Portada
mis comunidades
otras secciones
#8:
Creo que es uno de los fallos más serios de seguridad que he visto.
#4:
Mi premio al trollaco que ha elegido la foto de Montoro.
#10:
"Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
O sea, que se les ha ido de las manos y no saben como esconderlo
O sea, que se les ha ido de las manos y no saben como esconderlo
#62:
#39 He trabajado para la administración y créeme, solucionar un fallo por muy tonto que sea me suele llevar entre 2 y 4 semanas salvo que el error sea muy grave y haya que tirar por la vía más rápida saltándose todas las normativas.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
#102:
#97 Desconozco si #67 está en lo cierto, pero si está en lo cierto, lo que pasa es que al generar un pdf, se usa como identificador el timestamp (la fecha actual en formato numérico: segundos o milisegundos desde 01/01/1070: https://es.wikipedia.org/wiki/Marca_temporal).
Si el tiempo entre peticiones es suficiente, no habrá ningún problema, pero si hay varias peticiones en el mismo segundo (o milisegundo, según la precisión del timestamp), el identificador del pdf será el mismo para ambas peticiones, por tanto, uno podrá ver el pdf del otro (seguramente el segundo verá el pdf del primero).
Como dice #76, usando identificadores UUID, este problema no habría aparecido: https://es.wikipedia.org/wiki/Identificador_%C3%BAnico_universal
Esto es algo que no debería pasar hoy en día (los UUIDs se llevan usando mucho tiempo en la industria), pero lamentablemente, pasa.
No voy a opinar de quiénes han hecho el código, porque no les conozco, ni conozco sus circunstancias concretas, pero es un error bastante grave a estas alturas.
Si el tiempo entre peticiones es suficiente, no habrá ningún problema, pero si hay varias peticiones en el mismo segundo (o milisegundo, según la precisión del timestamp), el identificador del pdf será el mismo para ambas peticiones, por tanto, uno podrá ver el pdf del otro (seguramente el segundo verá el pdf del primero).
Como dice #76, usando identificadores UUID, este problema no habría aparecido: https://es.wikipedia.org/wiki/Identificador_%C3%BAnico_universal
Esto es algo que no debería pasar hoy en día (los UUIDs se llevan usando mucho tiempo en la industria), pero lamentablemente, pasa.
No voy a opinar de quiénes han hecho el código, porque no les conozco, ni conozco sus circunstancias concretas, pero es un error bastante grave a estas alturas.
#28:
En realidad es mucho más grave de lo que os pensáis... Desde siempre, si un usuario conoce la ruta de un documento de la AEAT, sólo con estar autenticado en la página podía ver dicho documento, aunque no le perteneciese a él.
Esto es antiguo, pero no mucha gente lo conoce.
Esto es antiguo, pero no mucha gente lo conoce.
#75:
A mi no me sorprende, a saber que cárnica explotando informáticos ha desarrollado la aplicación.
Comentarios
No salgo de mi asombro.
Cristóbal Ricardo Montoro Romero
A ver si sale por error el borrador de algun famosillo de Panama y la de risas que nos vamos a echar
Mi premio al trollaco que ha elegido la foto de Montoro.
voy a probar suerte a ver si me sale la de algún conocido defraudador y hago unas capturas..
El Golum más inútil de todas las galaxias.
Luego dirán que si el testeo de aplicaciones es importante.
Creo que es uno de los fallos más serios de seguridad que he visto.
#7 ¿Pasas a producción probando? Cobarde...
"Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
O sea, que se les ha ido de las manos y no saben como esconderlo
¿Será lo mismo que le pasó a Steam hace poco?
Para que luego digan que hacienda no somos todos , se podra ver la de montoro?
#8 es que hay que tumbarla hasta que no se solucione
Ya sabemos donde ha sido reubicado el que pulso el botón rojo el otro día en el metro de Madrid
#7 En este país no, y así nos va. Si la aplicación la habrán hecho entre becarios cobrando 0 y juniors cobrando 800 euros.
Molaría ver la de el campechano .
¿Seguro que fue "por accidente"?
No serían ellos.
dicen que ocurre cuando pinchas el enlace de previsualizar a la vez que otra persona, penoso el bug
#19 no salgo de mi asombro...
#9 ¿Tienes entornos de producción y desarrollo separados? Aprendiz...
#7 mejor testeo que millones de españoles frente a la pantalla.
#21 Sí, pero mi jefe no me da las contraseñas de producción, no sé por qué
A ver cuando salen los cuñados a decir que este tipo de errores lo solucionan en dos minutos aplicando alguna técnica de testeo: No señores, el desarrollo y puesta en producción de aplicaciones relativamente importantes exige muchos meses e inclusos años pero se ve que ni los cuñados ni los informáticos que gestionan la aplicación de hacienda lo saben.
Nosotros pirateamos sus cuentas en Panamá, ellos publican nuestras rentas en whatsupp...¡Es la guerra! ¡Más madera!
Pero la culpa es de ETA, por supuesto.
Pues nada, denuncia a la AEPD y que paguen a los afectados:
http://lopd-proteccion-datos.com/infracciones-y-sanciones
En realidad es mucho más grave de lo que os pensáis... Desde siempre, si un usuario conoce la ruta de un documento de la AEAT, sólo con estar autenticado en la página podía ver dicho documento, aunque no le perteneciese a él.
Esto es antiguo, pero no mucha gente lo conoce.
Y sin embargo yo no logro ver el mío. Tendré que preguntar, a ver si alguien lo ha podido ver y me lo cuenta.
#1 Ya te dije que soy pobre
#29 No lo he conseguido hasta que no abrí una "nueva ventana privada" en Firefox y desde este enlace http://www.agenciatributaria.es/AEAT.internet/Renta.shtml
Haz la prueba y ya dirás.
#28 como es eso posible?, algun tipo de cache raruno?, algo tipo ... se guardan los pdfs con nombres "aleatorios" en algun sitio temporal y a veces se comparten porque es el mismo?... es bastante raro la verdad.
#31 igual es algun tema de sessiones o cookies...
#32 Simplemente, no comprueban la cookie en el acceso a los documentos.
La ruta de esos PDF no es completamente aleatoria, se podría llegar a averiguar. Pero ojo, allá cada cual, recuerda que tienes que estar autenticado, y eso significa haber usado un método como un certificado digital, algo que garantiza el "no repudio" de lo que vayas a hacer, así que no podrás decir: "Fue un hacker"
#27 Hasta que se apruebe la normativa europeo a las Administraciones no se las puede sancionar.
#3 esos no tienen borrador. Sólo asalariados sin operaciones de bolsa, ingresos como autónomos, etc lo tienen.
¡¡Hacienda Leaks YA!!
A ver si es cierto eso que dicen algunos de transparencia...
Algún listo que no sabe configurar varnish.
#24 hola.
Yo soy el cuñado que dijo que la web de participación ciudadana de Madrid no cuesta ni la mitad de lo que han dicho.
Un error como este no se soluciona en dos tardes, porque el código será un infierno ilegible que no entiende ni el que lo hizo.
#28 una fuerza bruta saca todo?
#35 Cojonudo. Y como además estamos "sin gobierno" pues a ver quién transpone qué cuando se apruebe algo
#33 ¡Qué sabe nadie!
Dos días intentándolo y ha aparecido Bartolo con su flauta y ha sonado.
No creo que tenga nada que ver, pero es Firefox en Ubuntu.
#23 es la misma que usa para Gmail. Prueba...
#29 Yo no pude obtener mi número de referencia con el Chrome. Con el Firefox sin problema. Yo probaría eso.
cuando un usuario clicaba en el botón de previsualizar al mismo tiempo que otra persona que estuviera alojada en el mismo servidor, se podía ver su borrador en lugar del propio
No sé por qué me da que alguien ha puesto un "static" delante de alguna variable
#40 Yo no sé nada... Además, quizá ya lo repararon, de esto nos dimos cuenta hace más de 3 años.
Y dale con los errores informáticos...
Me suena a bug del servidor F5...
Jajaja pringaos. La gente de bien usa el papel y los mesías usamos una tabla de piedra.
Amazon Web Services [...], seguridad [...], leyes de EEUU [...], nada les impide ver tus datos[...], Azure lo mismo [...], no estaría tranquilo con mis datos en la nube [...]
#10 "Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
wtf.
Es una incidencia mínima porque nuestra web es responsive y la abuela fuma. Es obvio.
#7 Bueno, estas cosas pasan
#28 no creo que las rutas sean fácil de sacar, no??
#53 sabe dios.
Genial!
#19 Eh...
No es un bug, es una feature.
Todo un ejemplo de transparencia.
Tengo la impresión que alguien hace noche en la oficina hoy.
#45 No arruines a la empresa que cobrará 100.000€ en una auditoría por encontrar ese error.
#4 He pensado lo mismo, pero hubiera sido mejor un facepalm.
#39 He trabajado para la administración y créeme, solucionar un fallo por muy tonto que sea me suele llevar entre 2 y 4 semanas salvo que el error sea muy grave y haya que tirar por la vía más rápida saltándose todas las normativas.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
#39 Además ese que lo hizo ya no trabaja en la cárnica de donde lo sacaron.
#39 El becario de Indra
¿También esta plataforma la ha hecho el cuñado de algún político?
¿Alguien ha visto no se que de panamá en su borrador? Me he descargado el PDF y son como 6TB.
#39 No creo que sea el caso de error que hay que buscar en codigo spaguetti.
Parece mas que el identificador del pdf generado se basaba en un timestamp (mec error)
y la avalancha de solicitudes producia colisiones...
#48 Llámalo cache.
#38 Exacto, lo primero que he pensado... rollo cacheando HTTPS/SSL, que creo que con Varnish si no es la versión de pago no puedes.
#59 Si, pero no será un personal funcionario.
#27 eso digo yo.. pero denunciamos todos o como va? cómo sé si otra persona se ha descargado ya mi borrador?
#70 Veo que has trabajado con la administración
#34 Me dices que con los datos de cualquier declaracion de hacienda del año pasado (no necesita certificado) un robot puede patearse todo un repositorio fisico de borradores de declaraciones?
Parece del pais de los memos, pero viendo que han implementado tan pobremente que dos peticiones concurrentes pueden colisionar en la vista del borrador...
Se puede pedir indemnizaciones?
A mi no me sorprende, a saber que cárnica explotando informáticos ha desarrollado la aplicación.
#67 ¿Cambias el timestamp por un guid y ya está arreglado?
Ese sería el tipo de error que se soluciona en 2 min de testeo, yo apuesto por codigo spaguetti también.
El multihilo es jodido...
En este país, con una corrupción desmadrada, con un diferencial de riqueza enorme y en aumento, con aforamientos políticos, con falta de independencia judicial, con niveles gravísimos de impunidad, con una parte importante de la economía sumergida, con una ínfima persecución de delitos fiscales para grandes fortunas, etc., solo nos faltaba que violaran nuestros derechos a la confidencialidad de nuestros datos fiscales, para así animar a la gente para que cumpla con sus obligaciones tributarias.
Desde aquí atufa a Java y un programa thread unsafe
#61 nonononono, esa cara de "ohtia, que coño ha pasao?" no tiene precio cFFFFF
¿Algún borrador interesante? El de Montoro, por ejemplo. O el de Cañete o el de Jordi Pujol... Que alguien los cuelgue.
Esto mismo lo he visto en una aplicación del ICEX. Desarrollo J2EE con WebLogic, y el id de usuario se guardaba en una variable global del controller
#11 Es lo que me ha venido a la cabeza, servidores colapsados tirando de caché malamente
#45 Estos Seniors, que cosas me hacen, ni que fuesen becarios.
#2 Como para fiarse de lo que dice su borrador, todo parecido con la realidad será mera coincidencia.
Para mi que es un problema parecido al de las webcaches que tuve steam no hace mucho tiempo.
No sólo va a peor, sino que además ocurren estas cosas... España, mejorando día a día...
Mi amigo el empresario me había dicho que eran muy buenos en informática, pero le volveré a renovar el contrato igualmente..
#8 ¿premio? no hay vergüenza y es lamentable que cada vez que sale una noticia del Gobierno/PP utilicen fotos de deficientes mentales para ilustrarla.
#4 Es Juan, de la chirigota del Selu.
#8 pues no va a pasar nada...
#23 1234
Y si es un obseso de la seguridad, 123456
Claro que si fuese para algo ya aún más serio, como desencadenar un holocausto nuclear: 00000000
Los directivos de las consultoras, seres importantes con traje y corbata, habrán cobrado millonadas de dinero público por la gestión mientras que los becarios que se han encargado de programarlo habrán tenido la suerte de trabajar gratis a cambio de "coger experiencia".
El típico error cuando no tienen un singleton factoría en la capa del servicio que te cree un hilo para hablar con la base de datos. A estas alturas, debería ser un error trivial de solucionar, siempre que el código esté bien mantenido por capas. Es un error mas comun de lo que se cree, en su momento me encontré el mismo error en la CECA, esa empresita que da servicio a prácticamente todas las cajas de ahorros de este país...
¿Donde hay que votar para nombrar al "programador" MVP de la informática?
#10 Es como si en medio de un pánico bancario la sucursal dijera:
- ¡Tranquilos, tenemos decenas de billetes!
#82 ¿Puedes explicarlo mejor? Parece interesante.
#67 ¿Puedes explicarlo mejor?
#80 si en meneame mucho informatico: que si java cache, entorno de produccion pero queremos ver la declaracion de algun pez gordo ya!!!!
#8 En realidad el problema es un clásico, es de beca de informática.
Y LOPD se la pasarán por el arco del triunfo