабло, вот бага фиксите, проблема там и там.
— Нуу, пишите таску.
— Какая таска фиксите багу, мы теряем деньги, клиентов.
— Нуу, нужна таска.
— Исправляйте проблему, а потом хотите пишите себе таску.
Та история закончилась хорошо, самодовольному программиста дал по шапке его тимлид, они быстро пофиксили проблему и все продолжили жить счастливо.
К чему это всё я, ваш менторский тон и снобизм, что не так в оформлении, в выделениях жирным, небольшие факапы в используемых оборотах это всё настолько мелочь, как та таска из истории выше, где скорость освещения и решения проблемы важнее.
Я не знаю чем закончится эта история в итоге, даже гадать не буду, но давайте будем терпимы в молодым специалистам, ибо сейчас именно они (в частности он) 18 летний парень, нашёл и пытался разобраться, а не великовзрослые дяденьки, что считают многие вещи в порядке вещей, как например запись видео с экрана телефона.denis-isaev
14.07.2018 13:57+5Та история закончилась хорошо, самодовольному программиста дал по шапке его тимлид
Хорошо — это когда тимлид предпочел дать по шапке, вместо того, чтобы написать разрабу таску?ChieF_Of_ReD
14.07.2018 14:25Всё познаётся в сравнении, где-то описание таски будет несомненно важнее, хорошо — это когда есть понимание, что сейчас приоритетно. Но в данном примере, решить проблему с потерей денег для всей кампании — это важно, внутренний учёт времени они смогут решить и позже.
VolCh
14.07.2018 14:39+2Кроме субъективного понимания в компании могут быть объективные регламенты. А на личной практике было когда генеральный директор запрещал мне лично брать в работу задачи, поставленные не через тасктреккер и обещал
штрафоватьдепремировать. В описанной вами ситуации максимум бы на что я пошёл — это прямое указание от него начинать заниматься задачей, пока тимлид её оформляет в треккере.
Понимаете, для разработчика внутренний учёт времени может быть единственным явным фактором, влияющим на его удовлетворенность работой. И это обычно компания его ставит в такие условия, что без таски ему начинать работать над задачей себе дороже. Даже если флоу работы над заадчей разработал сам разработчик, то утверждал его кто-то другой. Получив несколько раз по шапке за отклонения от флоу от тимлида, даже устное распоряжение генерального директора может быть не указ.ChieF_Of_ReD
14.07.2018 14:55Бесспорно, вы правы, ситуации и внутренняя кухня у каждой кампании своя, они сложились за долгие годы ошибок и опыта.
Понимаете, для разработчика внутренний учёт времени может быть единственным явным фактором, влияющим на его удовлетворенность работой.
А вот над этой ситуаций в вакууме я поразмышляю на досуге, уж как-то безрадужно.Mabusius
14.07.2018 15:54+1Поразмышляйте над другой ситуацией — срочное решение тимлида было ошибочным. И когда это вскрылось умный тимлид смекнул, что кроме слов программиста никаких доказательств его вины нет и он начинает врать, что никакого указания не давал, а это все программист сам сломал. Лично я именно поэтому ничего без тикета не делаю. Так же еще бывает, что задача огромная, с кучей нюансов, все запомнить невозможно, а потом эти забытые моменты делают твоим косяком, потому что ты не сделал, что приказано. А возможно и сам тимлид забыл тебе об этом нюансе сказать, но теперь не хочет признавать свой косяк.
JekaMas
14.07.2018 17:29Сразу вспомнился скандал с Volkswagen
https://m.habr.com/post/268899/
Тикет должен быть. Хотя бы для того, чтобы программисту быть уверенным, что именно не так, как оно должно быть и с описанным результатом сверять свой труд.
brusi
14.07.2018 19:01Согласен с вами, что без таска делать что-то себе дороже. Особенно это актуально для аутсорсинговых компаний, когда у заказчика все срочно-немедленно. Хотя в большинстве случаев задачи имеют срочный статус только по вине самого заказчика, который заранее не озаботился поставить задачу на требуемый функционал.
solver
14.07.2018 20:09Доводите тогда уж свою линию «Лид чудак и на все пойдет чтобы отмазаться», до конца))
А именно, когда доходит дело до разборок, а ведь лид бескомпромиссный, он договаривается с админом трекера или сам имея доступ, подчищает в БД все концы, так что он становится совершенно чистым. Ведь все забытое при создании такси там есть или же наоборот, нет вообще никаких упоминаний задачи и «никакого указания не давал, а это все программист сам сломал»…
такие дела)))PsyHaSTe
15.07.2018 11:24+3Это вряд ли. Хотя бы потому, что любой уважающий себя трекер шлет уведомления о любых изменениях статуса задачи на почту. И если потом найти эту несуществующую задачу, будет очень «ой». Особенно учитывая, что номера у задач обычно идут по порядку, и если после 10204 задачи идет сразу 10206, то это вызывает подозрения. Лид за такое быстро вылетит.
А у меня лично была похожая ситуация, где даже наличие таски мне не помогло, ведь я «не догадался» и не расписал всё на 200% в этой самой таске. Там было типа «да, мы решили, что Selenium единственный вариант реализации, но мы не решили, что мы его внедряем. Зачем ты потратил 2 дня на это внедрение? ататата». Собственно, я в той конторе меньше года проработал из-за таких приколов.
ainoneko
16.07.2018 10:07+1Но в данном примере, решить проблему с потерей денег для всей кампании — это важно,
Это важно для компании, в чьё положение рекомендуется (бесплатно?) входить разработчику.
внутренний учёт времени они смогут решить и позже.
А могут и не решить, как, вероятно и сделали в предыдущий раз.areht
16.07.2018 13:41Простите, а вы на работе обычно чем занимаетесь, если решать проблемы заказчика вам из раза в раз не оплачивают?
chesterset
14.07.2018 22:51+3К чему это всё я, ваш менторский тон и снобизм, что не так в оформлении, в выделениях жирным, небольшие факапы в используемых оборотах это всё настолько мелочь, как та таска из истории выше, где скорость освещения и решения проблемы важнее.
Для вас — мелочь. Я не утверждаю, что просчёты в оформлении статьи нивелируют её посыл, но даже голый plaintext лучше, чем халтурное и бездумное оформление. Если нет времени что-либо оформлять достаточно не использовать никакой вёрстки, просто абзацы разделить и заголовки использовать.
Ваша аналогия вовсе не аналогия, там речь идёт о бюрократизме. Правильной аналогией было бы оформление таска в худших традициях, чтобы читать аж больно было, вместо того, чтобы хотя бы просто в чате расписать сплошным текстом.
Я не знаю чем закончится эта история в итоге, даже гадать не буду, но давайте будем терпимы в молодым специалистам, ибо сейчас именно они (в частности он) 18 летний парень, нашёл и пытался разобраться, а не великовзрослые дяденьки, что считают многие вещи в порядке вещей, как например запись видео с экрана телефона.
Терпимость != не подвергать критике, иначе он и в 20, и в 30 и т.д. будет делать такие же ошибки. Я не зря сначала высказал своё мнение относительно оформления статьи, а после — вполне себе поддержал и выводы, и призывы автора. Коль вы любите аналогии: если я вижу правильно работающее приложение, но плохой код, я похвалю за работающее приложение и отмечу ошибки в коде, но никак не промолчу по принципу «ну раз работает приложение, то грех на код жаловаться».
И я надеюсь, что не решили скопом меня к великовозрастным дядькам причислить, для которых запись экрана — норма жизни?)
Ipeacocks
15.07.2018 01:01+4Вы вероятно не инженер, раз не поняли диалога. Программисты просят тикет не потому (или не всегда потому), что они хотят отморзиться от работы, а потому, что начальство утверждает, что он ничего не делал без него. Я примером работал в компаниях, где просто так самому создать тикет нельзя и когда я делал задачи ребятам потому, что они просто просили в меседжере — это не было достаточным аргументом моей занятости.
SemaIVVV
14.07.2018 19:50Вы не очень разбираетесь в технологиях?
Автор статьи после просьбы доказательства, словил и сохранил видео с открытыми данными своей банковской карты — ЗА ПРЕДЕЛАМИ СВОЕГО ТЕЛЕФОНА. Данные ушли в сеть, где он их перехватил на своем маршрутизаторе/десктопе (и т.д. нужное подчеркнуть).
Что помешает мне повесить снифера на ваш домашний маршрутизатор (или вообще провайдеру на маршрутизатор) и собирать все эти видео всех пользователей? (Эксплойты захвата маршрутизаторов почти на все модели действуют, и пока не устраняются разработчиками программного обеспечения этих маршрутизаторов — взломать ваш роутер, дело времени, равного обнаружению ваших портов сканером).Sabubu
14.07.2018 20:09Автор для перехвата HTTPS установил на телефон сертификат, а вы, получив контроль над роутером, все равно не сможете читать HTTPS трафик.
Но проблема действительно есть: хотя в видеозаписях и закрыт номер карты, но там не закрыт номер телефона (перс данные), и без уведомления и согласия пользователя его номер телефона передается в израильскую компанию AppSee. AppSee никак не связана российским законодательством и может делать с ПД россиян что хочет (позиция AppSee: согласно договору разработчик обязан пометить все области экрана, где есть перс. или другие чувствительные данные, если он забыл это сделать то это он и виноват, а AppSee не при чем, это лишь инструмент).
Странно, что некоторые люди беспокоятся об утечке номера карты, которая легко перевыпускается, и не беспокоятся о персональных данных, которые достаточно один раз слить в сеть или в базы дата-брокеров и потом никак оттуда не удалить.SemaIVVV
14.07.2018 20:33-1Карта пере-выпускается, когда с неё уже снял деньги кто-то, и правда, чего беспокоится то?
Какие поля скрыты? Автор предоставил видео — все поля открыты, все данные карты есть — бери и покупай что хочешь.
Сниф на маршрутизаторе — на его работу между устройствами пользователя и интернетом — не кому даже и «матюкнутся» (ибо его софт никто не контролирует из сторонних АВ и прочих защитников).
Общается то с внешним миром именно снифер со своим сертификатом, он свой запрос подписанный своим сертификатом шлет на сервак, получая ответы, а затем дублирует сквозной исходный запрос, отвечая на свой запрос дропом соединения с ошибкой.
Усё Уася, два запроса, два идентичных ответа, один мне в сниф, второй юзеру на устройство. При чем дубль запроса и сбор данных идет только на интересующие домены (чтобы критично не тормозить трафик пользователю).Sabubu
14.07.2018 21:00+2Нет. У вас не получится перехватить HTTPS трафик на роутере без установки своего сертификата на устройство (или без похищения приватного ключа сертификата компании AppSee).
Если вы смотрите HTTPS трафик, то он зашифрован временными ключами, которых у вас нет (они хранятся в памяти устройства и сервера). Если вы пытаетесь прикинуться сервером, то вы не сможете без сертификата доказать, что вы это настоящий сервер.
Деньги на карту наверняка вернут при незаконном снятии. А вот если ваше имя или телефон утекли в сеть или иностранным компаниям, которые вам ничего не должны, то вы их не удалите. А если они попали в базы NSA — то вообще ничего не сделаете.Elmot
14.07.2018 21:05У моей мамы со сберской карты увели 3000 руб. Полгода обращений вбанк ни к чему не привели, деньги никто не вернул.
Sabubu
14.07.2018 21:10Я не знаю деталей, и не могу что-то прокомментировать, но ведь это всего лишь небольшие деньги. По идее, банк должен возвращать деньги, если они были сняты без разрешения владельца карты так как только он может ими распоряжаться. Но персональные данные будут всю жизнь у кого-то храниться, передаваться и распространяться. Это гораздо хуже.
Elmot
14.07.2018 21:44И то и другое плохо. А факты таковы — есть пострадавшие от утечки ПД, причем в ряде случаев ПД сливались спецслужбами (и не только российскими), которые клали с прибором что на GDPR, что на 152-ФЗ. Есть пострадавшие от кардеров, которым банки не стремятся возвращать деньги. Я не знаю, как у нее угнали карту, я не знаю как бы развивалась ситуация, если бы там было 300тыр. Так что что хуже — не ясно.
vedenin1980
14.07.2018 21:57+1которые клали с прибором что на GDPR
В GDPR есть оговорка, что на гос.службы она не распостраняется, поэтому спецслужбы могут класть на нее совершенно легально.
lostpassword
14.07.2018 07:30хакер_и_солонки.txt, ИМХО
Не самая приятная функция, и по-хорошему разработчики должны бы спрашивать подтверждения — но тут из неё сделали какую-то детективно-шпионскую историю, местами переходящую в драму.
В общем «Ну да, ну ужас. Но не ужас-ужас-ужас!!!».
Но вектор атаки интересный, да.Arris
14.07.2018 08:24+6Ну спросят они подтверждения. Ну откажешь ты. А они не послушают и все равно будут писать видео. Как будто ваша галочка под EULA что-то значит…
… когда вас надо засудить — «вы же сами все подписывали»
… когда им надо отмазаться — «мы не знаем, что там написано»Ernillgeek
15.07.2018 01:13+1> Как будто ваша галочка под EULA что-то значит
Да, значит. Открывайте ГК РФ и читайте что такое акцепт публичной оферты. Ставя галочку или нажимая кнопку «Согласен» вы совершаете юридически значимое действие. А то что вы об этом не задумываетесь — ваши проблемы.Sabubu
15.07.2018 01:29Закон может добавлять более строгие требования. Например, для рассылки спама нужно получить письменное согласие пользователя, а не галочку под соглашением из 10000 слов. А в банке обязаны назвать точную стоимость кредита, а не прятать ее в куче длинных условий и предложений.
И это правильно, так как компаниям, понятно, выгоднее спрятать важную информацию. Банку выгоднее не говорить сумму кредита, а составить такой план, чтобы казалось, что он дешевле, чем есть. Приложениям выгоднее не рассказывать пользователю, какую информацию они извлекают из телефона.
И конечно, если где-то есть недоработки, то значит нужны новые законы, которые запретят тайную слежку за пользователем. Если программа хочет следить — то пусть скажет об этом явно и открыто, не пряча ничего в EULA. И даст возможность покупать бургеры, отказавшись от слежки.
Для работы с персональными данными во многих случаях галочки недостаточно. Тем более что тут и галочки не было, как я понял. Юридически ли значимо нажатие кнопки в общем случае — вопрос спорный. Так ведь можно сделать условие, что «нажав на галочку, вы обязуетесь пожизненно платить 10 000 рублей в месяц за аренду программы и оплатить неустойку в размере 1 000 000 р за досрочный разрыв соглашения». Но я что-то сомневаюсь, что вы сможете этот миллион отсудить у пользователя.
Здесь приложение, никак не предупредив пользователя, ведет скрытую видеозапись экрана и тайно собирает информацию об устройстве, вроде номера IMEI. Больше напоминает шпионский функционал, не находите? Зачем им номер IMEI? Вычислять тех, кто ввез телефон из Китая нелегально?
> А то что вы об этом не задумываетесь — ваши проблемы.
А вы когда приходите в кафе, магазин, гостиницу или клинику, читаете все договоры, соглашения, дополнительные условия? Вы ведь сами можете оказаться в ситуации, когда у вас появятся проблемы. Скажите спасибо, что по нашим законам такие соглашения сильно ограничены Гражданским Кодексом. Если бы законодатели рассуждали как вы, то тогда вообще на улицу нельзя было бы выйти, не нарушив какое-нибудь соглашение и не попав на деньги.Ernillgeek
15.07.2018 01:32Я не защищал БК, я полностью поддерживаю автора поймавшего их на воровстве и вранье. Я лишь отвечал на глупость, что якобы акцепт публичной оферты ничего не значит.
Sabubu
15.07.2018 02:00Ладно, побуду диванным юристом. Давайте разделять понятия EULA и оферта. В США есть юридический трюк, там копирование программы в память при запуске регулируется авторским правом и если вы не принимаете EULA (которая это разрешение), то нарушаете авторское право. У нас в России, к счастью, такого маразма нет: если кто-то предлагает программу бесплатно, то ей можно бесплатно пользоваться без всяких EULA.
Теперь вернемся к оферте. ГК, ст. 435:
> 1. Офертой признается адресованное одному или нескольким конкретным лицам предложение, которое достаточно определенно и выражает намерение лица, сделавшего предложение, считать себя заключившим договор с адресатом, которым будет принято предложение.
> Оферта должна содержать существенные условия договора.
> 2. Оферта связывает направившее ее лицо с момента ее получения адресатом.
ГК, ст. 437:
> 2. Содержащее все существенные условия договора предложение, из которого усматривается воля лица, делающего предложение, заключить договор на указанных в предложении условиях с любым, кто отзовется, признается офертой (публичная оферта).
ГК, ст. 438:
> 3. Совершение лицом, получившим оферту, в срок, установленный для ее акцепта, действий по выполнению указанных в ней условий договора (отгрузка товаров, предоставление услуг, выполнение работ, уплата соответствующей суммы и т.п.) считается акцептом, если иное не предусмотрено законом, иными правовыми актами или не указано в оферте.
Обратите внимание на то, что я выделил. Оферта должна содержать существенные условия договора. Короткая фраза, «нажимая кнопку, вы соглашаетесь с условиями» не содержит существенных условий и потому на мой взгляд не может быть офертой.
Также, обратите внимание на ст 438. Пока вы не выполнили условия договора (к которым нажатие кнопки вряд ли можно принтянуть), например, пока не заплатили за услугу, можно смело считать, что оферту вы не принимали.
Наконец, как мне кажется, закон подразумевает свободный выбор — соглашаться или не соглашаться с офертой. Более того, ст. 443 даже предлагает третий вариант ответа:
> Ответ о согласии заключить договор на иных условиях, чем предложено в оферте, не является акцептом.
> Такой ответ признается отказом от акцепта и в то же время новой офертой.
Если приложение не дает возможности выбора, или предложения другого варианта ответа, то, как мне кажется, нельзя говорить о свободе выбора и о согласии.
Иначе бы любой магазин мог написать: «входя в наш магазин вы соглашаетесь пожизненно оплачивать наши услуги».
Я например не вижу разницы между «входя в наш магазин вы соглашаетесь..» и «нажимая кнопку регистрации, вы соглашаетесь ...». Вы видите?
Sabubu
15.07.2018 02:26+1То есть в моем понимании, публичная оферта выглядит как-то так:
— Продам 10 кг сахара за 500 руб.
— Любой пришедший в БК с котом на голове может купить большой бургер со скидкой 50%.
Тут все есть: и существенные условия, и видно, какое действие надо сделать, чтобы принять оферту (заплатить за сахар или за бургер), и видны обязательства продавца (продать указанный товар по оговоренной цене).
Теперь посмотрим на соглашение, которое придумали в БК: burgerking.ru/legal_for_app
Оно явно сделано на американский манер и напоминает американскую EULA, а не оферту. Попробуйте найти там предмет договора. О чем этот договор? О том, что пользователь обязывается пользоваться приложением? Попробуйте найти обязанности компании. Что она должна сделать в рамках договора?
> 2.1. Настоящее Соглашение регламентирует отношения между Компанией и Пользователем, надлежащим образом, присоединившееся к настоящему Соглашению для использования мобильного Приложения.
Но никто не запрещает пользоваться приложением, не присоединяясь к соглашению. Нажатие кнопки или ввод номера телефона очевидно таким не является.
> 2.3. Условия настоящего Соглашения являются публичной офертой в соответствии с частью 2 ст. 437 Гражданского кодекса Российской Федерации, и использование Приложения возможно исключительно на условиях настоящего Соглашения.
Нет, так как пользователю не показываются существенные условия договора и не дается возможности выбора. Приложение распространяется бесплатно, следовательно пользоваться им можно без заключения договоров. Иначе оно бы выдавалось только под роспись.
> 2.4. Использование Приложения является акцептом публичной оферты и подтверждением согласия Пользователя с условиями настоящего Соглашения.
Такого в законе не предусмотрено.
> 2.5… Компания вправе вносить изменения и/или дополнения в Соглашение. При внесении изменений в Соглашение Компания публикует новую действующую редакцию Соглашения, и дата публикации является датой вступления в силу новой редакции Соглашения.
Насколько я помню, закон такого не допускает. По крайней мере, если новое соглашение ставит пользователя в менее выгодные условия.
> 5.1.… Компания вправе от своего имени направлять Пользователю… рекламные или иные сообщения на адрес электронной почты, номер телефона, указанные Пользователем,…
Это противоречит закону, который требует письменное согласие, если я не путаю.
Поищем теперь обязанности, выполнение которых Пользователем могло бы подразумевать принятие оферты в соотв-и со ст. 438 ГК, если бы она была предложена ему должным образом.
> 4.2. Пользователь обязуется не распространять ложную или конфиденциальную информацию о Приложении или о Компании.
То есть если пользователь распространяет ложную информацию, то он не выполнил условия и не принял оферту? Да и я не уверен, что это не противоречит свободе слова.
> 4.3. Пользователь обязуется не использовать стороннее ПО и другие технические средства, влияющие на работу Приложения.
Опять же, если использует — значит не принял оферту?
Если вы прочитаете соглашение, то вы не найдете там предмета договора. Там нет слов вроде «компания обязуется продать пользователю выбранный им бургер, а пользователь — оплатить и забрать его в установленный срок». Там только общие слова вроде пользователь разрешает обрабатывать свои данные, обязуется не декомпилировать приложение. А обязанностей компании там вообще нет. То есть это даже договором нельзя считать, так как он не обязывает одну из сторон ни к чему.
Также, как я понимаю, пользователю при запуске приложение существенные условия договора не показываются и он может пользоваться приложением без принятия каких-либо оферт.
В общем, у меня ощущение, что юристы там просто скопировали соглашение с какого-то американского сайта, либо у российской компании, которая скопировала его с американской EULA.
Sabubu
15.07.2018 02:40Кстати, в ГК можно найти много интересного, если покопаться. Как вам такое:
ГК, ст. 169:
> Статья 169. Недействительность сделки, совершенной с целью, противной основам правопорядка или нравственности
> Сделка, совершенная с целью, заведомо противной основам правопорядка или нравственности, ничтожна и влечет последствия, установленные статьей 167 настоящего Кодекса. В случаях, предусмотренных законом, суд может взыскать в доход Российской Федерации все полученное по такой сделке сторонами, действовавшими умышленно, или применить иные последствия, установленные законом.
На мой взгляд, тайная видеозапись экрана, а также тайное получение IMEI противно основам нравственности; это очевидно аморально. Да и реклама от БК, скажем прямо, балансирует рядом с границей нравственности.
> Статья 170. Недействительность мнимой и притворной сделок
> 1. Мнимая сделка, то есть сделка, совершенная лишь для вида, без намерения создать соответствующие ей правовые последствия, ничтожна.
Размытое пользовательское соглашение, которое не накладывает никаких обязательств на БК, очень напоминает «мнимую сделку», совершенную лишь для вида.
> Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
> 1. Сделка, совершенная под влиянием заблуждения, может быть признана судом недействительной по иску стороны, действовавшей под влиянием заблуждения, если заблуждение было настолько существенным, что эта сторона, разумно и объективно оценивая ситуацию, не совершила бы сделку, если бы знала о действительном положении дел.
Очевидно, что тут есть заблуждение: реклама обещала, что приложение просто раздает бесплатные купоны, а на самом деле приложение собирает персональные данные, номер IMEI и тайком проводит тесты на устройстве пользователя, жрет трафик как не в себя. И конечно многие бы не стали его ставить, если бы знали об этом.
> Статья 179. Недействительность сделки, совершенной под влиянием обмана, насилия, угрозы или неблагоприятных обстоятельств
> 2. Сделка, совершенная под влиянием обмана, может быть признана судом недействительной по иску потерпевшего.
> Обманом считается также намеренное умолчание об обстоятельствах, о которых лицо должно было сообщить при той добросовестности, какая от него требовалась по условиям оборота.
Я сначала думал, что «обмана» тут нет, но потом перечитал и вижу, что умолчание БК о тайных функциях приложения вполне можно посчитать таковым при желании.
Замечу, что я не юрист. Также, российские суды могут иногда очень причудливо трактовать законы, не обязательно так же, как я.Ernillgeek
15.07.2018 08:33Замечу, что я по одному из образований юрист, потому, если будет не лень завтра(сегодня никак, извините, у любимой женщины сегодня операция под общим наркозом, мне немного не до ответа на ваши простыни, прошу понять) отвечу.
Arris
15.07.2018 08:22[сарказм]
Строгость законов компенсируется необязательностью их исполнения — раз.
Два — в EULA могут написать абсолютно что угодно. Законов, регулирующих возможные или невозможные последствия по EULA, насколько мне известно, у нас нет.
Иными словами, это что-то значит для вас — если вы вчитаетесь. Но 99% компаний знают, что никто это не читает. Можно написать туда любую вредоносную хрень и знать — и её акцепнут.
Юридически, формально согласятся! А значит она станет «законной» и «правомерной».
Поэтому вам скажут: «А вы сами подписали, мы то тут причем?» — когда надо будет вас обвинить.
И скажут «У нас длинная еула, но её никто не читает», когда надо будет обелить себя.
Исходный посыл был именно таким. Читайте пожалуйста не через слово.Ernillgeek
15.07.2018 08:27+1Отвечаю. Читайте внимательно каждое слово.
Я ВСЕГДА читаю ВЕСЬ текст ВСЕХ договоров которые я подписываю или акцепчу. Всегда весь текст. И, да, я даже при установке программ о которых мне известно, что они распространяются под GNU GPL известной мне версии ОБЯЗАТЕЛЬНО читаю текст который показывает программа, прежде чем его акцептить.Arris
15.07.2018 08:37Отлично! Рад за вас.
Сколько % пользователей этого не делают? Вот то-то и оно.
Нет механизмов, регулирующих добросовестность таких предложений…VolCh
15.07.2018 13:01Есть. Например, в ГК РФ второй параграф 9-й главы описывает такие механизмы для разных случаев.
Arris
15.07.2018 13:07Разве что
Статья 178. Недействительность сделки, совершенной под влиянием существенного заблуждения
нам тут поможет в случае чего.
Sabubu
16.07.2018 04:32Тут важно не забывать, что у EULA-подобных соглашений может быть разный статус в разных странах. Я, как диванный юрист, пока не нашел законов, которые бы обязывали вас соглашаться с ними или интерпретировали нажатие кнопки на сайте/установку бесплатного приложения как принятие оферты.
vedenin1980
14.07.2018 19:43Ну да, ну ужас. Но не ужас-ужас-ужас!!!
С одной стороны, вы правы, скорее всего сильной проблемы не будет (некоторые компании сами принимают и хранят данные карт и никто особо не возмущается).
С другой стороны, бить по рукам нужно каждый раз когда начинают творить фигню без спроса пользователя. И такой хайп ПОЛЕЗЕН в любом случае, следующая компания несколько раз подумает прежде чем включать подобную аналитику без явного разрешения. То есть лучше пусть хайп будет несильно обоснованым, чем это станет нормой и все будут пожимать плечами «гостиница пишет на скрытую камеру, приложение заливает вирус и получает рут аксес к телефону, все твои приватные фотки утекли непонятно кому и непонятно зачем» — но ВСЕ ЖЕ ТАК ДЕЛАЮТ.
lioncub
14.07.2018 08:18+7Не видел их рекламу до Вашего поста. Теперь мнение о компании вообще испорчено.
Jeditobe
14.07.2018 08:21+4А у меня во время глюка бонусной системы пропало 300 балов БК с карты, которые я накопил, не щадя живота своего. Я уже месяц жду ответа. Написал три жалобы, ответов нет. Бургер Кинг, доколе?
Neuromantix
14.07.2018 10:13+1Я все больше убеждаюсь, что никакие GDPR не помогут. Нужно не просто наказывать контору за такие утечки и дыры, а наказывать в пользу каждого пострадавшего (чтобы компании не договаривались за кулисами с чиновниками о штрафах в пользу государства), а так же запретить эту порочную строчку в любой EULA — «мы ни за что не несем ответственности — ни за баги, ни за глюки, ни за дыры». Вот когда ответственность за все это будет, причем перед всеми пострадавшими — тогда можно о чем-то говорить. А то сейчас очень многие хорошо устроились — можно наворотить чего угодно, заплатить штраф государству, а всем пострадавшим накатать отмазку «приносим извинения за неудобство» и этим ограничиться. А то, что пострадавшие могут получить кучу проблем из-за отсутствия ответственности компании — это уже никого не волнует. (Как пример — банк по ошибке блокирует карту, два месяца разбирательств и две недели походов, в итоге «извинения за неудобства» и все. А Можно, например, кредит так гасить — два месяца не платить, а потом извиниться? Если б банк платил всем пострадавшим хотя б по ставке пени по кредитам, то разбирательство б занимало часы, а не месяцы. Очень удобно рассчитываться за любые косяки извинениями)
s-a-u-r-o-n
14.07.2018 11:24+3Если запретить строчку об отказе от ответственности — не будет работать GNU GPL. А это уже совсем нехорошо.
EviGL
14.07.2018 12:19+2Не будет работать любая публикация открытого исходного кода. "У меня из-за вашего leftpad самолёт упал, оплатите пожалуйста".
Но всё же где-то надо провести грань между "я тут сделал код, пользуйтесь, но аккуратно" и "я банк, взял ваши деньги на счёт и могу их морозить, удерживать полгода и мне на всё наплевать". Последнее кстати и так активно пытаются регулировать в разных странах, но индивидуально для каждой области.
Neuromantix
14.07.2018 12:43+1Это, имхо. решаемо очень просто — если софт открытый, то ответственность несет тот, кто его бездумно использует («я скачал код с гитхаба, ничего не проверил, и самолет упал» — значит виноват ты, потому что должен был проверить). Если софт закрытый — то ответственность несет и разработчик и использующий — а кто больше, или кто не виноват — пусть выясняют потом в суде, а не сваливают с больной головы на юзеров. Потому что с софтом получается удивительная история, когда можно продать (именно продать, за деньги) глючный или того хуже продукт, и ничего за это продавцу не будет. На том же хабре были статьи о том. как адейты того или иного софта оказывались дырявыми, сливали пароли и тп. Почему-то копирасты очень любят сравнивать нематериальные продукты с материальными (кража и тп), но нести ответственность на том же уровне, как ее несут производители материальных продуктов, совершенно не хотят.
Neuromantix
14.07.2018 12:50Как минимум это должно касаться любого софта, работающего с банковскими и прочими финансовыми данными, и софта, критичного для безопасности окружающих (управление коммуналкой, транспортом и тп). Если глючит игрушка или видеопроигрыватель — то это пережить можно.
brusi
14.07.2018 20:12Так уже пропихнули или хотят пропихнуть какой-то такой закон, вплоть до уголовной ответственности для разработчика (т.е. программиста) даже за простой инфраструктуры банков и других стратегически важных сфер.
Если где-то ошибся, прошу сильно не пинать, давно читал.
Cryvage
14.07.2018 16:50+1Тема не такая простая, как может показаться. Закрытый софт тоже бывает бесплатным. Или может стоить очень дёшево. Я продам простенькую утилиту за $1, а у меня потом попытаются отсудить в сто тысяч раз больше. Проще тогда вообще не заниматься таким мелким бизнесом. Можно конечно сказать, мол давайте открывать вообще весь код. Но это тоже не выход. Заработать на открытом коде не всегда получается. Одно дело, когда человек открывает код осознанно. И совсем другое — когда он вынужден это делать. К тому же, если у приложения есть серверная часть, то вообще не важно открытый там код, или закрытый — нельзя проверить, из каких исходников собрано то, что крутится на сервере. То есть весь web пролетает. Да и не только он.
Вообще, я с вами согласен, что отказ от ответственности порой ведёт к беспределу. Проблема существует. Но, на мой взгляд, попытка её решить приведёт к ещё большим проблемам. Излишнее закручивание гаек, слишком сильно ударит по мелкому бизнесу — небольшим софтверным компаниям, и независимым разработчикам. Моментально появится куча троллей, которые будут профессионально выискивать баги, и подавать в суд. Крупные игроки потянут издержки. У них есть деньги. У них есть юристы, даже целые юридические отделы. У программиста одиночки юристов нет. Даже если в итоге он окажется прав, суд отнимет у него много времени и сил. А если окажется неправ — одна ошибка, возможно, будет стоить ему всего, что он заработал за несколько лет. И как-то это не выглядит справедливым. Мелкие игроки будут просто вытеснены с рынка. Конкуренции станет меньше. Издержек больше. Цены на софт взлетят до небес.Am0ralist
14.07.2018 19:08Знаете, ошибка врача может привести даже к уголовке. К большим штрафам. А получают они, зачастую, меньше даже средних программистов (если не брать топовых врачей, но и на них найдутся топовые программисты).
Проблема только в том, что при этом программисты и компании разработчики толком ничем не отвечают за то, что клепают откровенное говнище для работы этих же врачей.
По опыту работы в медлаборатории при медицинском центре говорю…brusi
14.07.2018 20:19А тут дело не всегда в программисте. Начинающий программист может просто не осознавать что он сделал что-то не так и его вины в этом нет. Тут больше вопрос к компании, которая не может нормально организовать свои процессы разработки, чтобы новички учились быстрее и не пропускать откровенную лажу в продакш.
Am0ralist
14.07.2018 21:07+1Начинающий врач, знаете ли… Но отвечает за неверный результат именно он, а лаборатория — по другим вопросам.
Ну и в пример, один из программистов уже с начал нулевых пишет вариацию одной лис для гослабораторий (исходную компанию купила другая, потом их вместе — ещё одна, сейчас очередной переход). Но он хотя бы при общении напрямую стал адекватно исправлять ошибки, а вот когда между нами стояло еще парочку инженеров внедрения, вот тогда был полный финиш.
А вот с программистами разработчиков ПО для приборов мне иногда бы ооочень хотелось пообщаться напрямую. Очень, блин, хотелось бы. Потому как надоело составлять списки на кучу строк с недочетами, которые вылезают при простой работе (например, не полный перевод с русского на английский их отчетов).
Большая часть ошибок уровня «Ну как так-то?»
А компаниям — плевать, откровенно. Что софтверным, что «хардварным».
Ладно, я что-то совсем офтоп ушел, извиняюсь…
VolCh
15.07.2018 13:16Программисты и компании-разработчики (вернее их руководители) могут тоже понести уголовную ответственность за неосторожность при совпадении тех же, по которым её могут понести врачи, да и вообще любые люди. Никаких отдельных «врачебных» статей в УК РФ нет.
Am0ralist
15.07.2018 14:26Еще раз: врачи несут ответственность за свои ошибки по исполнению своих прямых обязанностей.
Программисты? Скажите, сколько программистов получило сроки за, например, вот это?VolCh
15.07.2018 22:42В должностные обязанности какого программиста входит писать безошибочный код? Врачи несут ответственность не за любую ошибку, а за нарушение установленных процедур, приведшее к вреду.
Am0ralist
15.07.2018 23:38+1Ну я даже не знаю, что на это сказать. Может так?
Но вообще проблема не в том, что программисты пишут ошибочный код, а в том, что они за него по сути не отвечают. И в случае проблем, первым делом валят на пользователей своих программ.
И да, подскажите стандарты, которым обязаны подчиняться все программисты, за нарушение которых им грозят какие-либо реальные наказания?
Может, где-то прописано, что рабочее место оператора ИС не должно коннектится к базе через SYSDBA, причем строчка подключения лежит рядом с приложением в ini-файле? Вот вы нашли это и что? Разработчикам пофиг. Подавать в суд за то, что они это мееееедленно годами фиксят?
Может где-то прописано, что программа должна иметь настройки по ограничению объема хранимых логов, чтоб логи постоянно сыплющихся ошибок не забили системный диск, после чего база, которая хранится только локально и не имеет внятных инструментов бекапа, не умерла при попытке записать новые данные?
Может где-то прописано, что при обновлении программы хорошо бы не сбрасывать настройки пользователя, убивая обмен между программой и внешней информационной системы? После чего неделями приходится вылавливать сервисных инженеров и заставлять вертать настройки взад?
А как потребовать от разработчиков внятной документации (по документации кабель com для передачи данных должен быть распаян определенным образом, по факту через месяц боданий с сервисными инженерами все работает по стандартному)? Это какими-то стандартами прописано: разработчики должны давать корректную и полную документацию по ПО?
Все на всё кладут. Вот я искренне желаю, что б вас лечили исключительно с таким подходом, каким программисты у нас подходят к медицинской отрасли… Это будет даже не доктор Хаус. Это будет момент из идиократии…
Akon32
14.07.2018 12:38+2а так же запретить эту порочную строчку в любой EULA — «мы ни за что не несем ответственности — ни за баги, ни за глюки, ни за дыры». Вот когда ответственность за все это будет, причем перед всеми пострадавшими — тогда можно о чем-то говорить.
Разработка ПО будет стоить на порядок-другой дороже, т.к. будет больше тестирования. А кроме того, невозможно полностью протестировать более-менее сложное ПО, так что баги всё равно будут.
А сейчас в подавляющем большинстве случаев баги приемлемы, и ответственность никому не нужна.
Вот прямо сейчас у меня в Firefox тексты "отрицательных" комментариев рендерятся некорректно — половина коммента чёрным, половина — серым. В данном случае мне безразлично, но гипотетически кто-то мог бы понести убытки из-за такого бага. Если бы разработчики несли ответственность, можно было бы засудить либо Mozilla, либо ТМ. Они бы перестали существовать.
solver
14.07.2018 18:37С чего вы решили, что засудить можно по любой, даже самой банальной баге, которая вообще ни на что не влияет? Тогда бы любой косяк приводил к закрытию конторы. Ведь таких ситуаций было много в других секторах, не только ИТ. Но этого не происходит.
Вообще, вот эти самые «гипотетически понесённые убытки» еще доказать надо. А если это реальный кейс, то почему контора не должна отвечать за свои действия?
А так глядишь и не было бы у нас понятия «кросбраузерности»))
Все браузеры показывали бы одинаковый контент движками сделанными по стандартам, а не кто как хочет.Neuromantix
14.07.2018 19:03Я даже больше скажу — сбербанк, например. продает страховку от собственных багов! В частности, точно есть страховка от двойного списания средств с карты. Это гениальный
рэкетбизнес — создать баги, и потом брать деньги за страховку от них.
У меня как раз в единственный раз, когда я решил оплатить картой ощутимую для меня сумму, списали ее два раза, и почти три месяца я бегал и выбивал возврат, добился только после скандала в банке.
Или вот месяца 4 назад было массовое обновление софта у Почты России — в итоге отделения ПР не работали несколько дней почти везде. И если бы ПР нагнула разработчиков этого глюкодрома на всю утраченную прибыль (которая в данном случае очевидна — простой всей системы) — было бы превосходно.
Или с той же ПР несколько лет назад — тоже после очередного обновления заказное письмо с критичными документами уехало по совсем другому адресу (система почему-то автозаменила один индекс на другой), а так как адрес там был условно Ленина 10, кв 4, то попасть эти документы могли к кому угодно. Хорошо, директор отделения ПР меня хорошо знает, и удалось с его помощью письмо завернуть назад, но побегать пришлось. В других конторах тоже бывали проблемы из-за глюков софта. Вот за них и надо дрючить, чтоб на будущее такое делать было неповадно.lostpassword
14.07.2018 19:10Так это и сейчас можно сделать без проблем. Главное — грамотно договор составить.
Правда, согласится на такие условия либо фирма-однодневка, которой пофигу на ваши санкции (денег на компенсацию убытков у неё всё равно нет), либо нормальная фирма за олимпиард денег.
Вот Вы бы за сколько взялись разрабатывать программу, если Вам скажут, что сделать нужно за полгода, а за каждый найденный баг у Вас могут отсудить, скажем, сто тысяч рублей?solver
14.07.2018 23:00Вы как-то в одну сторону все передергиваете.
История с ответственностью за свои действия есть во многих отраслях, но почему-то в ИТ, которое сейчас играет очень важную роль в жизни большого количества людей, его нет. Нельзя просто так взять и выпустить например лекарство. Никому даже в голову не придет заказать разработку лекарства левой конторе за 10000$ и потом выпустить его с формулировкой «Сделали как смогли, все проблемы ваши».
Но в ИТ это почему-то норма. Хотя цена бага может быть очень высока. В том числе и человеческие жизни.lostpassword
14.07.2018 23:49Да нет, не передёргиваю.
Есть рынок, и он говорит, что разработка софта сейчас дорогая.
Хотите большее качество? Всё, что угодно — за ваши деньги. Но никто почему-то не готов эти деньги платить, вот же незадача.
Я очень сильно подозреваю, что в тех областях, где от софта действительно зависят жизни людей либо большие деньги (скажем, в авиастроении), разработка как раз-таки обложена кучей тестов и стоит как чугунный мост.
Ну и писать про "человеческие жизни" в теме про запись видео с экрана телефона тоже на передёргивание смахивает, не находите?)eteh
15.07.2018 00:35Насчет двойного списания у меня в свое время была зарплатная карта в госучреждении, где я трудился (Балтийского банка) и я был один на миллион, по их мнению, кто пользовался картой VISA Classic для покупок в инете, поэтому на удобство людей можно забить и каждую мою покупку в продуктовом магазине (причем только в них!) банк всегда списывал 2 раза, и раз — два в месяц я приходил и просил вернуть 30-50 тысяч рублей обратно, там даже операционистки меня узнавали и не задавали лишних вопросов… Было правда это году в 2012, а сейчас и банка того не существует… Но было весело когда ощутимый кусок зарплаты на то время утекает просто на повторные платежи…
VolCh
15.07.2018 13:21Человеческие жизни, здоровье, повреждение и уничтожение имущества в особо крупных размерах по неосторожности — разработчики программ несут уголовную ответственность, так же как врачи и вообще любые люди.
edogs
15.07.2018 13:47Теоретически да.
Но фактически тут 2 момента
а) Кто именно считается разработчиком программы. Архитектор не настоявший на защите от sql иньекций в проекте или «негр» ее не реализовавший ввиду не указания этого в спущенном ему ТЗ или клиент не посчитавший нужным за нее заплатить?
б) Что именно считать неосторожностью. Достаточно тонкая грань между случайностью и неосторожностью. По неосторожности не сделали защиту или по случайности?areht
15.07.2018 15:45Не сделать защиту можно только по неосторожности, в УК нет опции «случайности». По случайности это не «стрельнуло» раньше.
www.consultant.ru/document/cons_doc_LAW_10699/f6d815944e2b47ca6241b467279838b180b09bd5edogs
15.07.2018 19:04Если тебя сломали — значит не была сделана какая-то защита, таким образом при любом взломе можно смело сажать весь отдел програмимистов:)
В УК действительно нет опции случайности — о том и речь, что если это случайность, то это не УК.areht
15.07.2018 19:57Вы не прочитали ссылку, да? «Случайно» небось?
Отмазываться «случайностью» — это детсад, который слушать никто не будет. Посадят по УК за неосторожность и будут правы.
Впрочем, вы можете привести оправдательный приговор, где написано, что «не по неосторожности, а случайно — свободен»edogs
15.07.2018 21:27Отмазываться «случайностью» — это детсад, который слушать никто не будет.
Нет никакой нужды отмазываться случайностью.
Посадят по УК за неосторожность
Если докажут неосторожность. Презумпция невиновности знаете ли, все дела.
Впрочем, вы можете привести оправдательный приговор, где написано, что «не по неосторожности, а случайно — свободен»
Все программисты чьи продукты когда-либо взламывали уже сидят или еще не все?areht
15.07.2018 22:20Таки ни одного оправданного за случайность нету? Ну да, в реальности такого не бывает.
> Если докажут неосторожность. Презумпция невиновности знаете ли, все дела.
Прелесть. А в вашем чудесном мире с розовыми единорогами как именно неосторожность доказывают? И кто? )
PS. Так и представляю как уронили вы человека с крыши дома (он оплаченный вами товар получил и протерял), за вами приходят, а вы такой «а вот не докажете, что по неосторожности», и следак с прокурором такие «ну да, не докажем»и отпускают.edogs
16.07.2018 00:06Таки ни одного оправданного за случайность нету? Ну да, в реальности такого не бывает.
Давайте в студию дело, где посадили за случайность.
Прелесть. А в вашем чудесном мире с розовыми единорогами как именно неосторожность доказывают? И кто? )
Если Вы хотите говорить на уровне «захочут — посодют» то диалог смысла не имеет. В противном случае Вы и так знаете кто и как должен доказывать.
VolCh
15.07.2018 22:59Грань между случайностью (неопределенностью) и неосторожностью простая: знал или должен был знать опасные последствия своих действий или бездействия, или должен был и мог их предвидеть.
Но вот случаи с защитой от инъекций и прочих взломов не попадают, по -моему, под эти статьи, даже если кто-то погибнет. Виноват будет взломщик во взломе и будут выяснять допускал он или должен был допускать, что в результате взлома кто-то погибнет. Если вполне должен был понимать, что, например, удаление записи в базе приведёт к отключению реанимационного оборудования, то взлом и причинение смерти по неосторожности. Если не должен был, то только взлом с тяжкими последствиями, а смерть, увы, роковая случайность.Neuromantix
15.07.2018 23:09За взлом или баги в критическом оборудовании — никакой случайности быть не может.
brusi
14.07.2018 20:27Не знаю на сколько глючный софт у ПР, но то что там играет большую роль человеческий фактор, знаю точно. Когда пришел получать на почту конверт, то операторы оправдывали длинную очередь и долго обслуживание, что новая программа и они в ней путаются. И я слышал, как одна другой ещё добавила «надо будет все-таки почитать документацию, как пользоваться новой программой». То есть, у них есть документация и они должны были с ней ознакомиться заранее, хотя бы бегло, но понадеялись на авось.
Neuromantix
14.07.2018 20:33Там «новая» программа отличается от «старой» примерно как 95 винда от 10 винды, а в некоторых местах — как ДОС от 10 винды. Зачем это было сделано — я хз. При этом некоторые действия там полностью антиинтуитивны (я как раз эту документацию читал — она на стойке лежала, и я взял почитать — там интерфейсный ад на уровне фэйсбука и больше).
Это еще одна проблема — интерфейс тех же банкоматов с каждым обновлением перепиливают во все более упоротую сторону. По нескольку раз вводить одни и те же данные при оплате коммуналки или мобильника — это уже норма, хотя года 4 назад все было просто и понятно.
YetAnotherSlava
14.07.2018 19:50>Разработка ПО будет стоить на порядок-другой дороже, т.к. будет больше тестирования.
Ну, не всё так плохо. Есть вещи вроде Ada Spark, или Frama-C для статической верификации. Правда, придётся засунуть аджайл туда, где ему самое место. Зарплату разработчикам поднять. Темпы разработки унять. Перестать заниматься фигнёй с undefined и выравниванием div'ов, а вместо этого заниматься таки программированием, унять нынешнее ликующее фронтендерство.
Софта станет поменьше, это да. Кое-кто пойдёт таксовать и сажать картошку, вместо того, чтобы выпекать сайтики и мобильные приложения, как шаурму из собачатины (я здоровый как кабан\я работал по канбан). В общем, make programming great again.
VolCh
14.07.2018 10:26Если уж так любите российские законы, то на рассмотрение обращений граждан организациям даётся 30 (тридцать) дней. И исключительно на прямые. Что компания публично отвечает на неофициальное обращение на каких-то сторонних ресурсах, да ещё всего за день — жест доброй воли де-юре. И де юре, а не де факто GDPR не действует на территории России в отношениях между резидентами России. Де-факто же многие российские компании предпочтут удовлетворить требования гражданина Европы со ссылкой на GDPR.
imanushin
14.07.2018 14:31+2жест доброй воли де-юре
Это конкуренция в маркетинге. Сейчас БК и eLegion вдвоем проталкивают идеи вида "а что такого?", "мы ничего не собираем", "всё собранное анонимно" и "будешь еще болтать — получишь проблемы"
Получается, что фокус аккуратно размывается, плюс добавляются аргументы с невиновностью БК.
Если БК будет молчать, то читатели просто поймут, что компания нарушает законы. А сейчас получается, что "не всё так просто", так что большинство людей просто не будет дальше вдаваться в тему.
В итоге, получаем:
- Компания БК еще раз попиарилась
- Градус накала страстей в итоге упал
- Все поняли, что БК может еще и вычислить по IP (так как исследователю публично угрожают)
200sx_Pilot
15.07.2018 16:59жест доброй воли де-юре
Медаль размером с тарелку ответившему на неофициальное обращение на стороннем ресурсе!
Если бы БК потребовалось 30 дней до ответа — боюсь, отвечать было бы некому.
lagudal
14.07.2018 10:37Далек от Бургер Кинга, потому не пинайте если что — спросил в одном из предшествующих постов, является ли разработчик приложения для российского БК только, или глобально? Поскольку ответа на коммент от них нет, может кто еще знает? Я тут своим коллегам в Германии рассказал, которые довольно регулярно питаются в расположенном около работы БК, и активно пользуются app Burger King Deutschland, ну реакцию пока можно описать как недоумение. Поскольку, если запись идет глобально, то, как минимум, БК может стать первой реальной жертвой по gdpr, и я думаю, это будет ноакаут. А как максимум — тут можно только гадать.)))
А если только в России, то может отделаться подмоченной репутацией, если сами сдадут выгодопреобретателя всего этого дела.Alex_Q
14.07.2018 11:03Судя по тому, что компания-разработчик приложения есть на хабре, приложение локальное.
like_the_sun
14.07.2018 11:07+8Не понимаю, почему хабр превратился в пикабу. Никакой технической информации. Как повторить результаты автора? Один сплошной цирк
mike_Z
14.07.2018 19:44Не понимаю, почему хабр превратился в пикабу. Никакой технической информации. Как повторить результаты автора? Один сплошной цирк
Еще в первой статье было достаточно информации, чтобы проверить то, что написал автор. Если есть у кого-нибудь ios, проверьте плз, уходит ли видео открытым.
AlexVic
14.07.2018 11:08+1Я, например, считаю, что комментарии от Жени из БургерКинга — это отличная работа отдела СММ. МакДональдза, само собой.
stychos
14.07.2018 16:05Вообще вся эта история дурновато пахнет конкуренцией жареных крылышек. Цель всей эпопеи пока видится только в хайпе и получении автором выгоды.
GeekberryFinn
14.07.2018 18:30+2Вообще-то King Burger — никто не заставлял записывать видео.
И отвечать по-хамски матом — их тоже никто не заставлял.
Так кто им злобный Буратино?vedenin1980
14.07.2018 19:52И отвечать по-хамски матом — их тоже никто не заставлял.
Просто интересно: А уже есть доказательства, что это были настоящие сотрудники БК, а то ведь я тоже могу сделать аккаунт Женя из БК на многих сайтах нета?stychos
14.07.2018 21:39-3Видео каждый первый крупный сайт и приложение пишут. Так или иначе, даже без видео, информацию о вас постоянно собирают все кому не лень. А ещё банки распоряжаются вашими деньгами как хотят, и берут за это оплату, представляете? Кому всё это не нравится — волен уходить в свободный и труднее отслеживаемый даркнет, или дауншифтиться в монахи.
zzakirow
14.07.2018 21:43+1Ну, БГ себя во многом ведет себя как гопота.
Они постоянно делают себе рекламу, высмеивая или портя репутацию своим конкурентам.
Иногда это получалось забавно.
Но, однажды над ними их конкурент пошутил в рекламе.
БГ начал кричать о суде и т.п.
И БГ постоянно в каких-то скандалах участвует. Можете погуглить.
Lelushak
14.07.2018 11:11+1Во-первых — под «европейским законом о защите персональных данных» подразумевается GDPR. Он действует только для Европейского Союза, и Россия де-факто не имеет к нему никакого отношения.
GDPR работает в отношении любой компании, которая обслуживает хотя бы одного гражданина ЕС, независимо от того, где он или она находятся территориально. Так что если российская компания не хочет получить штрафы в Европе, то GDPR исполнять она будет для всех, ведь точно сегрегировать пользователей из России по их гражданству у них вряд ли получится.
Tangeman
14.07.2018 14:23+1Не совсем верно — гражданство ЕС никакой роли в GDPR не играет, играют роль два фактора (независимо):
— субъект обработки данных находится в ЕС (независимо от гражданства и срока нахождения — даже пролёт над ЕС достаточен, в теории);
— процессор данных или контроллер находится в ЕС.
И это всё. Голландец, находящийся в России, не защищен GDPR, если компания которая собрала его данные в России, не зарегистрирована в ЕС.
И наоборот — россиянин (и вообще гражданин любой страны или даже лицо без гражданства), заказавший услугу или продукт из любой компании в ЕС, уже защищен GDPR, независимо от того где он находится.
Совершенно теоретически, если кто-то, находящийся в ЕС, поставит и воспользуется приложением BK для России, и потом раскопает вот это все, это «подставит» BK Россия под GDPR, и вот тогда этот кто-то уже может набить морду BK, если окажется достаточно упорным, но «есть нюанс» — продукты или услуги должны предоставляться в ЕС, а BK Россия явно это делает в России, т.е. придётся долго и нудно доказывать что само приложение и его функциональность является услугой (ведь собственно бутерброды явно поставляются только в России).Ernillgeek
15.07.2018 01:17> пролёт над ЕС достаточен, в теории
Нет такой теории. Самолет — территория страны приписки. Пока вы не пересечете пограничный контроль на выходе в аэропорту вы не в ЕС, хоть 10 дней кругами летайте.
m0Ray
14.07.2018 11:17+3Я лично вообще не понимаю, зачем нужно ставить приложение Burger King? Ещё поставьте приложение ближайшей рюмочной, честное слово…
icetinte
14.07.2018 12:35+1Там отличные скидки, которые кроме как через приложение недоступны. Опять же накидал заказ, оплатил пока идёшь до БК, пришёл, забрал, ушёл. Удобно, только глючит оно
stychos
14.07.2018 16:08Ну так за всё надо платить. Раньше надо было платить кинотеатрам деньгами, сейчас — «бесплатным» говносайтам просмотром рекламы. То же и с бургерами, хочешь скидки — отдай что-то взамен.
GeekberryFinn
14.07.2018 18:36Бурегеры — не бесплатно установившие программу получают.
Так кто и за что платит?stychos
14.07.2018 21:36+1Пользователь — за удобство. Никто никого устанавливать программу силком не заставляет, как и травиться в фастфудных.
pha
14.07.2018 11:17+1Интересен момент про «данные собирают только с 10% пользователей».
fennikami легко смог повторить фокус с прослушкой данных, отправляемых приложением более одного раза («Когда проснулся — вспомнил что нужно сделать видео. Сделал»).
Во второй раз данные начали отсылаться сразу или пришлось выполнять манипуляции по попаданию в счастливые 10%?
Возникают вопросы, будут ли отправляются данные в Appsee, если
1) переустановить приложение / почистить данные приложения
2) залогиниться на другом устройстве a)Apple, b)Android
3) не залогиниваться вообще
4) залогиниться под другим аккаунтом на том же устройстве?
Mabusius
14.07.2018 12:15Не нужно видеть злой умысел там где есть место для простой глупости. Бургер Кинг скорее всего просто доверились топовой компании, а топовая компания сделала все тяп ляп, ибо они топовые и никто не станет их проверять.
Elmot
14.07.2018 20:52+1Скорее всего так и есть, более того подобный факап может быть у любой компании. Нормальная реакция уважающей себя и клиентов конторы в такой ситуации — покаянный пресс-релиз, срочное выпиливание или как минимум блокировка Appsee, далее водопад нисходящих трендюлей от БК к е-Легиону, фикс проблемы, бонус исследователю (вплоть до job offer).
Однако что мы видим — тяп-ляпы из еЛегиона/БК начали материться, вычислять по IP, и лепить туповатые оправдания и отмазки, а то и срочно записывать фейковые видео с квадратиками.
FrankSinatra
14.07.2018 12:23+2Для автора это превратилось в некую священную войну. Пользователь chesterset в своем комментарии хорошо расписал впечатления от нее.На хабре технические составляющие статьи должны преобладать над эмоциями и обвинениями, потому как это все скатилось в то, что хабр стал площадкой для холивара против БургерКинга. От себя добавлю, что новая статья добавляет только больше вопросов ко всем сторонам разбирательств. Верить на слово вам, либо бургеркингу, либо разработчикам уже не получится.
1) Брутфорс админской панели, поиск эксплоитов, попытка DDoS — предоставьте хоть какие-то доказательства, логи веб-сервера, админки, хостера.
2) Идентичность видео потока — нужны исходники 2 снятых видео, чтобы их можно было сопоставить.
3) Если видео может быть скомпрометировано подменой JSON конфигурации, его вообще нельзя принимать как доказательство от всех сторон разбирательства. Нельзя доказать достоверность. Без анализа всего массива видео в AppSee бесполезно что-то вообще на эту тему говорить.
4) Запись видео с выключенным в конфигурации сокрытием полей — логи от AppSee с включением настроек, которые бы это доказывали, логи отправки конфигов и т.п.
5) нарушение федерального закона «О персональных данных» и т.д. — компетентные органы должны решить нарушает или нет. Высказанные точки зрения являются субъективными.
6) В России соблюдение GDPR ничего не значит. На компанию распространяется GDPR:
-если компания продвигает товары или услуги в ЕС;
-если компания мониторит поведение субъектов из ЕС;
-если компания обрабатывает персональные данные европейцев (хотя бы 1 европейца);
-если компания имеет филиал или представительство в ЕС.
7) грубость и угрозы от сотрудников бургеркинга. Любой человек может зарегистрироваться под ником ZheniaBurgerKing, чтобы его идентифицировать надо приложить усилия. Скринов для хабра не достаточно, это не пикабу.
8) Факты вранья бургеркинга основываются только на видео записанном, либо все же есть еще доказательства?ragimovich
14.07.2018 12:57Для автора это превратилось в некую священную войну.
Самое время задать вопрос — cui prodest? Еще 11 числа в своем бложике автор писал:
Моей личной целью в этой истории было донести тот простой факт, что шпионство просто недопустимо. Ни под каким предлогом, нарушению приватности нет оправдания.
Я эту цель выполнил.
К теме Burger King больше не возвращаюсь.Правда потом он вернулся с постом
А нет, возвращаюсь
Хотели видос с пруфом что ничего не замазывается? А вот пилюА вот сейчас пойдут "размышления" в стиле автора. Второй пост появился после ответа eLegion в котором они сослались на скриншот автора и пояснили, что замазывать/не замазывать поля определяется в JSONе (https://habr.com/company/e-Legion/blog/417043/ картинка https://habrastorage.org/webt/mh/p5/8q/mhp58qnhsmfxxmojfyrfzewtmce.jpeg). Из этого, опять же в стиле автора (!), я делаю вывод — изначально он хотел "слиться", но получив дополнительную информацию, решил продолжить свою "борьбу", изменив поведение приложения (путем подмены ответов сервера appsee в том же Fiddler) и записи видео, которое не имеет отношения к реальному поведению приложения. Может ли он доказать обратное? Нет. Стоит ли доверять подобному "пруфу"? Ну, ХЗ, у нас 67% населения верит в мировое правительство, так что, безусловно, можно.
FrankSinatra
14.07.2018 13:22Ну судя по взлетевшей карме и рейтингу автора, и по тому, что меня уже немного загнали в минус, да многие доверяют автору и не поддают его доводы критике и сомнению.
gwathedhel
14.07.2018 13:34+2Не совсем так. Подозревать и сомневаться я, например, не перестал. Но соседний пост от роскомсвободы, а также то, как общается представитель БК — наводит на серьезные размышления какие люди там работают и на что они ещё могут пойти, чтобы выгородить себя.
FrankSinatra
14.07.2018 14:55Претензии РосКомСвободы должны быть проверены компетентными органами, юридический отдел БК пусть отдувается, когда будет пресс-релиз по этому вопросу можно в утвердительной форме говорить о нарушениях законодательства и последствиях для БК.
Представитель БК принимает участие в холиваре, который развязал пользователь, упрекающий компанию в нарушении законодательства и многих других вещах, из фактов только видео, которое можно подделать и много выводов на основании сомнительной информации, требующей тщательной проверки из-за серьезности обвинений.
Потому я и говорю, что хабр вдруг стал площадкой для холивара против БК, компанию без досконального разбирательства уже сделали виновной, хотя для этого нет никаких предпосылок. Зачем-то слили карму автору в статье от разработчиков, тоже не разобравшись в сути, вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен.gwathedhel
14.07.2018 15:09Не спорю в целом, лишь хочу добавить в частности: насколько я понял из поста роскомсвободы, есть факты нарушения 152фз налицо. Ибо есть официальный сайт, официальная еула и официальный пресс-релиз, в которых информация не соответствует тому, что делает приложение по факту. То есть не соответствует тем данным, которые собираются, и для этого достаточно открыть приложение и попользоваться, не нужно ничего хакать и пытаться сниффать трафик.
После этого, уже не так сильно хочется верить БК и в других моментах...
Wesha
14.07.2018 15:31Претензии РосКомСвободы должны быть проверены компетентными органами
А лично Вы уверены в, кхм, компетентности компетентных органов? По моим наблюдениям, там компетентность последнее время лежит в сфере выбора модели "Гелендвагена", а компьютерная грамотность — на уровне первокурсника.
FrankSinatra
14.07.2018 16:55Я уверен только лишь в том, что за данными органами есть право наказывать компании за нарушение законов РФ. Не мне оценивать их компетентность или ее отсутствие.
Лично я считаю, что легальность использования AppSee на территории РФ и соответствие их подхода к сбору аналитики должны оценить эти органы в соответствии с законами это регламентирующими, как и подход БК к использованию стороннего сервиса.
Вся суть холивара в «тайном» использовании AppSee на территории РФ компанией БК и нарушениях законодательства, которые им приписывает общественность. Если будут разъяснения от РКН, то все закончится и довольно быстро.Elmot
14.07.2018 20:58Официально наказывать компании имеют право их клиенты, суд и гос регуляторы. Уличать в нарушении законов, публиковать свои исследования и обращаться в вышеозначенные структуры может кто угодно.
FrankSinatra
14.07.2018 21:16+1Прежде чем кого-то наказывать, надо разобраться в ситуации.
«Burger King: тайная слежка, ложь, хищение банковских карт. Продолжение» но исходя из заголовка и написанного в статье разбирательств уже не нужно. Повторюсь вместо выяснения истинности доказательств и претензий уже почему-то перешли к обсуждению приговора, изменив контекст обсуждения на то, что БК виновен априори.
ChieF_Of_ReD
14.07.2018 16:29Может быть и вам стоит умерить пыл, в прошлом посте вы много говорили об «Меня беспокоит только человеческое невежество» и «Автор накидал обвинений, не предоставил доказательств.», теперь, что доказательства и не доказательства в общем, попробуйте абстрагироваться и спокойно следить за развитием событий.
То, что добрались до вашей кармы, тут как и в прошлом после к автору, как там было — «за дело».FrankSinatra
14.07.2018 17:06+1К сожалению для вас, остаюсь при своем мнении относительно автора. Я считаю, что доказательства, которые он предоставил, можно фальсифицировать подменой JSON конфига сервиса. Слишком много эмоций и мало сути. Обвинения и претензии такого рода требуют досконального анализа, а не поспешных рассуждений и обвинений в отношении БК, AppSee и разработчиков приложения. Это утверждение не касается юридических претензий от РосКомСвободы. Понижение мне кармы за критику в сторону автора сути не изменит.
ChieF_Of_ReD
14.07.2018 17:27Ну так обличите «негодяя», докажите, что он всё фальсифицировал, выведите его на чистую воду, к чему переливания из пустого в порожнее, говоря, что вы не согласны с автором или, что ему не верите.
FrankSinatra
14.07.2018 17:51-1Выше в ветке обсуждения я привел перечень вопросов, которые у меня возникли, мне не зачем обличать обличителя и ввязываться в этот холивар, вставая на чью-то сторону, я поступлю мудро и буду наблюдать со стороны. Я вправе высказывать свое мнение касательно публичных доводов автора, БК, разработчиков приложения, AppSee, а не пытаться вас в чем-то переубеждать, если вам не нравится мое мнение касательно аргументации, вы имеете на это полное право, но другого пока что у меня нет, появятся новые сведения по данной ситуации я возможно выскажусь на этот счет и извинюсь, если вина БК, AppSee, либо других фигурантов будет точно доказана.
pyrk2142
14.07.2018 13:26+1Вообще, довольно интересен вопрос, который я поднимал в конце комментариев к одной из предыдущих статей:
Стало интересно, а кто-то уже изучал безопасность самого AppSee?
Я немного потыкал и нашел как минимум то, что HTTPS на этом сервисе настроен неправильно (сессия восстанавливается из куки .ASPXAUTH, которая установлена для доменов .appsee.com. Она не secure, нет HSTS, поэтому тот, кто может перехватить трафик, может получить доступ к аккаунту).
В некоторых случаях, это уже путь к аккаунту в этом сервисе, а там можно настраивать сокрытие полей в Sensitive Data Collection. Может быть, есть что-то более интересное?
johovich
14.07.2018 13:33-1Автор, ты молодец. Закрепляй успех, а не размазывай по страницам праведный гнев про наглую ложь. Насчёт пруфов ты зря возмущаешься. Ты выдвинул серьёзные обвинения, по закону ты обязан доказать их, иначе ты становишься клеветником.
Sheon
14.07.2018 13:51Эта история напомнила мне достаточно свежий, но очень мало освещаемый в рунете скандал с игровыми издателями и разработчиками, которые использовали неблагонадёжную систему сбора статистики RED SHELL (подробности на реддите — www.reddit.com/r/Steam/comments/8pud8b/psa_red_shell_spyware_holy_potatoes_were_in_space). В целом тоже очень похоже — собирали слишком подробную аналитику.
По итогу под давлением общественности большая часть компаний отказалась от RED SHELL. Тех, кто не отказался, сообщество решило байкотировать и предупреждает других игроков о таком нехорошем поведении. О всём этом я узнал совершенно случайно, уловил что у Civilization VI как-то слишком много свежих негативных отзывов. Предупреждён = вооружён. Если что, ПК-версии Civilization VI, Injustice 2 и охапка игр поменьше размахом до сих пор используют этот сервис.
К чему я это пишу: Бургер Кинг собирает данные наших кредиток? Не похоже на то. Бургер Кинг используют неблагонадежного партнёра для сбора статистики, который в свою очередь собирает данные наших кредиток и не только — уже реалистичнее.
Что делать? Бургер Кинг может отказаться от использования данного сервиса в пользу другого, куда менее агрессивного или хотя бы предупреждать пользователей о сборе статистики и записи видео. Сделать опциональное отключение в настройках — совсем отлично.
Пока ситуация не придёт к консенсусу, самым очевидным способом будет не топить Бургер Кинг, как некоторые бездумно пытаются делать (отчасти это вина БК, но лишь от части), а предупредить как можно более количество людей о данной ситуации и позволить каждому пользователю решать самостоятельно, насколько его устроит пользоваться таким приложением.
Меня беспокоит другой вопрос — приложение Бургер Кинг было выбрано как одно из самых раскрученных и шумиха вокруг него была бы в любом случае громкой, даже если бы она оказалась несостоятельной. В какие ещё приложения встроена аналитика AppSee? Какие ещё приложения пишут мой экран и, потенциально, данные моих кредиток? Может быть, приложение, где я каждую неделю заказываю суши? Какие данные собирают другие службы аналитики? А вдруг не меньше? Я уж промолчу о том, что Google, похоже, знают обо мне больше, чем знаю я. Хотелось бы хорошего такого расследования в эту сторону на волне этого локального срачика.
P. S. Надеюсь вопрос в итоге решиться положительно — приложение пусть и тормозное, но достаточно удобное.Wesha
14.07.2018 15:42самым очевидным способом будет не топить Бургер Кинг,
PR-менеджер БК, перелогинтесь.
Всё элементарно: БК, увидев, что клиенты топят его, быстренько побежит топить разрабов, дабы отмазаться. Чего мы и желаем — ежу понятно, что у королей бургеров мозги заточены на изготовление бургеров, а не шпионских программ, им просто надо тщательнЕе выбирать попутчиков.
trojan03
15.07.2018 13:42Хотелось бы хорошего такого расследования в эту сторону на волне этого локального срачика.
Уже было такое исследование, причем результаты вышли буквально за неделю до событий с Burger King
recon.meddle.mobi/panoptispy
technic93
14.07.2018 14:06+1Во-первых, автору спасибо за то что раскрыл тему AppSee. Я очень жду статью чтобы кто-то прошёлся по Гугл аппстору и узнал где ещё используется этот AppSee и как у других приложений с предупреждениями о том что ваш экран снимают. Есть ли у них это в privacy policy? Потому что даже если некоторые формы ввода скрываются то все равно на записи полным полно персональных данных, как в случае с бк там на определенных активити светиться номер телефона и т. п.
Во-вторых, я думаю стоит с пониманием отнестись к эмоциональному наполнению постов автора, потому что в силу возраста у него ещё не набралось достаточно опыта чтобы холодгокровно вести себя в таких историях.
Ну и наконец главное, во всей этой истории так и не понятно закрываются ли номера карты или нет?! Поскольку грамотного поста где бы показали: вот от сервера приходит hide=true и мы видим в нашем mitm мониторе что идёт видео с черными квадратами, а вот мы подменяем hide=false и всё раскрылось. Кроме того, я так понимаю, в самом приложении должны быть поля ввода помечены как sensitive=true, а потом AppSee уже делается проверка sensitive && hide то рисуем черный квадрат. (Код не смотрел названия переменных взял от балды). Этим объясняется, что в ответе разработчиков на одном скриншоте дата открыта а на втором уже закрыта. Если на момент публикации поста действительно все шло открыто, то может у автора остался старый apk где забыли выставить флаг в приложении?
Конечно факт того что номер карты уходит третьей стороне по запросу с hide=false нарушает все правила работы с банковскими данными. Но если по разгильдяйству разработчиков на серверах AppSee уже хранится коллекция карт с ссв это влечет гораздо больше последствий бк и подрядчикам.
П.С. Если бы я бургер Кингом пользовался то я сам бы проверил что там отсылается, а так честно говоря лень ;)
caerly
14.07.2018 15:40На 4pda пишут:
«Достал из корня устройства видео, записанные приложением. Там оказалось видео с моментом привязки карты, клавиатура скрыта, видно номер карты, дату, cvc скрыт, на следующей странице ввод одноразового пароля: клавиатура скрыта, но видно вводимые символы, которые превращаются в точки.»technic93
14.07.2018 16:10Тогда всё гораздо серьезнее чем нам пытаются впарить разработчики. Если они по быстрому наложили заплатку и уже видео обновленной версии используют в своем ответе, то они там таки вкрай окурели.
caerly
14.07.2018 17:12Причём, тема на 4пда на данный момент почищена. «Молодцы».
technic93
14.07.2018 17:33Ждём какую версию приложения использовал автор и было ли какое то обновление в Гугл плей с тех пор, потому что у других на видео поля закрашиваются.
Sabubu
14.07.2018 19:01+1Я восстановил, что смог, из яндекс-кеша: habr.com/company/roskomsvoboda/blog/417145/#comment_18882693
Не пропадать же добру!
trojan03
15.07.2018 13:44-1Во-первых, автору спасибо за то что раскрыл тему AppSee. Я очень жду статью чтобы кто-то прошёлся по Гугл аппстору и узнал где ещё используется этот AppSee и как у других приложений с предупреждениями о том что ваш экран снимают. Есть ли у них это в privacy policy? Потому что даже если некоторые формы ввода скрываются то все равно на записи полным полно персональных данных, как в случае с бк там на определенных активити светиться номер телефона и т. п.
Уже было такое исследование, причем результаты вышли буквально за неделю до событий с Burger King
recon.meddle.mobi/panoptispy
FrankSinatra
14.07.2018 14:29www.ssllabs.com/ssltest/analyze.html?d=www.appsee.com
Дает А, вполне себе там нормально все с HTTPS. Для любопытства полная информация в «Protocol Details».
Было такое старое исследование по поводу HSTS
news.netcraft.com/archives/2016/03/17/95-of-https-servers-vulnerable-to-trivial-mitm-attacks.html
Путь к перехвату ради чего, чтобы посмотреть аналитику из приложений? Для этого надо много факторов чтобы совпало, ректальный криптоанализ быстрее решит эту задачу.Ernillgeek
15.07.2018 01:21Strict Transport Security (HSTS) No
HSTS Preloading Not in: Chrome Edge Firefox IE
Усё. То есть мы можем делать фейковый сайт и перехватывать, если мы можем подменить ответ ДНСа(то есть в тех же БКшных может перехватывать простой попингуй)ragimovich
15.07.2018 03:09+2https://www.ssllabs.com/ssltest/analyze.html?d=online.sberbank.ru
Strict Transport Security (HSTS) No
HSTS Preloading Not in: Chrome Edge Firefox IE
Ваш выход, ломайте их полностью! Куш будет исчисляться триллионами рублей! Это вам не бургерную ломать.
Я к тому, что хватит уже сыпать аббревиатурами о которых вы прочитали 10 минут назад в википедии, и без которых, как вам кажется, все вокруг — решето. Да, HSTS, DNS CAA и прочие заклинания повышают безопасность, но против таких специфических векторов атак, которые против посетителя бургерной никто в здравом уме применять не станет. Ну вот скажите, вы реально думаете, что кто-то придёт в "макдачечную", развернет там фейковую АП, сигнал которой будет перебивать стационарную, будет подменять DNS, фейкать API AppSee и надеяться, что клиенты будут вбивать номера карт прямо на месте, а не придут с уже настроенным приложением? Я молчу про то, что большая часть карт сейчас идет с 3-D Secure и вектор атаки на сами деньги становится совсем непонятным. Паранойя паранойей, но лично мне не 18 лет и я понимаю, что человек способный УСПЕШНО провернуть атаку подобного рода не будет размениваться на клиентуру БК.
Ernillgeek
15.07.2018 03:13-2Малыш, я админю GNU/Linux-сервера с 2000 года, а вообще *nix-системы с 1997, то есть дольше, чем ты живешь на свете. Ты уверен, что ты хочешь еще раз повторить свою чушь про «прочитали в википедии»? Да, мы не прочитали, а я прочитал, не используй множественное число там где оно не нужно, а в сети общаются на «ты».
ragimovich
15.07.2018 04:11+4По существу вам есть что ответить? Или продолжите свои регалии перечислять и объяснять, как к вам обращаться?
zxosa
15.07.2018 07:11+1У нас appsee в одном БК что ли? Если такой вектор атаки вполне возможен и довольно прост в повторении, то, как-то не очень.
ragimovich
15.07.2018 09:20А вы думаете, что каждое приложение с AppSee принимает банковские карты?
Даже если открыть список тех фирм, которые они не постеснялись выложить на странице Customers, там из тех, в которых прием карт будет уместен, разве что Gett, да ebay. Но какова вероятность того, что пользователь будет вводить данные карточки что того, что другого в бургерной или другом общественном месте? ebay — даже представить сложно, зачем это может понадобиться — там карту обычно привязывают еще в веб интерфейсе; gett — ну, теоретически, возможный вариант, но если юзер собирается уехать из бургерной, я полагаю, он и приехал в нее на том же гетте, т.е. карточка уже в системе.
А если это не кредитка, то какую прайваси информацию можно выудить из среднестатистического приложения в телефоне (напомню, AppSee может записывать исключительно то приложение, в котором установлено)? Тем более с тем качеством видео, которое AppSee записывает (10/10 шакалов) — там же даже непонятно, что на половине картинок, не говоря о тексте.
FrankSinatra
15.07.2018 13:09В теории вы можете устроить атаку на сервис AppSee, чтобы перехватывать трафик, подменять конфигурацию, получать в ответ видео с устройств, где работают приложения с данным сервисом, для этого вам надо оказаться посередине между клиентом и сервером для Mitm. Вы также можете задаться целью, проверить все онлайн-банкинги на предмет поддержки HSTS, собрать статистику и сделать выводы. Вектор атаки на любителей бургеров несоизмерим с полученным результатом, но разве что из научных целей.
Alexufo
15.07.2018 14:14+1Эмм… позвольте уточнить, если вы можете реализовать успешно Mitm, зачем вам AppSee? Вы просто ищите сигнатуры, связанные с пролетом банковских карт в http запросах к каким либо сервисам.
pyrk2142
15.07.2018 20:44Изначально у меня были мысли немного о другом векторе, а именно использовать проблемы HTTPS у AppSee для того, чтобы получить доступ к аккаунту, который управляет аналитикой того же приложения БК. Тогда можно отключать блюр данных и записывать данные уже не 10 процентов аудитории.
Neuromantix
14.07.2018 16:32А не мог бы кто-нибудь написать внятную статью по борьбе со слежкой? Блокировка скриптов, адблок и тп — это все очевидно. но может. есть что-то «наступательное» — например, софт, который шлет мусор в систему слежки или что-то подобное. Ну и вообще современное состояние всех методов защиты.
Temych
15.07.2018 21:37Мы вот такой проект запустили: «SAFE: Защити себя от слежки».
Может и не все аспекты защиты себя в Сети охватывает, но стараемся добавлять новые материалы время от времени (и актуализировать старые).
Надеюсь, поможет многим.
norver
14.07.2018 17:05+3fennikami видео, на которое ссылаются разработчики это видео записанное мной лично. Я никакого отношения к Burger King или e-Legion не имею, да что уж там, я даже к мобильной разработке отношусь очень посредственно.
В своем посте я указывал при каких условиях было получено записываемое видео, вы же в этом посте не уточнили, какие параметры были в конфигурации Appsee и какая версия приложения использовалась для анализа.
Предлагаю интересующимся пользователям самим проверить какие данные закрашиваются, а какие все же нет, для этого я создал небольшой скрипт, расширение для mirmproxy. С помощью него подменяется конфигурация Appsee и таким образом можно влиять на параметры записи, к тому же скрипт сохраняет всю отправляемую информацию (метаданные и видео) в файл.
Скрипт: github.com/oncecreated/appsee_watcher
Инструкция по воспроизведению результатов из моей статьи:
1. Устанавливаете mitmproxy
$ pip install mitmproxy
2. Запускаете mitmproxy вместе с аддоном, на порту 8778
$ mitmproxy -s appsee_watcher.py -p 8778
3. В случае Android в настройках Wifi прописываете локальный адрес прокси сервера
4. В браузере на устройстве переходите по адресу mitm.it и устанавливаете корневой сертификат
5. Открываете приложение Burger King и совершаете действия, которые вы хотите подвергнуть записи
6. Выходите из приложения, не закрывая его полностью
7. Через несколько секунд в папке со скриптом должен появится файл видеозаписиnorver
14.07.2018 20:30Инструкция по использованию mitmproxy на iOS, остальные шаги аналогичны.
jasdev.me/intercepting-ios-trafficconstXife
14.07.2018 21:32+4Уже проверил. iOS 12 beta, Burger King 2.2.0 (146).
Мне пришел изначально такой конфиг.
Original config{ "AutoDetectScreens": true, "ClientId": "5b47182e7b2f3f1429341f73", "ClientLogsUploadPolicy": 2, "ConfigHttpTimeoutInMilliseconds": 5000, "DetectActions": true, "DetectCrashes": true, "DetectGestures": true, "DetectMenus": true, "DetectPopups": true, "MaxEventProperties": 5001, "OfflineConfigurationPolicy": 1, "RecordMetadata": true, "RecordVideo": false, "ScreenSamplingRate": 5, "SessionId": "5b4a35e8e9a29e7727f25158", "TrackedOfflineSessions": {}, "UploadAppIcon": false, "UploadTouchEvents": false, "UploadVideoOnCrash": true }norver
14.07.2018 21:41+2Да, в данные момент Appsee отдает конфигурацию без записи видео, именно поэтому пришлось добавлсять подмену настроек в моем аддоне.
Отлично, тогда у нас два варианта. Либо в момент записи fennikami Appsee отдавал конфигурацию с параметрами HideInput, HideSensitiveViews со значениями false. Либо он сам подменил конфиг и пытается всех обмануть.Mox
15.07.2018 13:47Но в комменте выше написан конфиг «оригинальный», где закрашиваются поля ввода. Я правильно все понял?
Получается автор поста подменил конфиг, просто показав возможность записи экрана.fennikami Автор
15.07.2018 16:33-1Я не подменял конфиг, о чем уже несколько раз писал.
constXife
15.07.2018 17:46Чтобы не пришлось писать одно и то же много раз, достаточно было сразу предоставить достаточно подробную инструкцию для повторения проблемы. Пока что три независимых человека (включая меня) утверждают, что видео блюрится с параметрами HideInput, HideSensitiveViews как у тебя на скриншотах и мы предоставляем все необходимые сведения, чтобы любой человек мог повторить наши результаты.
Я лично склоняюсь к тому, что ты просто-напросто лжешь и продолжаешь лгать, учитывая какой ажиотаж в СМИ вызвали твои обвинения.
Sabubu
16.07.2018 04:29Как вы тогда получили видео без черных прямоугольников? У других людей оно с прямоугольниками.
FrankSinatra
14.07.2018 21:53Дело в том что на 4pda автор вел беседу с разработчиками android версии приложения и они клялись:
4. Элементы интерфейса, не входящие в перечень автоматического скрытия, могут быть указаны (и указаны) в приложении явно.
Как это видно из скрина самого же автора поста у нас есть два поля, которые говорят о том, что все поля скрываются на самом клиенте при записи видео, на скрине ниже.
-HideInput= True
-HideSensativeView= True
4pda.ru/forum/index.php?showtopic=882570&st=40#entry75009457
Автор же тестировал на iOS, возможно что приложение под нее отличается.norver
14.07.2018 21:55Именно, вы не обратили внимание, но constXife проверил как раз iOS версию. Таким образом известно, что на обоих платформах видео ретушируются корректно. Во всяком случае на проверяемых версиях приложениях.
FrankSinatra
14.07.2018 22:10Я имел ввиду, что в андроид версии по словам разработчиков они жестко прописаны внутри приложения на скрытие полей, не важно что приходит от AppSee. Возможно стоит проверить андроид версию на предмет подмены конфига, чтобы узнать как поведет себя приложение в 2 разных случаях, с подменой и без.
norver
14.07.2018 22:26Проверял, подменить параметры можно, тогда, очевидно, поля не ретушируются.
Из приведенного вами комментария не следует то, что параметры скрытия применяются всегда, из него лишь следует то, что элементы, которые следует скрывать указаны в приложении явно.technic93
14.07.2018 23:32Спасибо за проделанную работу! примерно это я и предполагал. Но код приложения вроде как не обновлялся? Значит fennikami тоже должен был видеть закрашенные поля. Хотя может iOS версия обновлялась, потому что это расхождение в том какие поля закрашиваются какое-то подозрительное.
norver
14.07.2018 23:46+2Сначала я не заметил номер версии приложения в посте fennikami, но потом
версия 2.2.0 — последняя
Версия проверяемая constXifeBurger King 2.2.0 (146)
Значит проверялись идентичные приложения. Ответ на вопрос почему результаты получились противоположные я написал в комментарии выше.
constXife
15.07.2018 00:18Вот как выглядит блюр в приложении Burger King на iOS — www.youtube.com/watch?v=OKfy0EJYlD8
Sabubu
15.07.2018 00:58+1Так даже с включением HideInput не замазывается номер телефона (персональные данные) в заголовке окна, что видно на видео одного из пользователей. Или у вас он тоже замазан?
И это косяк разработчиков, так как AppSee, как я понял, требует помечать области экрана с чувствительными данными, чтобы они не записывались.
Тут разработчиков изначально не в том обвиняют. Люди не видят большой проблемы и слишком много внимания удаляют маленькой.
Если бы они сливали номера банковских карт — это ерунда, карту можно легко поменять, да и сознательный человек наверно не станет в приложении вводить номер реальной, а не виртуальной карты. Я по крайней мере бы не стал так делать, я работаю в индустрии и знаю, как тут соблюдаются меры безопасности. Замучаетесь мои копейки уводить.
Проблема в другом:
1) то, что они тайком ведут видеозапись действий пользователя, что, как выясняется из комментариев, многим некомфортно. Представьте, если в кафе к вам с подругой подсядет за столик «аналитик» и начнет на камеру снимать ваши действия.
2) то, что собирают кучу ненужных данных, вроде IMEI. Зачем им номер IMEI для заказа бургера? выявлять нелегально ввезенные из Китая смартфоны что ли? или телефон? чтобы можно было сдать не понравившегося пользователя правоохранительным органам? Интересно, они в своем ресторане тоже у гостей паспорт спрашивают или еще не дошли до этого?
3) то, что не информируют пользователя об этом. Они спрятали это где-то в глубине длинного пользовательского соглашения, которое размещено отдельно на сайте и которое они могут в любой момент подменить. Одно это показывает их истинное лицо и отношение к своему клиенту — отношение наперсточника. Честно рассказать о слежке они не хотят (ну, это хорошо соотносится с их стилем рекламы).
4) то, что не охраняют собранные персональные данные и не замазали номер телефона перед передачей видео в израильскую компанию AppSee.
norver
15.07.2018 01:27Кончено, если слежка не соответствует закону это большая проблема. На мой взгляд после поста РосКомСвободы ясно, с законами Burger King не очень дружит. Но сейчас также вскрывается факт возможного подлога со стороны автора поста, что тоже является довольно серьезной проблемой.
constXife
15.07.2018 01:46+1Так даже с включением HideInput не замазывается номер телефона (персональные данные) в заголовке окна, что видно на видео одного из пользователей. Или у вас он тоже замазан?
Верно, не замазывается телефон, поэтому мне пришлось монтажить видео, чтобы не светить всем мой номер телефона. Плюс, на странице профиля в приложении светится Имя + Телефон + Email + Фото (если оно загружено).
Проблема в другом:
В принципе, соглашусь со всеми пунктами, но вся эта ситуация меня, если честно, раздражает из-за ажиотажа по поводу использования системы аналитики.
Вся эта забюрократизованность лезет из реальности в интернет. Вместо того, чтобы пилить приложение, надо будет сидеть и разбираться со специалистами, чтобы твоё мини-приложение соответствовало 152-ФЗ (а то случайно зайдет на твой сайт какой-нибудь Васян да накатает маляву в Роскомнадзор), потом ещё делать соответствие GDPR, а потом ещё случайно окажется что твое приложение не соответствует каким-то законам Зимбабве и в итоге окажется, что проще всего отрезать от приложения все неподдерживаемые страны, а обычные люди которым нафиг не уперлась такая защита их данных, будут грустно наблюдать надпись «Sorry the service is currently not available in your country.», ну зато ПД в сохранности.
Хотя, вне сомнения, регулировать как-то работу сервисов надо, чтобы они совсем не охреневали от безнаказанности и безответственности. Истина, как обычно это бывает, где-то посередине.Sabubu
15.07.2018 17:39> Вместо того, чтобы пилить приложение, надо будет сидеть и разбираться со специалистами, чтобы твоё мини-приложение соответствовало 152-ФЗ
Так не спрашивайте лишние персональные данные, например. Приложение БК спрашивает номер телефона, который в принципе не нужен для того, чтобы сделав заказ, через 10 минут забрать его на кассе, а также IMEI, который им вообще не нужен (разве что для судебного преследования пользователя).
А если вам нужны персональные данные (например, адрес доставки) — удалите их после выполнения заказа.
Не рассылайте непрошенный спам. Не собирайте IP адреса.
Это значительно упростит вам соответствие законам, правда маркетологи огорчатся, но кого волнует их мнение. Вся строгость законов вроде GDPR относится к тем, кто специально накапливает персональные данные. Естественно, что с них и спрос должен быть больше.
Компании же хотят вместо этого, как в США, добавить пару пунктов в соглашение и делать с персональными данными что хотят. Мы не должны брать пример с США, а должны брать пример с Европы где на первое место ставятся права граждан.constXife
15.07.2018 18:58Так не спрашивайте лишние персональные данные, например.
Полагаю, чтобы соответствовать 152-ФЗ нужно предпринять нечто большее, чем не спрашивать лишние персональные данные, не говоря уже о том, что понятие что такое «персональные данные» можно растягивать как угодно широко.
Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился, когда захожу на какую-нибудь игру, потому что стим, видимо, не хочет сохранять мой возраст. Или постоянно приходиться закрывать уведомления о кукисах. Зачем? Почему? В чём смысл всего этого? Бред.SagePtr
15.07.2018 19:13Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился, когда захожу на какую-нибудь игру, потому что стим, видимо, не хочет сохранять мой возраст.
Тут всё логично, с вашего аккаунта могли зайти не вы, а ваш ребёнок, к примеру. Но галочку «запомнить мой выбор и больше не спрашивать» действительно могли бы сделать. Тем более, платёжную информацию Стим запоминать разрешает.constXife
15.07.2018 20:17Тут всё логично, с вашего аккаунта могли зайти не вы, а ваш ребёнок, к примеру.
Что, и мой ребёнок имеет свободный доступ до моего телефона, чтобы ввести код от двухфакторной авторизации? Вообще, есть Steam Family Sharing для такой логики. Не говоря уже о том, что проверка возраста такая себе защита от детей, если они сами должны ввести свой возраст. Плюс уже есть опция в стиме «Показывать в магазине продукты, содержащие материалы следующих типов», которую я отметил.
Это совершенно тупая проверка, которая ничего не проверяет, зато бесит каждый раз.
Sabubu
16.07.2018 04:52> Полагаю, чтобы соответствовать 152-ФЗ нужно предпринять нечто большее, чем не спрашивать лишние персональные данные,
ФЗ регулирует обработку ПД, если вы их не собираете, то он к вам и не относится. Строгие требования там к тем, кто их обрабатывает — они должны регистрироваться как оператор ПД, их можно проверять и, надеюсь, можно привлечь к ответственности в случае утечки.
Причем там сделано исключение для случаев, когда например ПД нужны для выполнения магазином заказа, достаточно получить согласие в виде галочки:
Статья 22, п.2
> 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
> 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
Если магазину нужны ПД только для выполнения договора (доставки товара), то ему не надо регистрироваться в РКН. А вот если он хочет накапливать и анализировать ПД для маркетинга, рассылки рекламы и прочих мутных целей, то да, придется. К сожалению, магазины все больше хотят использовать ПД для «мутных» целей, а не уничтожать их после выполнения заказа.
> не говоря уже о том, что понятие что такое «персональные данные» можно растягивать как угодно широко.
Оно определено в законе.
> Уже сейчас я откровенно матерюсь, когда стим каждый раз просит указать когда я родился,
Это не имеет отношения к ФЗ-152, это нужно чтобы не показывать детям вредные для них игры.
> Или постоянно приходиться закрывать уведомления о кукисах. Зачем? Почему?
Потому что Европа обязывает сайты информировать пользователей о слежке за ними через куки. Не об использовании кук, а о слежке и записи действий. Вы видите предупреждения так часто не потому что европейский законодатель плохой, а потому что так много любителей заглянуть к вам через плечо. И информировать людей важно, чтобы слежка не была скрытой. Где вы видите бред? По моему так информирование пользователя лучше, чем скрытие от него важных особенностей сайта.
Мне кажется, вам стоит получше разобраться в законах, прежде чем их критиковать, а то сейчас вы просто, не понимая того, пересказываете позицию крупных компаний, которым конечно хотелось бы отменить эти законы и свободно следить за пользователями, собирать и продавать данные о них.
VolCh
15.07.2018 23:02С телефоном спорно — а если я не приду после того как сделал заказ? Как со мной связаться, чтобы узнать, я опаздываю или вообще не явлюсь? Вечно точно заказ хранить нельзя.
Sabubu
16.07.2018 04:57А если вы укажете телефон, но отключите его? Это ничего не меняет, и как я понимаю, там вообще приложение для заказа не на потом, а прямо перед тем, как подойти на кассу и получить его (так как бургер скоропортящийся продукт). Вы так же можете придти в ресторан, на тачскрине сделать заказ и убежать.
Даже если телефон нужен для напоминания о заказе, то его нужно удалять после выполнения заказа.
TigerClaw
14.07.2018 18:17Ну все же как то сумбурно. Не хватает действительно качественно и объективного обзора без эмоций тем более, что появилось множество статей, которые противоречат друг другу.
Как я понял, что это все таки проблема AppSee, которая записывает видео экрана. Тогда у меня вопрос к вебвизору яндекса, а там все законно, я же как конечный пользователь не давал согласие, а именно он записывает данные в том числе и персональные.
Все же номера каточек и т.д. затираются, но могут и не затираться. Это как я понял делается в настойках AppSee.
В любом случае проблема больше чем в БК, а вообще в аналитике и сборе данных. Вот майкрософт то же собирает данные и гугл. И тоже вроде как обезличено. В общем тут вскрыта большая проблема. Которая упирается в честность разработчиков и службы аналитики.
Sabubu
14.07.2018 18:55+1На мой взгляд, автор перебирает с эмоциями. Лучше бы сухо и беспристрастно изложить факты, это произвело бы лучшее впечатление.
И у меня вопрос по видео. На вашем видео видна клавиатура. Разве она не запущена в отдельном процессе, к которому у приложения нет полного доступа? По крайней мере на Андроиде клавиатура запускается в отдельном процессе и приложение по идее не может ее записывать. Кто-то, кто разбирается в разработке под iPhone, может это прокомментировать? Хочется понять, правда ли AppSee добавляет черные квадратики только в админке или же они добавляются еще на устройстве.
Ну и хорошо бы конечно чтобы кто-то еще, у кого есть айфон, проверил бы это независимо, сдампил трафик и проверил, какое именно видео там передается.
Также, так как тред на 4PDA с интересными сообщениями потерли, добавлю ссылку на комментарий, где они восстановлены из яндекс-кеша: habr.com/company/roskomsvoboda/blog/417145/#comment_18882693PsyHaSTe
15.07.2018 11:38+1Учитывая, что автору всего 18 лет, и он обнаружил такую вкусную историю, его эмоции вполне понятны. Тем более круто, что в таком раннем возрасте он уже так плотно занимается ИБ.
areht
15.07.2018 12:36-1в 18 лет только ленивый не хацкерил. Или даже в 16.
Мне кажется, тут откровенное хайпожорство, и это не делает чести.
Ну в смысле, хорошо, что он поднял тему AppSee (если он не подделывал расследование), но сейчас вот уже откровенно переигрывает.PsyHaSTe
15.07.2018 14:01Видимо я ленивый, раз в 18 я радовался, что умею итерироваться по массиву, а в 16 верхом моего коварства было поставить скриншот рабочего стола как фоновое изображение, удалить все ярлыки и скрыть панель управления.
areht
15.07.2018 14:22-2Я, например, не увидел, что автор умеет по массиву итерироваться (впрочем, может и умеет — на сколько я понимаю, сейчас это программа 9 класса школы). Он поставил написанный кем-то сниффер.
Am0ralist
15.07.2018 17:49+2а в 16 верхом моего коварства было поставить скриншот рабочего стола как фоновое изображение, удалить все ярлыки и скрыть панель управления.
Вы забыли ещё: сменить мышку на для левши и правши, перевернуть скриншот и повернуть экран в драйверах на 180°. И всё это в рамках разрешенных админами прав на компе…
Wesha
15.07.2018 16:14в 18 лет только ленивый не хацкерил. Или даже в 16.
"Если бы молодость знала, если бы старость могла..."?
Sabubu
14.07.2018 19:29Также, заслуживает внимания тот факт, что даже на видео с квадратиками видны персональные данные — номер телефона. Который передается в израильскую компанию AppSee, которая не подчиняется российскому законодательству. Потому что разработчики БК забыли пометить эту область как область с чувствительными данными при настройке AppSee.
Хотя в заявлении ТАСС компания утверждала:
> Эта система не имеет ничего общего со сбором персональных данных, более того, ни мы, ни специалисты AppSee не видят персональных данных (они приходят на сервер в обезличенном виде) ", — пояснили в компании.
Не знаю, как «специалисты AppSee», а я номер телефона прекрасно вижу.
Также, хотя компания утверждает, что данные «обезличены», они легко смогли вычислить пользователя, исследовавшего безопасность, о чем похвастались в ныне удаленном сообщении на 4PDA:
Скриншот
KiloLeo
14.07.2018 20:18-1Ну что, доказательная база собрана чётко. Включая прямые признания подозреваемого в том, что они всё пишут и все данные у них есть.
Теперь действовать должны правоохранительные органы.
kalininmr
14.07.2018 20:49как страшно жить(с)
а возможны ли способы борьбы?
захват экрана, насколько помню — это же отдельный пермишн?
ninJo
14.07.2018 21:12+2До этого защищал бургер, но после того как увидел незаблюренные поля, немного офигел. Неужели appsee позволяет перехватывать такую информацию как номера телефонов и кредитных карт…
Я не знаю какая степень вины бургер кинга, это не они же писали код для апси. Но то что когда шумиха поднялась, начали врать и отмазываться это как минимум. И что-то мне подсказывает, что такая же проблема с записью экрана и приватностью не только у бургер кинга.
AlexVBOG
14.07.2018 21:52+5Теперь понятно, почему в последнее время телефон быстро разряжается.
Я несколько раз всего приложение запускал, думал купить через него, но карты не привязывались — все тормозило.
Сейчас посмотрел — приложение качнуло 400 метров информации — это жесть. И сидел я точно не на вафле. И это за 3 запуска…
Проверьте, пожалуйста, а не передает ли эта прога еще и в фоне данные.
am0rall
14.07.2018 21:52Святые печеньки, что началось то?!
Ну а комментарии с корпоративного аккаунта на крупнейшей площадке страны — это прямо сказка.
Если всё «так просто и понятно», почему уважаемый ZhenyaBurgerKing так расстраивается?
denis-19
14.07.2018 21:52+2Елегион просто хомячки-редиски.
Ваш комментарий к публикации «Басня о Burger King и данных пользователей. Комментарии разработчика» был отклонен пользователем iSasha.
Текст комментария:
Уважаемые разработчики! ваше ПО такое мегаважное, что 3 млн. пользователей (а столько ли?) Просто как кролики, 10% которых вы пишите на видео и ждете крэша аппликейшина.
Вы так плохо кодите, что это(писать видео) точно нужно делать?
Закрывайте лавочку, убирайте запись в приложении вообще, ведь не будет то пользователей вам и репутация уже начала скамиться.
yaroslavya
14.07.2018 21:53+6Автор молодец, разоблачил бургер кинг!
Но, что интересно, так это то, что пишут некоторые пользователи хабра( кавычки на комментарий одного юзера ):
«На мой взгляд, автор перебирает с эмоциями»
«Ну все же как то сумбурно. Не хватает действительно качественно и объективного обзора без эмоций тем более, что появилось множество статей, которые противоречат друг другу.»
«Для автора это превратилось в некую священную войну.… На хабре технические составляющие статьи должны преобладать над эмоциями и обвинениями, потому как это все скатилось»
То есть вместо того, чтобы либо докопаться до истины, либо осудить компанию, люди становятся, назовем это так, не на сторону автора, что играет на руку компании. И озвучивают, что ведь что-то там не соблюдено, да не так надо действовать, да то им не так и это им не эдак. И хорошо бы это был троллинг, но это серьезно. Это взрослые люди, которые на полном серьезе пишут, что автору всего 18 и все-то неверно сделал.
И учитывая, что людей не минусуют особо, это встречает молчаливое одобрение большинства. И вместо того, чтобы задаваться вопросами, вроде: «а почему серьезная компания не опровергла, если есть чем опровергнуть и не расставила все по полочкам» задаются вопросами вроде: «а почему автор не идеально все разобрал?» или «а почему эмоциональная составляющая присутствует, ой как жеж плохо, ой немолодец». Ребята, вы это серьезно все пишите? Это те мысли, которые должны рождаться в голове рационально мыслящего человека? За все время написал второй пост на хабре, потому что то, что делает сообщество Хабра в большинстве своем вызывает очень много вопросов и да, эмоциональную реакцию, хотя мне далеко не 18.
Эй, FrankSinatra, заминусуй меня, у тебя же есть мнение. Ты пока при нем остался, не изменил, ты же со стороны наблюдаешь, правда пишешь, что есть ошибки у автора, но ты молодец, у тебя мнение есть и есть на него право. И ты ведь «возможно выскажусь на этот счет и извинюсь» так ведь? То есть пока ты понаписываешь свое здесь не то, тут не так, посмотришь, а потом когда уже все очевидно, что ты откровенно неправ и ерунду написал, тогда ты, «возможно выскажусь и извинюсь». Вау, браво! Человечище!FrankSinatra
14.07.2018 22:28+1Что очевидно? Есть факты, а есть догадки. Я делаю выводы на основании проверенных фактов, их немного. И выше я написал, что у меня нет доверия ни к одной из сторон. Выше в обсуждениях люди проверили iOS версию, сняли видео, поля скрыты и все нормально.
Возникают вполне обоснованные вопросы как такое возможно, без подмены JSON конфига от AppSee. По поводу минусований вы ошиблись адресом, я такими вещами не занимаюсь и у меня физически нет такой возможности. Мне не нравится всеобщее помешательство на почве бургеркинга, к которому приложил руку автор поста.ClearAirTurbulence
14.07.2018 22:45+1И номер телефона с почтой, которые в данном контексте — тоже ПД — также скрыты?
ragimovich
14.07.2018 23:39+3Ой, смотрите, что я нашел. Неужели это Fennikami упоминают? Да еще и в контексте необоснованных обвинений? Ну, настоящий "пентестер"
https://www.reddit.com/r/sideloaded/comments/8t4gd1/meta_official_appvalley_statement/
technic93
15.07.2018 03:04+3Человек пиариться чуток. Он в своем блоге уже сделал секцию ищу работу, где предлагает себя в качестве ИТ эксперта безопасности. И я бы ему пожелал успехов, если он объяснит каким образом у него записалось видео с раскрытыми данными карты, когда сервер высылает судя по его же скриншоту HideInput и HideSensitive = True.
ragimovich
15.07.2018 13:51-5Поиск работы и донаты исчезли. Весь кипеш затевался из-за 300 долларов в биткоинах что ли (https://www.blockchain.com/ru/btc/address/18c5YugMhz6gsAxtLzdBfo9uDZcqdgywq8)? ЧуднО.
fennikami Автор
15.07.2018 16:57+3Поиск работы и донаты исчезли.
Никуда они не исчезли, Вы врёте.
Кто хочет — может зайти на мой сайт и проверить.
Весь кипеш затевался из-за 300 долларов в биткоинах
Я был бы очень рад, если мне подарили $300 в биткоинах, но увы — никто ничего мне не отправил.
Не понимаю зачем Вы добавили ссылку на левый кошелек.
В моём блоге указан совсем другой.ragimovich
15.07.2018 17:06-10Мальчик, ты за последние два дня черт знает сколько раз менял структуру своего сайта. Там уже были и пропадали данные кредитки и яндекс кассы, появлялись и исчезали адреса на протон мейл и чего только не было. Не ври уже, умоляю. А то я твои прошлогодние шалости на реддите опубликую прямым текстом здесь или на пикабу :-) Там и посмотрим, сколько фанатов у тебя останется на пикабу и как быстро ты найдешь работу В ЭТОЙ стране. Да, можешь это тоже в угрозы записывать, мне тащемта плевать, не я тебя заставлял такие фоточки выкладывать, проказник Алиска :-)
З.Ы. За минуса спасибо, но если ты не заметил, мне уже плевать :-)
Wesha
15.07.2018 21:28+4> Мальчик, ты
… Ведь все знают, что если начать своё письмо с презрительного панибратства, сразу получишь +100500 к карме, да.
fennikami Автор
15.07.2018 16:46+2Ой, смотрите, что я нашел
Мой поздравления :)
AppValley, к слову — разработчики магазина пиратских и взломанных приложений для iOS, и они в каждое своё приложение встроили вредноносную динамическую библиотеку (инъекция врендносного кода). По Вашей ссылке — их официальное «опровержение» в духе «мопед не мой». А моё расследование, в котором я всё доказал — Вы почему-то не показали.
А, ну да, тогда не получиться меня обвинить. :)
MicroSDA
15.07.2018 00:22+1Какую аналитику они собирают? Для сбора аналитики не нужно делать запись экрана, им достаточно получать информацию о том какое окно сейчас открыто итд. Проблемой может быть не сам факт передачи данных карт, логинов, итд на сервер, а передача их в ОТКРЫТОМ! виде. Некто не гарантирует того что завтра уволенный и обиженный сотрудник Burger King не сможет воспользоваться этим и не потратить пару тысяч на компенсацию своего морального ущерба. Привлечь такого сотрудника к ответственности не убив себе репутацию будет невозможно.
По своему опыту могу сказать что после увольнения из компании я обладал всеми средствами для того что бы отправить ее в бессрочный отпуск. Такая халатность, как и в прочем люба, добром не заканчивается.
dmitry_dvm
15.07.2018 00:50+3Да, много всего нехорошего вылезло про елегион. Не удивлюсь если в ТЗ таки было требование о передаче только по вайфаю. Это история не про кражу данных, а про чудовищную халтуру в разработке. А женя из БК просто пытается прикрыть свою жопу, которую очень вероятно скоро вышвырнут с работы.
kibizoidus
15.07.2018 01:17+1Какая-то жаба-гадюка пошла, скандалы-интриги-раследования, показать все что скрыто. Думаю, Бургер-Кингу нужно всем бесплатный попкорн выписать. Вполне ок пиар будет как по мне, позитивненький.
vedenin1980
15.07.2018 02:39Вполне ок пиар будет как по мне, позитивненький.
Учитывая, что русский БК это вроде франшиза, а шум уже дошел до англоязычных СМИ, как бы к русскому БК юристы с претензиями и штрафами не вылетели.
forcam
15.07.2018 01:33-1Кто-то тихо набивал базу CVC и другие данные с целью перепродажи ?)))
Этакий веселый бизнес по русски) я не удивлюсь если с карт бабки начнут пропадать) с такими ответами и подходом, только и навивает мысли о какой-то шараге с плохно пахнущими намерениями.
Mox
15.07.2018 02:32Так где происходит закрашивание черным — на клиенте или сервере AppSee? Я думаю что решение закрашивать прям на клиенте ресурсоемкое.
Можно как-то проверить что в AppSee то видно?technic93
15.07.2018 02:55+1Закрашивает на клиенте. Ресурсов много не надо так как AppSee может вычитать все bounding rect соответствующих полей. Повторить mitm эксперимент можно самому, есть даже код на гитхабе, смотри на гдето 5 комментариев выше https://habr.com/post/417161/#comment_18882569
Sergazel
15.07.2018 16:47Давайте посмотрим на проблему шире. Как обстоят дела у конкурентов: Макдональдс, KFC, Subway? А как насчёт Ebay или Aliexpress? Может быть в их приложения тоже встроены схожие механизмы шпионажа за пользователями? Я не заступаюсь за Burger King и считаю что они должны понести наказание за проникновение в личную жизнь пользователей без их разрешения.
Fatik
15.07.2018 16:48В видео есть очень интересный момент на точке 01:05 в видео которая предоставили разработчики приложения. Дело в том что согласно станарту PCI DSS, защите полежат все данные напечатанные на карте. С кратким обзором можно ознакомиться вот тут вот PCI Data Storage Do’s and Don’ts.
Почему они так легко предоставили видео на котором показываетя что они небрежно относится к безопасности со словами "а глядите как тут все секурно"? Не знаю, но думаю что эти парни не знакомы со стандартами, который должно знать вплоть до запятой.
Я так-же думаю, что до этого случая они мало задумывались о безопасности, то есть им вообще похер. так-же мыслю что данные карт им нафиг не нужны, простая небрежность.
А автору само-собой респект, сколько бы ему лет не было.technic93
15.07.2018 17:17Надо выписывать штрафы, потому что простая небрежность приводит к обычным (в свете последних новостей) утечкам. Все бездумно тянут себе в приложение всякие модули и не думают о последствиях. Пару кликов в ИДЕ: добавить модуль аналитики Х, далее, включить все ништяки, готоао. Что будем потом с этим делать пока не знаем, зато модно.
daspisch
15.07.2018 17:17-3Видео-подтверждение — наглый фейк, и любой работающий с IOS сепциалист это скажет с первого взгляда: нельзя никак записать клавиатуру на видео или сделать её скриншот — она запущена в другом потоке и находится вне иерархии вьюх приложения.
constXife
15.07.2018 17:28+4Я, конечно, не iOS специалист, но во время проверки мне без проблем удалось записать клавиатуру (с определенными параметрами конфига AppSee), вот скриншот из моего видео.
retomoto
16.07.2018 00:00Господа, три дня с упоением читаю
срачразгоревшийся диспут в коментах и поражен как стремительно меняется вектор дискуссии. Особо поражают статьи в новостях, все как один в позитивном, в принципе, для БК ключе.
Топикстартер сделал отличное дело. Вне зависимости от того, чисты ли были его помыслы или он хотел хайпа, не важно даже фейковые ли видео (хотя конечно, всем нам представился школьник, атакующий, скажем, подменой днс на бесплатном Wifi сидя за столиком в БК)
Главное — fennikami обнаружил и указал на то, что БК нас бигдатит и еще и возможно делает это небезопасно для нас.
И вот тут я бы хотел заострить внимание на том, что представляет из себя AppSee (В недалеком прошлом UserVOD) Господа из БК и Е-легиона упорно утверждают, что эта платформа нужна им для анализа ошибок в приложениях, но вот беда, на сайте AppSee большими буквами на главной написано о том, что платформа обеспечивает подробный анализ поведения пользователей, а это ужесовсем нене совсем ловля редких жуков.
Вот цитата из интервью с генеральным директором и со-основателем компании Appsee Цахи Боуссибой:
Зачем нужно было создавать очередной аналитический инструмент для разработчиков, когда на рынке сейчас довольно много конкурентов и хороших решений?
Цахи Боуссиба (AppSee):
Вы правы. На рынке минимум 20 компаний, предлагающих различные аналитические решения. Проблема в том, что почти везде один и тот же набор услуг. Как правило, предлагают стандартный пакет: пользователи, сессии, возврат, конверсия и т.д.
Среди этого множества сервисов Appsee выделяет уникальная “фишка” – он показывает персональное поведение каждого конкретного человека внутри приложения или, другими словами, помогает увидеть приложение “глазами и руками” пользователя. Поведенческий фактор, который фиксирует Appsee в видеозаписях сессий, и есть тот краеугольный камень в мобильной аналитике, который придает массивам цифр новый смысл.
Впрочем, иногда господин Боуссиба вспоминает не только про аналитику, но и о разработчиках:
Цахи Боуссиба (AppSee):
Помимо всех данных, которые предоставляют базовые платформы для мобильных аналитиков, наша уникальность на самом деле сопровождается отслеживанием всех сеансов, которые пользователь выполнил в приложении, во всем. Мы можем узнать и показать разработчику, какие кнопки в приложении пользователь нажал, какие действия сработали и которые не сработали, а самое главное — когда и почему приложение рухнуло. Наше решение дает разработчику один уровень за пределами того, что ему предоставят другие аналитические услуги
Так или иначе, мы говорим про инструмент аналитики поведения пользователя, необходимый в первую очередь для маркетинга, ну и конечно, раз уж мывставили жучок в задний проходимеем инструмент анализа пользователей, то и решение для улучшения юзабилити.
И напоследок, хотел бы сравнить еще одну цитату из интервью с глубоко уважаемым Цахи Боуссибой и цитату пользователя iSasha из E-legion:
Вы записываете видео со всех сессий? Какими сервисами пользуетесь для работы с получаемыми объемами данных?
Цахи Боуссиба (AppSee):
Appsee записывает далеко не все сессии. Он фиксирует ключевые метрики для последующей визуализации в отчетах и теплокартах. Клиент сам выбирает, какие сессии будут записаны на видео, при этом ему предоставляется широкий выбор параметров для настройки. Это нужно, когда разработчик хочет увидеть, как ведут себя, например, пользователи iOS из России, достигшие определенного уровня в игре, или сделать выборку по тем пользователям, которые что-то купили в приложении.
iSasha (E-legion):Ваши данные в безопасности потому, что:
Скрытие личных данных при записи видео для аналитики прописано в коде приложения. Данные скрываются до того, как покинут мобильное устройство.
Мне бы очень хотелось, чтобы эта история хоть немного подтолкнула сообщество задуматься о том, хотим ли мы, чтобы каждый наш выдох был куда-то записан. И я говорю не о себе или других технарях. У нас есть и впны и свои днски, ф-дроид и даже шапочки из фольги. Просто пока большинство молчаливо соглашаясь позволяет изучать себя со всех сторон, в то время когда создаются целые ниши и даже рынки аналитики, вряд ли общество становится свободнее, а значит и счастливее.
Ссылки на источники:
apptractor.ru/measure/user-analytics/zahi-boussiba-appsee-interview.html
www.geektime.co.il/appsee-raises-million-dollars
habr.com/company/e-Legion/blog/417043
Wesha
Ну ребята же сами открытым текстом признаются, что да, окурели в край.