חור אבטחה בגוגל קבוצות

בזמן שניהלתי את firestats-users בגוגל קבוצות, פתאום שמתי לב שאני בתוך המערכת תחת משתמש אחר.
ככה פתאום, רגע אחד אני תחת המשתמש שלי, רגע שני תחת המשתמש של ויקטוריה מוושינגטון D.C.
יכלתי לראות לאיזה קבוצות היא נכנסת, לשלוח לעצמי הזמנה ממנה לאחת הקבוצות שלה, ואפילו לשנות לה את הפרופיל (!).
שלחתי לה אימייל על זה, וגם לגוגל.

גוגל, פישלתם.
ככה זה נראה (גרסא מצונזרת קלות):
google-mess1.png

עדכון:
גודל טוענים שהבעיה אמורה להיות פתורה:

Thank you for contacting us. We've made some changes recently that should
have resolved the problem you reported in our discussion group. Please let
us know if this issue persists.

Regards,
The Google Team

שרת Jabber

פתחתי שרת jabber על yadan.net (המחשב בסלון, לשעבר firefang.net, שגם מתפקד כשרת דואר).
jabber הוא שרת בפרוטוקול XMMP, שהוא פרוטוקל מסרים מיידיים נחמד ופתוח, מה שיפה זה שהוא גם מבוזר:
משתמשי ג'אבר בשרת אחד יכולים לדבר בצורה שקופה עם משתמשי ג'אבר בשרתים האחרים, למשל עם משתמשי Google talk.
עוד דבר נחמד זה שעם ג'אבר, לא צריך חשבונות שונים כדי להכנס מהעבודה ומהבית בו זמנית:
כל כניסה יכולה להשתמש במשאב שונה (בלינגו הג'אברי – Resource), למשל – מהבית אני נכנס תחת omry at yadan.net/Home ובעבודה דרך omry at yadan.net/Work. אם היה לי ג'אבר בסלולארי הייתי נכנס שם דרך omry@yadan.net/mobile או משהו. מה שנחמד זה שג'אבר יודע לנתב את ההודעות למקום הנכון (המשאב בעל העדיפות הגבוהה היותר שבו אני פעיל).
אז מי שרוצה לצ'וטט, אני omry at yadan.net בג'אבר. (@ במקום at).

ג'אבר מאפשר לכל אחד לשלוח מסרים למשתמשי Google talk (ולכל שרת ג'אבר אחר), פשוט יוצרים משתמש בשרת ג'אבר לבחירתכם ושולחים למשתמשי גוגל טוק. לא צריך כתובת ג'ימייל.
שרת מתבקש הוא כמובן jabber.org, כל מי שרוצה יכול להרשם שם ישירות דרך תוכנת הג'אבר הקרובה לביתו (שאינה Google talk, שכצפוי לא מאפשרת לבחור שרת).
אפשר להשתמש בPidgin, ואז ההרשמה נראית כך (כמובן שצריך להחליף את someone בשם הרצוי).
pidgin jabber

במקרה הזה, ברגע שנרשמתם, משתמש הג'אבר שלכם הוא user@jabber.org, ותוכלו לשלוח דרכו הודעות לכל משתמש ג'אבר בכל שרת ציבורי.

מד מהירות

בעקבות שרשור התגובות עם דב, עלתה השאלה הבאה:
למה אין גוף אובייקטיבי שבודק בשיטתיות (בצורה אוטומטית) את ספקי האינטרנט הגדולים בארץ וחושף נתונים סטטיסטיים על מהירות התקשורת של הספקים השונים?

גוף כזה יבדוק, עבור כל ספק אינטרנט, מספר רב של פעמים ביום (אולי כל שעה) את הדברים הבאים:
מדידת מהירות הורדת קובץ משרתים מהירים בארץ ובעולם.
מדידת מהירות שליחת קובץ אל שרתים מהירים בארץ ובעולם.
מדידת זמני פינגים אל שרתים מהירים בארץ ובעולם.
מדידת זמן הורדת קובץ פופולארי בפרוטוקול ביט-טורנט (הנקודה הזו קצת בעייתית, צריך קובץ קבוע שישאר בזמינות גבוהה כל הזמן).
בנוסף, אפשר לכלול גם בדיקות זמינות של השרותים של חברות האינטרנט עצמן, למשל שרתי הDNS, הדואר והפרוקסי שלהם.

הנתונים יאספו לבסיס נתונים, ותתאפשר גישה אליהם דרך האינטרנט.
בדף הראשי יהיה שקלול של התוצאות ב30 הימים האחרונים, כך שכל משתמש יוכל לדעת מי ספק האינטרנט שהיה הכי מהיר בתקופה הזו, אבל משתמשים מתקדמים יוכלו לגשת לנתונים המפורטים אם ירצו:
למשל גרפים שמשווים בין הספקים השונים בכל קטגוריה על פני כל שעות היום או גראפיים שבועיים, חודשיים ושנתיים.

היתרונות של המערכת די ברורים: משתמשים שרוצים לבחור ספק אינטרנט יוכלו לבחור את הספק המהיר ולא להתסמך על דיעות לא מבוססות של חברים.
דבר כזה יצור לחץ על ספקי האינטרנט לקנות מספיק רוחב פס כדי לא לבלוט לרעה וכדי לא להצטייר כמו שמשקרים ללקוחות שלהם.

עלויות:
1. עלויות חומרה ראשונית: להערכתי כ6000-7000 שקלים.
2. עלויות תקשורת, תלוי במספק הספקים שיבדקו ובחבילה שתבדק. אם נניח בדיקה של החבילה הסטנדרטית במהירות 1.5 מגהביט על גבי תשתית ADSL, מדובר בסדר גודל של לא יותר מ150 שקל לחודש לכל ספק אינטרנט (כולל התשתית). אם נבדוק את שלושת ספקיות האינטרנט הגדולות נגיע לכ450 שקל בחודש עבור תקשורת לצרכי בדיקה.
אפשר להוזיל על ידי שימוש באותו חיבור ADSL לכל הספקים, אבל אז לא יהיה אפשר לבצע בדיקות תקשורת בין הספקים עצמם.
בנוסף, יהיה צורך באירוח של השרת (לא משנה אצל איזה ספק, כי הבדיקה תתבצע דרך הADSL ולא דרך הקו המהיר), להערכתי מדובר בעוד כ500-400 שקל בחודש. אפשר להוזיל את העלות הזו משמעותית על ידי שימוש בשרת Shared hosting שיכול לשבת אפילו בחו"ל ושיקבל נתונים מהשרת הבודק שישב בארץ).

הבעיה המרכזית היא של מימון, בנוסף, מי שמפעיל את המערכת צריך להיות אובייקטיבי, מכאן שאסור שהיא תהיה במימון של ספקי האינטרנט עצמם.
איגוד האינטרנט הישראלי בהחלט יכול להיות הגוף שיתחזק ויממן את המערכת: דבר כזה נופל בתחום האחריות שלו, והוא נתפס כאובייקטיבי.

כביש רחב, גשר צר

עידן מאנקדוטות כותב שאולי הגיע הזמן לתמחר אחרת את הגישה לרשת, בטענה שרוב פס הוא משאב מוגבל, ושלא יתכן שכמות קטנה של משתמשים שמנצלים את רוחב הפס שלהם ב100% יפגעו בכל שאר המשתמשים.
זה נשמע הגיוני, אבל למעשה רוחב פס הוא לא משאב מוגבל.
רוב פס אפשר לייצר, יש מאין.
זה לא מים או קרקע שלא משנה מה תעשה, הכמות שלהם סופית.
הטכנולוגיה של העברת נתונים במהירות גבוהה מתקדמת כל הזמן. חיפוש זריז העלה את זה.
ברגע שרוב הפס של המייל האחרון קפץ מ33.6 קילוביט ל1500 קילוביט (או הרבה יותר), אין ברירה אלה לשדרג את שאר התשתית בהתאם.
מאז ומעולם ספקי שירות האינטרנט עובדים על שיטת הoverbooking, מתוך הנחה מוצדקת – שרוב המשתמשים לא ישתמשו בכל רוחב הפס כל הזמן.
יש איזה שהוא מקדם, נקרא לו U, שלפיו אפשר להעריך מה תהיה צריכת רוחב הפס של משתמשים שמנויים לסך הכל של Y ג'יגה בייטים לשניה.
(זה לא כל כך פשוט, כי משתמשים שמנויים על החבילות המהירות נוטים לנצל את רוחב הפס בצורה יותר מלאה, וכמובן שיש שעות יותר עמוסות מאחרות).
הפריחה של שיתוף הקבצים משנה את התמונה, ואותו U משתנה איתה.
חברות אינטרנט שמתמהמהות בקניית עוד רוחב פס כך שיעמדו בU הנוכחי גורמות לפגיעה בכל המשתמשים שלהן.
אבל האשמים בפגיעה באיכות השירות הם לא אותם משתמשים "אגרסיביים" שבסך הכל משתמשים במשאב עליו הם שילמו, אלא ספקי שירות האינטרנט שלא דאגו למספיק רוחב פס שיוכל לשרת את המשתמשים שלהם ברמות הצריכה הנוכחיות.

ווידג'ט לוח שנה

בחיפושי אחרי ווידג'ט לוח שנה שישמש לבחירת תאריכים בFireStats נתקלתי בדבר החמוד להפליא הזה.
מדובר ברכיב לוח שנה שכתוב בג'אווה-סקריפט, שמאפשר בחירת תאריכים נוחה ומגניבה.
הרכיב גמיש מאוד, מתאים לכל הדפדפנים הפופלריים, מתורגם למספר שפות וקל מאוד להטמעה בתור פופ-אפ או ישירות בתוך הדף.
בנוסף, הוא ברשיון נוח (LGPL).

הנה תמונה (התעצלתי לשלב את הדבר האמיתי):
רכיב לוח שנה

בלוג למסירה

כריס מWampago, בלוג פופולרי למדי על פי טכנוראטי אלכסה, פידברנר ופיירסטטס (!), החליט שהוא מוסר את הבלוג לכל המרבה בתחנונים/במחיר.

גוגל קונים את פידברנר

אה, איך נפלו גיבורים.
גוגל מרחיבים את מקורות הידע שלהם על קהל הגולשים, אם עד עכשיו גוגל אספו עלינו מידע דרך החיפושים שעשינו, הפגישות שהכנסנו לגוגל קלנדר, האימיילים ששלחנו וקיבלנו בג'ימייל, וכמובן אתרים שמשתמשים בגוגל אנליטיקס ואנחנו מבקרים בהם, אז עכשיו נוספו ערוצי הRSS שאנחנו מנויים עליהם דרך פיד ברנר לרשימה.
לא יודע מה איתכם, אבל אני הולך להפסיק להשתמש בפיד ברנר.
בנוסף, אני אשקול להוסיף סטטיסטיקות RSS לפיירסטטס. (בקשת שיפור 161)

חוק חסימת האתרים

נבחרי הציבור לא מפסיקים להפתיע ולחדש, והפעם – הצעת החוק של ח"כ אמנון כהן.
למי שבדיוק חזר מהירח, אמנון כהן מציע לחסום אתרי "מין, הימורים ואלימות" מכלל הגולשים, למעט מבוגרים שיבקשו מפורשות להסיר את החסימה.
בנוסף, הח"כ הנכבד מציע זיהוי ביומטרי (טביעת אצבע) כדי לזהות את הגולש.
יש כל כך הרבה בעיות עם ההצעה הזו, שקשה אפילו להתחיל.
הדבר שהכי מפריע לי הוא שבשם הצדקנות החרדית, החופש שלי ושלכם נפגע.
לא מדובר במושג מופשט, אני לא צריך ולא רוצה שח"כ אמנון כהן פלמוני יחליט בשבילי לאיזה אתרים אני יכול להכנס, ואני במיוחד לא מוכן שספקית אינטרנט תחזיק מידע שיכול לזהות אותי לפי טביעת אצבע (!), וכן – אני יודע שזה רק hash, אבל זה שקול לצורך העניין.
אני לא מוכן אפילו להכנס לדיון לגבי הנזק שזה גורם לילדים, יש דרכים אחרות לפתור את זה והבלוגוספירה מלאה בהצעות טובות, למשל:
* העברת המחשב הביתי לסלון, שם הילדים יהיו תחת פיקוח בזמן שהם גולשים.
* חיוב ספקיות האינטרנט לספק שרות סינון אתרים (בתשלום) למי שמעוניין.
* יצירת מסלול גלישה מצונזר ומאובטח לחרדים רכי לבב ששמים זין על הפרטיות והחופש שלהם. (אם להם לא איכפת, מי אני שאזיז אצבע בשבילם).

גל מור הניף את דגל המאבק, ומציע להציף את נבחרי הציבור בדרישות להפיל את הצעת החוק בתאריך קרוב להצבעה (התאריך לא ידוע עדיין).

gideon3.jpg

פס רחב

בתקופה האחרונה תדירות הפוסטים שלי ירדה לקרשים, הסיבה היא עומס רציני בעבודה ובלימודים.
העומס בעבודה ירד, וזה שבלימודים עומד לרדת, אז הצפי הוא שיהיו יותר פוסטים.

בכל אופן, הנה אחד קצר:
הצעת חוק בארצות הברית מציעה להגדיר מהו פס רחב, אני כבר מדמיין איזו בדיחה החוק הזה יהיה בעוד עשר שנים.
דמיינו לעצמכם שלפני עשר שנים היו מגדירים פס רחב:

פס רחב הוא חיבור של 56 קילוביט לשניה בפס היורד, ולא פחות מ33.6 קילוביט לשניה בפס העולה.

ככה בדיוק תראה הגדרה מספרית שתוגדר היום בעוד עשר שנים.