Страница пересобрана: 03:00 03.05.2018
[d | an-b-bro-fr-hr-l-m-med-mi-mu-ne-o-ph-r-s-sci-sp-tran-tv-x | bg-vg | au-tr | a-aa-c-fi-jp-rm-tan-to-vn | gf | azu-dn-hau-ls-ma-maid-me-mo-p-sos-t-w | misc-vnd | stat ]
[Burichan] [Futaba] [Gurochan] - [Архив - Каталог] [Главная]

[Назад]
Ответ
No.245669  

Моттян, добавь, пожалуйста, ко всем страницам HTTP-заголовок "Strict-Transport-Security: max-age=31536000; includeSubDomains".
Благодаря нему любой хоть раз зашедший на Ычан по HTTPS, будет заходить по HTTPS всегда (если точнее, то в течение года).
Не всегда удается вручную уследить, что Ычан открыт по HTTPS, а не HTTP.

>> No.245670  

Поставь себе HTTPS Everywhere и не сношай людям мозги.

>> No.245684  

Этот флаг так просто не сбросишь, те кто предпочитает http случайно зайдя по https вынуждены будут страдать?

Не годится, отклонено. Следующий.

>> No.245688  

>>245684
Зачем предпочитать http?

>> No.245690  

>>245688
Мне так нравится.

>> No.245691  

>>245688
С https конгломерат не грузится.

>> No.245726  

>>245684
Можно по куке реализовать. Раньше была настройка на некоторых сайтах, с сохранением предпочтения https в куках. Если сервер видит куку, редиректит.
Мне сильнее хочется поддержки http/2. Совместимость никак не ломает. Кто хочет хттп, получит его. А остальные получат плюшки http/2. Кроме тех, кто на некробраузерах без поддержки http/2, они получат обычный https.

>> No.245729  

>>245726
И какие же у http2 "плюшки"? Я говорю, ты бы ещё spdy и quic раскопал.

>> No.245730  

>>245729

> И какие же у http2 "плюшки"?

Мультиплексирование, сжатие заголовков, приоритеты. https://habr.com/post/308846/
В итоге он быстрее чем https 1.1. А в http://www.http2demo.io/ у меня даже быстрее чем http 1.1.

> Я говорю, ты бы ещё spdy и quic раскопал.

SPDY превратился в стандарт http/2. С квиком рано пока (в файрфокс только в этом году собрались имплементировать), да и сложнее, это транспортного уровня протокол.
Что тебе не нравится?

>> No.245731  

>>245730

> habr.com

Я ждал ссылку на эту мусорную свалку.
Какое быстрее? Куда ещё быстрее? Всё открывается меньше чем за секунду.

> Что тебе не нравится?

Тебе прорекламировали в бложике какое-то ненужно и ты "евангилируешь". Проси переписать вакабу на Golang. Пользы столько же.

>> No.245732  

>>245731
Ясно, неолуддит. Сразу бы сказал.

>> No.245748  

>>245732
— Хочу, чтобы покрасили стены новой краской, которая на 5,3% лучше.
— Не нужно.
— Ясно, неолуддит. Сразу бы сказал.
Смешно читать ваш разговор. Про полнотекстовый поиск, лучше совместимую с современными браузерами рисовалку, какую-то агрегацию тематики для её оживления или хотя бы предотвращения дальнейшего замедления или что-то ещё, что можно реально полезного сделать на серверной стороне, не вспоминают. Зато HSTS и http пополам.

>> No.245749  

>>245748
На серверной стороне, глубоко в коде невакабы? Да не сделает она...

>> No.245751  

>>245749
Каталог и видео же прикрутили. Большинство фич можно реализовать добавлением к движку новых модулей с какой-то незначительной правкой основного кода.

>> No.245752  

Обьясните мне, для чего нужен хттпс для имиджборда?

>> No.245753  

>>245752
Некоторым кажется что их прослушивают. Также это выгодно многим: админам и фрилансерам (прибавилась работенка по внедрерию https), поиковикам, можно опускать ниже, помечать, не давать переходить на "небезопасные" ресурсы (всё для пользовательского блага!), центрам сертификаций (все ринутся им платить, а сертификаты недешевы), производителям процессоров и батарей (исполняются лишние такты, быстрее износ), и наконец энерго- и нефтяным компаниям (исполняются лишние такты, потребляется больше электричества). Все при деле. Усиленно шифруют трафик.

>> No.245754  

>>245753

> центрам сертификаций (все ринутся им платить, а сертификаты недешевы), производителям процессоров и батарей (исполняются лишние такты, быстрее износ), и наконец энерго- и нефтяным компаниям (исполняются лишние такты, потребляется больше электричества)

На Ычане бесплатный сертификат, увеличение энергопотребления на стороне клиентов незначительно.

> не давать переходить на "небезопасные" ресурсы

Не обманывай.

> Некоторым кажется что их прослушивают.

В одной стране с осени этого года начнут прослушивать всех.
Твой аргумент инвалид. Лучше бы сказал, что на ресурсах типа имиджборд с отсутствием регистрации, публично доступным содержимым и проставлением времени в секундах у каждого поста полезность HTTPS снижается из-за возможности при желании без расшифровывания определять с некоторой точностью содержание запросов по данным о времени и размерах запросов и ответов.

>> No.245756  

>>245748
Смешно читать твои аргументы. Давайте не будем улучшать что-то на n процентов, ведь в Африке дети с голоду умирают, а в Китае экология убивается, это куда важнее! Всем ычанькам вложиться деньгами, а ычан закрыть/продать, спасём хотя бы одну человеческую жизнь, это важнее ычана.

> поиск

Проси. Думаешь будет?

> рисовалку

Зачем? Чем не подходит сторонняя?

> какую-то агрегацию тематики для её оживления

Предлагай. Ты гений, придумавший таблетку от древней проблемы? Или сделайте то, не знаю что?

>>245752
Отсутствие tls это:
— возможность любому на пути трафика модифицировать его, от подстановки рекламы (провайдеры) до вставления вредоносного кода
— открытость к прослушке, которая не только приватность чтения/постения, но и деньги для некоторых людей и организаций

> In the UK, a VPN is a basic requirement for internet usage, since the country's new Investigatory Powers Bill allows practically any government employee in any division to look up your internet history for the part year. That sounds like an exaggeration, but amazingly it isn't. Even if you aren't worried about what the department or employees could do with your data officially, these are humans trusted with this power: hundreds of thousands of them. Any malicious group could easily put their man into one of these departments and retrieve whatever data they want.
> Even if you're not in the UK, there's no doubt there are sleeper cells from malicious groups in every ISP already. Why wouldn't there be?

>>245754

> увеличение энергопотребления на стороне клиентов незначительно.

На сервере тоже, <2%. https://www.keycdn.com/blog/https-performance-overhead/

>> No.245757  

>>245756
Не надо мне рассказывать для чего применяется шифрование. Я спросил для чего применять его на имиджборде и пока что, как мне кажется, прав >>245753 в том, что кто-то боится подслушивания, на имиджборде, даже так: подслушивания на ычане где и так все запрещено. Или я не прав?

>> No.245758  

>>245757

> Я спросил для чего применять его на имиджборде

Для того же, для чего где угодно. Шифрование нужно везде. Сейчас не 2004, доверия среде передачи нет (дыры в вайфае нам не страшны теперь), абуза открытого трафика слишком много, https быстрее (в некоторых местах даже без http/2, просто цензурящие железки тормозят http из-за перегруженности), чувствительный трафик не палит свою чувствительность фактом шифрования, если шифруется всё, даже фотки котиков. TLS is love, TLS is life.

> где и так все запрещено.

Трусы Фланечки не запрещены, а это цп. В /a/ хентайный тред ещё. В /b/ о личной жизни информацию палят.

Вот какое-то время назад ычанька тут расписала наглядный кейс:

> Я лично за https, но наиболее активно я его реквестировал когда учился в универе, и причина тому проста - я проводил там очень много времени (не только чисто учебного, для любителей попрекнуть "работой которую надо работать на работе", это и обеды и окна, и ожидания до каких-то сдач засунутых к самому вечеру), и пользовался интернетом, доступ к которому был связан с бд студентов, и админ мог не просто узнать мой ойпи, ололо, а найти конкретного студента, запостившего конкретную кошкодевочку. Кто же был админом? Полублатной (в смысле примазанный родственничек) препод, чуть ли не бухающий на парах, который ещё и лично меня с первых же, с позволения сказать, заданий, не взлюбил, и пара его дипломников. Я сильно сомневаюсь, что он бы действительно стал что-то копать на одного раздражающего студня, но теоретически, с учётом выше перечисленного вполне мог, и от самой этой возможности было неприятно и некомфортно, или его раздолбаи вполне могли разок-другой поковырятся из праздного интереса, и вот так вот я жил два года "не писав ничего, что сможет использовать хандомный хер". И вот такая же абсолютно фигня может ждать тебя в любой сети в которой ты не являешься админом, за каждым сетевым углком тебя может ожидать не гэбист, и даже не злой хакер, а обыкновенный мудак. Он может сидеть и у провайдера, и ему вовсе не обязательно работать на АНБ и Путина лично, он может быть просто мудаком, который лезет в то, что не должно его касаться.
> Про гебню, и офигительно прогрессирующие законы главный момент тоже уже был подмечен:
> "Если вас ищет Моссад используйте магические амулеты, инсценируйте свою смерть, но Моссад вас всё равно найдёт". Но меня не ищет Моссад. Ни сейчас, ни надеюсь в дальнейшей жизни. А вот данные на СОРМ родных силовиков - копятся, неуклонно, неутомимо, и неизвестно как надолго, и чего они могут стоить мне, и любому из нас всего через несколько лет, когда законы и их исполнение станут ещё упоротее, а товарищмайоры получше освоят компуктеры с интернетами, и им как-то раз понадобится быстренько докинуть пару палок в план. И это вс ещё пессимистические страшилки, возможные скорее теоретически, а теперь вспомните про то с чего я начал - про мудаков. Обычных таких, которые эти системы обслуживают, про их уровень неподкупности, которым славятся российские органы чего угодно, про их уровень компетентности и ответственности, о котором отлично говорит то кого больше всех заставил плакать недавний блокировщик, и подумайте нужно ли вам такое счастье оставлять что либо в их руках на неопределенные сроки, утешая себя тем, что вас не ищет Моссад?
> Собственно как я не раз говорил, для безопастности именно такого уровня от таких угроз, как и от соседа Васи (который вопреки нашему агенту вовсе не обязательно так гениален, что работает на кого-то, а просто прочитал 1,5 статьи "Хакера", или даже посмотрел один видос на ютубчике, скачал одну из кучи бд хэшей стандартных и распространённых паролей от бытовых роутеров и снифает эфир), ресурсу типа и уровня Ычана подойдёт даже самоподписник, для верефикации которого можно ещё и запостить ключ в более надёжном месте, в том же твитторе, например.
>> No.245760  

>>245756

> Давайте не будем улучшать что-то на n процентов

Давайте будем делать это после решения более приоритетных проблем. Если хакнут через какую-нибудь уязвимость в реализации поддержки HTTP/2 на сервере, то вред от него перевесит пользу.

> > поиск
> Проси. Думаешь будет?

Если выложить в /dev/ ссылку на код работающей реализации, то будет, возможно.

> Зачем? Чем не подходит сторонняя?

Для /o/. Можно и в /b/ встроить. Сторонняя не интегрирована и создаёт некоторый психологический барьер. Людям нравятся мелкие удобства.

> > какую-то агрегацию тематики для её оживления
> Предлагай. Ты гений, придумавший таблетку от древней проблемы? Или сделайте то, не знаю что?

Не нужно быть гением, чтобы понимать, что если больше ычанек будут знать о новых постах на некоторой доске, то содержательный постинг на ней увеличится. Я вижу это как раздел /th/, в котором будут в хронологическом порядке отображаться свежеподнятые треды со всех досок кроме /a/ и /b/. У посетителя есть возможность скрывать на ней треды и целые доски, тематика которых ему неинтересна. Можно не делать /th/, а сделать RSS-уведомления или уведомления в интерфейсе. Суть не в конкретном способе, а в самом принципе.

>> No.245761  

К слову, danbooru недавно перешла на HSTS наконец. А для нуждающихся в голом http (на форуме владельцы Wii U например жаловались на проблемы с загрузкой жквери cdn из-за ошибки сертификата) создали отдельный insecure. поддомен. https://danbooru.donmai.us/forum_topics/14902
Ычану можно аналогично сделать. Всякие Сеночки смогут постить без проблем со своих приставок, как и люди с аллергией на шифрование.

Ещё они referer-policy добавили, чтобы история браузинга юзеров не сливалась на сабресурсы (теперь это cdn клаудфляры и фонтэвесом), молодцы.

>> No.245762  

>>245760

>Если выложить в /dev/ ссылку на код работающей реализации, то будет, возможно.

Делать поиск силами сервера на статике - проще повеситься. Впихивать динамику – так по-хорошему и переводить вакабу на fcgi минимум. Плюс изменения БД. Плюс то, что каталог у нас сознательно не обновляют при постинге, а только при создании/удалении тредов, а значит на сервер драконовские нагрузки и так. Плюс возможен будет поиск по бамплимитам, что надо как-то исключать, чтобы следовать политике каталога.

Сделать-то можно, но без указаний и справки красненьким - это ввстрел в пустоту. Пользуйтесь гугерем и яваскриптами, благо реализация уже есть.

>> No.245765  

>>245758

>Для того же, для чего где угодно. Шифрование нужно везде.

С тобой многие не согласны будут, даже в этом треде.

>Сейчас не 2004, доверия среде передачи нет (дыры в вайфае нам не страшны теперь), абуза открытого трафика слишком много, https быстрее (в некоторых местах даже без http/2, просто цензурящие железки тормозят http из-за перегруженности), чувствительный трафик не палит свою чувствительность фактом шифрования, если шифруется всё, даже фотки котиков. TLS is love, TLS is life.

Пожалуйста, приводишь утверждение - приводи аргументы фактами.

>Трусы Фланечки не запрещены, а это цп. В /a/ хентайный тред ещё.

Цп считается изображение несовершеннолетних, но никак не нижнего белья.

> В /b/ о личной жизни информацию палят.

Кто палит? Сам постер - он знает, что делает. Провайдер? Злобный хацкер? Мод-тян? Так провайдеру и хацкеру твои посты на ычане не нужны.

>> No.245766  

>>245762
Если ресурсы не позволяют, то можно индексировать редко, например раз в день.

> переводить вакабу на fcgi минимум.

Она разве не уже на FastCGI? Ей же всё равно, обычный ли CGI использовать, fcgi или mod_perl...

> изменения БД

Можно не трогать БД, а искать по индексу, составленному по содержимому статических страниц. Мне кажется, это всё равно было бы лучше, чем сторонний поиск.

>> No.245768  

>>245766

>Если ресурсы не позволяют, то можно индексировать редко, например раз в день.

Индексация фиг с ним при постинге просто в индекс заносится, вопрос в генерации результатов ответа. Сейчас в /vg/ 43741 поста. Поиск "кот" выдаёт 70 результатов. "Цель" - 861 результат. 861 результат выводить непросто, и на одну страницу - вообще моветон. А теперь представим, что поиск по всем доскам и его пытаются заабузить на ддос.

>Она разве не уже на FastCGI?

Обычная Вакаба - CGI.(А ещё обычная Вакаба обслуживает только одну доску, и у меня нутро чует, что тут БД не перелопачивали хранить все посты в одной таблице, поэтому для поиска по всем доскам с одной страницы может придётся попотеть)

>Ей же всё равно, обычный ли CGI использовать, fcgi или mod_perl...

Это абсолютно разные принципы работы с разными прибавками/потерями в скорости выполнения.

>Можно не трогать БД, а искать по индексу, составленному по содержимому статических страниц.

А индекс хранится у нас где? Плейнтекстом?
c: rope

>> No.245771  

>>245768

> поиск по всем доскам и его пытаются заабузить на ддос

При высокой нагрузке на сервер и поиске чаще чем раз в 5 минут с одного IP требовать ввода капчи.

> Обычная Вакаба - CGI.

Она использует CGI.pm, который поддерживает как обычный CGI, так и mod_perl и FastCGI.

> А индекс хранится у нас где?

В отдельной NoSQL базе данных, наверное.

>> No.245772  

>>245771

>При высокой нагрузке на сервер

Определяется оно... как? Вызовом top?

>Она использует CGI.pm, который поддерживает как обычный CGI, так и mod_perl и FastCGI.

Лолнет. CGI.pm - это CGI. FCGI - это FCGI.pm + CGI::Fast.pm + переписать программу так чтобы они могла ответить больше чем на один запрос (+все сопутствующие оптимизации с кешированием вызовов БД)(то есть, настроить-то сервер обращаться к скрипту как fcgi можно, но это не даст вообще ничего. Если запустится.). И вот тебе документ по портингу на mod_perl: https://perl.apache.org/docs/1.0/guide/porting.html

>В отдельной NoSQL базе данных, наверное.

...которую надо ставить на сервер, писать к ней обёртку, и уверять, что там хранится только то, что хранится.
В общем, иди в /dev/.

>> No.245773  

>>245765

> С тобой многие не согласны будут, даже в этом треде.
> даже

Наоборот. Я только в двух местах противников встречаю: здесь и опеннет. И здесь даже больше.

> Пожалуйста, приводишь утверждение - приводи аргументы фактами.

Что конкретно тебе приводить? Во что ты не веришь? В то, что будучи твоим соседом я могу следить за твоим нешифрованным трафиком?

> Цп считается изображение несовершеннолетних, но никак не нижнего белья.

Не только изображение, но и описание, проспал 2016? И трусы в отрыве от девочки не спасут.

> Кто палит? Сам постер - он знает, что делает.

Не знает. Проблемы с компьютерной грамотностью у населения никуда не пропали. Даже айтишники не все шарят конкретно в вебе. Не трудно встретить системного программиста, который о таких вещах знает не больше неайтишника.

> Мод-тян?

Анта бака? Шифрование не защита от конечного узла, а как раз от всех кроме тебя и конечного узла.

> Так провайдеру и хацкеру твои посты на ычане не нужны.

С чего взял?

>> No.245774  

>>245773
Привет! Нафига провайдеру мои посты с обсуждением мультиков в /a/, от кого мне их прятать? Какому-нибудь хакеру не понравится, что я покритиковал его вайфу и он ко мне домой заявится? Ну пусть пивка по дороге купит, я не против.

>> No.245775  

>>245773
Зачем соседу трафик постов на имиджборде? Задаю этотвопрос третий раз.

Да проспал описание, выдержку из закона дай, как и сам закон.

Терпеть не могу, когда кто-то думает за других. Не учи людей жить. Благими намерениями выстелена дорога в ад.

Не анта-бака, это юмор. Не считай себя умнее окружающих.

Взялс того, что работал админом у провайдера, работал админом в офисе и т.д. твои посты в гробу видал и я и коллектив с которым работал.
Все потому, что у людей есть своя жизнь и на твою им чхать. Это все от самомнения имхо.

>> No.245777  

>>245774
Привет. R-18 тред с хентаем находится в /a/. Пока.

>>245775

> Зачем соседу трафик постов на имиджборде? Задаю этотвопрос третий раз.

Читай пасту в >>245758, всё давно написаноо человеком.

> Да проспал описание, выдержку из закона дай, как и сам закон.

https://geektimes.com/post/276928/

> Под материалами и предметами с порнографическими изображениями несовершеннолетних в настоящей статье и статье 242.2 настоящего Кодекса понимаются материалы и предметы, содержащие любое изображение или описание в сексуальных целях:
> полностью или частично обнаженных половых органов несовершеннолетнего;

Более того, даже:

> совершеннолетнего лица, изображающего несовершеннолетнего, совершающего либо имитирующего половое сношение или иные действия сексуального характера.

Т.е. женщина 40 лет в школьной форме попадает под закон.

> Терпеть не могу, когда кто-то думает за других. Не учи людей жить. Благими намерениями выстелена дорога в ад.

А ты не это делаешь, типа? Почему решаешь за других, что шифрование не нужно? Чем тебе оно мешает? Почему другие должны даже чуточку рисковать из-за тебя?

> Взялс того, что работал админом у провайдера, работал админом в офисе и т.д. твои посты в гробу видал и я и коллектив с которым работал.
> Все потому, что у людей есть своя жизнь и на твою им чхать. Это все от самомнения имхо.

Очередной раз отсылаю к пасте выше. Меня твои деньги не интересуют, не стал бы красть даже при возможности. Но ты же не будешь отрицать, что кто-то бы украл? Так и тут. Не мерь по себе.

>> No.245779  

>>245777
Читал пасту, там только паранойа о защитить все. Логических оснований нет.

Ты прочел гиктаймс или сам закон? Так как закон весьма размытый, четких критериев нет. Опиратся на него сложно, можно закрывать онлайн магазины нижнего белья.
Понятно, для чего принят закон, так что аргумент не канает.
Более того, шифрование не поможет, мод-тян или хостер с радостью сольют твой ип во избежание проблем.

Не делаю, не навязываю. Кто хочет - пользует хттпс, кто не хочет - не пользует. А ты начинаешь заливать, что пользователи не знают, а ты знаешь как им нужно, и что вот постоянное шифрование нужно всем. Уж ычаньки точно сами разберутся, спасибо.

Твои посты =/= деньги. Не пишешь ты тут бизнес идей на миллион. Ничто не мешает мне открыть ычан и читать. Зачем ковырятся в трафике - не ясно. Мотивация отсутствует с точки зрения логики.

Можешь не отвечать. Ты отсылаешь пасту полную паранойи, приравниваешь ценность постов на ычане к ценным предметам. О чем тут говорить? Удачи в своем мирке~

>> No.245780  
> geektimes.com

Брр, этот сайтец формирует картину мира не хуже каких первых каналов, подбором материалов и тонами. Откзазался от его чтения несколько месяцев назад и вам советую.

>> No.245781  

>>245775
Сколько заносчивости и самодовольства.



Удалить сообщение []
Пароль
[d | an-b-bro-fr-hr-l-m-med-mi-mu-ne-o-ph-r-s-sci-sp-tran-tv-x | bg-vg | au-tr | a-aa-c-fi-jp-rm-tan-to-vn | gf | azu-dn-hau-ls-ma-maid-me-mo-p-sos-t-w | misc-vnd | stat ]
[Burichan] [Futaba] [Gurochan] - [Архив - Каталог] [Главная]