מסלול הייטק

[nigun]

@magicode
אם אני מפרשן נכון את הבקשה
הם רוצים שכשפותחים כתובת SSH וכד' זה יפתח רק למבקש.
כך שזה לא משנה האם יש למשתמש כתובת אחת פתוחה לSSH או 20 כתובות.
כנ"ל לגבי ngrok (שזה באמת נשמע לי מוזר שהכל יהיה פתוח לכולם בברירת מחדל).

@צדיק-תמים
אני שלחתי כתובות בודדים לפתיחה לSSH
אני תמיד נכנס למכונה אחת שפתוחה בנטפרי ומשם ניגש לשאר המכונות עםssh 1.2.3.4
זה מוסיף עוד חצי דקה כדי להתחבר לשרת אבל יותר נח מבחינת נטפרי וגם מבחינת אבטחה שאני לא צריך לפתוח בכל המכונות האלו את החומת אש לכל העולם ולא צריך IP קבוע מהספק.

[צדיק תמים]

@yzahn ומה זה משנה אם זה שרת א' של חברת A או שרת ב' של חברת C? טכנית זה שונה, מהותית זה לא רלוונטי
הרעיון הוא שאם נטפרי מכירים בצורך של מישהו לssh אז אמור להיפתח לו כל הssh, ולא שכל שרת בנפרד יהיה צריך לשלוח פניה...

[kodcode]

@צדיק-תמים אמר במסלול הייטק:

@yzahn ומה זה משנה אם זה שרת א' של חברת A או שרת ב' של חברת C? טכנית זה שונה, מהותית זה לא רלוונטי
הרעיון הוא שאם נטפרי מכירים בצורך של מישהו לssh אז אמור להיפתח לו כל הssh, ולא שכל שרת בנפרד יהיה צריך לשלוח פניה...

כוונתך ש22 יהיה פתוח בנטפרי כמו 3306?

בקלות היה א"כ אפשר לבנות "תת-רשת" פרוצה מתחת האף של נטפרי...

כנראה, שנטפרי מהווה חוץ מן הסינון שלעצמו גם כעין שמירה על המשתמש. הצורך לשליחת פניה, נותן הזדמנות להתבונן אם אתה באמת זקוק לזה או לא.
(למשל, פעם שאל ילד את ה"רבי" שלו בחיידר, למה הוא צריך לבקש כל פעם מן ה"רבי" אישור לצאת לשירותים, אם בין כך הוא תמיד מאשר לו... )

[kodcode]

@צדיק-תמים
אני שלחתי כתובות בודדים לפתיחה לSSH
אני תמיד נכנס למכונה אחת שפתוחה בנטפרי ומשם ניגש לשאר המכונות עםssh 1.2.3.4
זה מוסיף עוד חצי דקה כדי להתחבר לשרת אבל יותר נח מבחינת נטפרי וגם מבחינת אבטחה שאני לא צריך לפתוח בכל המכונות האלו את החומת אש לכל העולם ולא צריך IP קבוע מהספק.

ע"י SSH Port Forward היה אפשר לחסוך כמה שניות מן החצי דקה הזאת

[צדיק תמים]

@kodcode שוב, אין הבדל מהותי בין שרת לשרת, שניהם עם אותם מסוכנויות, מה שדיברתי היה שבהנחה שפותחים למישהו ssh לשרת אחד - למה לא לפתוח לו לכולם?
ובשונה מחיידר, לנטפרי אין צורך לשמור על משמעת

[shraga]

@צדיק-תמים יש בהחלט הבדל, כנראה אינך מכיר את התמונה המלאה של הסיכונים האפשריים, אבל אני לא משוכנע שהמקום לדון על זה הוא בפורום, לא צריך לתת רעיונות מיותרים.

[code_monkey]

@מפתחת בסינונים אחרים שקיים כזה מסלול - אלו סינונים שיש להם whitelist לכל קבוצה
בנטפרי מה שפתוח - פתוח לכולם אא״כ יש הגדרה לחסום על החשבון או על הקהילה

הבעיה היא בד״כ כשמרימים שירות חדש ויש לו url חדש שלא מוגדר בנטפרי. (בשביל זה יש 3 נקודות, אני אשמח אם יהיה אפשר לשים יותר נקודות - אולי זה יעזור לזרז טיפול בפניות)

מה שהיה עוזר לי במסלול מתכנתים זה למשל לא לסנן packages שמתקינים כמו npm או pip

[kodcode]

@code_monkey אמר במסלול הייטק:

מה שהיה עוזר לי במסלול מתכנתים זה למשל לא לסנן packages שמתקינים כמו npm או pip

נ"ל שזה היה רק אפשרי אם ההורדה היא בפרוטוקול מסיום שאפשר לפתוח אותו לחלוטין.

גבי NPM
https://stackoverflow.com/questions/47358304/what-protocol-and-port-does-npm-use

[צדיק תמים]

@code_monkey אמר במסלול הייטק:

מה שהיה עוזר לי במסלול מתכנתים זה למשל לא לסנן packages שמתקינים כמו npm או pip

אתה משתמש בנטפרי? כי התקנות מnpm/pip עובדות חלק, רק צריך להתקין את התעודת אבטחה כפי המוסבר בויקי

[nigun]

@kodcode אמר במסלול הייטק:

כוונתך ש22 יהיה פתוח בנטפרי כמו 3306?
בקלות היה א"כ אפשר לבנות "תת-רשת" פרוצה מתחת האף של נטפרי...

אם פותחים רק למבקש איך יבנו תת רשת פרוצה?

[kodcode]

@nigun

מה שכתבתי לעיל הוא לפי איך שנטפרי בנוי היום, שמה שנפתח, נפתח לכל המשתמשים.

רק תוך כדי דיבור התברר לי מה בדיוק ההצעה. (שלא יחול הסינון על פורט/פרוטוקול למשתמש יחיד (וכמו היום 3306 לכולם) )

[מפתחת]

@code_monkey סינון של packages הוא ג"כ מיותר למתכנתים.
אבל בתור מפתחת קבועה באתרים עם רכיבי ענן, כל כתובת חדשה שנפתחת למשל סביבת DEV, TEXT, PREP IPROD צריכה בקשה מיוחדת, וכל כל API חדש.
ואם יש תקלה בסביבה שלא פתחתי בעבר זה מצריך בקשה מיוחדת וגם 3 נקודות לא תמיד מסייע.

ביקשתי שיפתחו את כל התתי דומנים של אתרי פיתוח בAZURE מה שכמובן לא אישרו.

[מפתחת]

@shraga כל הכתובות שיושבות תחת:
https://XXXXXX-[XXXX].azurewebsites.net/apiהחתימה מציינת שמדובר באתר AZURE של פיתוח..

[אינו יודע לשאול]

@מפתחת בapi אפשר להכניס כל דבר אסור למה אתם חושבים שזה סיבה לפתוח את זה?

[מפתחת]

@אינו-יודע-לשאול תחת הדומיין azurewebsites.net יושבים אתרים שמשלמים עליהם כסף.
ז"א שבבנ"א בשביל לפתוח דבר שחסום בנטפרי יפתח אתר תחת זה ישלם תשלום מלא? אולי אבל סיכוי נמוך.
וכל API יכול להכיל דברים אסורים הכוונה לAPI בדומינים מסוימים שמיועדים לפיתוח נטו.

[shraga]

@מפתחת אמר במסלול הייטק:

הכוונה לAPI בדומינים מסוימים שמיועדים לפיתוח נטו.

שוב, אז אתם מדברים על פתיחה של דומיינים מסוימים בazure?
זה המצב הקיים כרגע.
לפתוח כל מה שמסתיים בazurewebsites.net זה סיכון גדול מידיי, יש הרבה אתרים שמשתמשים בסאב דומיין כזה וחלקם עלולים לאפשר תכנים בעייתים.

[magicode]

@shraga אמר במסלול הייטק:

@צדיק-תמים יש בהחלט הבדל, כנראה אינך מכיר את התמונה המלאה של הסיכונים האפשריים, אבל אני לא משוכנע שהמקום לדון על זה הוא בפורום, לא צריך לתת רעיונות מיותרים.

נכון מאוד.