Hace 9 años | Por filetinfiletin a eskerda.com
Publicado hace 9 años por filetinfiletin a eskerda.com

Fallos de seguridad de principiante que ponen en peligro los datos de los ciudadanos. Incluido un directorio abierto con un certificado privado. Todo esto en un proyecto que costará 884 millones en 12 años, una licitación a bonopark de 25 millones en 10 años…

Comentarios

Frederic_Bourdin

#7 Con el paro que hay no compro ese argumento, lo siento.

D

#8 No s'e c'omo ibas a comprar un argumento, aunque quisieras.

D

#8 ¿Tú vives en España? Porque paro entre desarrolladores experimentados capaces de sacar este proyecto con los mínimos fallos de seguridad no hay.

Pero claro, para sacar a estos desarrolladores de su actual trabajo hay que pagarles más...

joan.garcia.902

#8 un programador que pueda hacer una app o web en condiciones, no baja de 25.000€ al año (para desarrollo de móviles bastante mas). Los que están en el paro, o no son muy buenos, o son juniors, es decir no tienen experiencia o muy poca, o tienen unas expectativas económicas que son mucho mas altas que las de los 0 € de un becario. La informática no se acerca ni de lejos al paro general.

delawen

#27 Pero lo triste es que para hacer ese sistema tampoco necesitas un equipo informático grande, con un par de seniors y un pequeño grupo de juniors, la web y el sistema de alquiler lo tendrías montado en unos meses.

Probablemente la mayor parte del dinero se vaya en cosas materiales: instalación de las estaciones, las bicis (con su gps escondido), mantenimiento a futuro de las bicis (en Sevilla se "rompen" bastante),... O incluso en estudios de dónde colocar las estaciones y cuántas bicis totales van a hacer falta (si es que eso no lo ponía el Ayuntamiento en el pliego).

Lo cual no justifica en absoluto que hayan decidido hacer la web con los pies. Poner https no es sólo una tontería a nivel de desarrollo, es que es básico a nivel de seguridad. Si te montan una web con login sin https, ya sabes que estás ante aficionados (o ante un entorno de desarrollo/pruebas).

ann_pe

#32 Lo del https todavía hay un motón de tiendas online que siguen sin usarlo (lo usan sólo para la plataforma de pago a través de un tercero), ignorando las recomendaciones del Inteco para comercio electrónico, que dice que no sólo se debe usar para los datos de pago sino que todo el proceso de registro e introducción de datos personales debe ir cifrado.
Incluso me he encontrado con que la web para consultar las facturas online para clientes particulares de una compañía eléctrica va en http sin dar opción a usar https y sale el nº de cuenta bancaria sin ningún dígito oculto

delawen

#52 Yo llamaría a atención al cliente de esa compañía (y esas tiendas) echándoles la bronca y dejándoles bien claro que están jugando con mis datos personales.

Es más, se podría plantear una denuncia a protección de datos...

D

#4 #7 #12 Pero que becarios ni que pollas, las cagadas estas las hacen más los tíos que llevan 20 años programando y lo siguen haciendo con en los 90 lol

ED209

#1 joder qué hachas... ni siquiera IIS con PHP, WAMP directamente

http://31.media.tumblr.com/tumblr_lxpfttmPEq1rn95k2o1_400.gif

h

Acabo de ejecutar el PRUEBA.php y la primera en la frente: warnings de WAMP. Sin comentarios. (cc #1 #20)

A

Al final se demuestra que el objetivo del bicifraude no es otro que enriquecer a un cuñao más que estaba en la lista de recomendados del opus o la Feas.

tul

cada proyecto publico es una excusa para llenar los bolsillos de algun amiguito del alma con dinero publico, el servicio a los ciudadanos ni esta ni se le espera.

tul

#4 tu no sabes todavia donde vives? esto es lo normal. esta mal? claro, pero poco se puede hacer mientras sigan alibaba y los apandadores al mando de las instituciones y gestionandorobando el dinero publico

D

A ver, que se pueda conseguir una lista de puntos de bicis con algo de informaci'on no tiene nada de grave (al fin y al cabo es b'asicamete la misma informaci'on que se muestra en pantalla, pero en bonito).

Lo que tiene delito es que las directivas del servidor web est'en tan mal implemententadas que se deje ver a usuarios remotos los contenidos de las carpetas. Eso s'i que est'a mal, y m'as a'un cuando se dejan por ah'i tirados los ficheros de claves RSA. Que es una gran cagada.

p

#13 Esto no es un olvido ni un despiste. Suena a que quien lo hace no sabe lo suficiente y ni siquiera es consciente de lo que no sabe. A poco que te hayas documentado en cualquier cosa sobre programación web y cómo se monta un servidor, es de cajón.

D

Marca España.

Ksiqno

Pero, y lo bonita que está Madrid?

D

Lo que me indigna es que se estas alturas otra sigan sorprendiendo estas cosas. Vivimos en un país donde un subnormal presenta los presupuestos en un código QR diciendo que es Bidi, donde una retrasada sube a su Twitter oficial la puntuación de un videojuego. Para ellos is very difficult todo esto. Entendedlos...

kumo

#23 Yo si he visto servidores *nix saturados. Pero no iban por ahí los tiros, listillo.

80 millones son muchísimos millones. Pero una barbaridad de ellos. Es que ni usando una furgoneta por bici y viaje me salen las cuentas. Ni aunque se hubieran equivocado y hubieran querido decir 8,84millones anuales me acaban de cuadrar.

D

#28 ¿y por dónde iban los tiros?
¿has leído el contrato para saber si es mucho o poco? Yo no, y por eso no opino respecto al dinero. A ver si el listillo vas a ser tú...

D

Me pregunto qué empresa líder en su sector habrá perpretado esto...

D

Usan apache y ¿tiene activada la navegación por directorios...???!!! pero si eso hay que ponerlo adrede, de mano no te lo hace... madre míaaaa quén ha sido el capullo...?

kumo

#38 No lo sé. Pero el montaje está descrito arriba y se hace sobre Windows. No sé si luego en los Kioskos han usado, mal, otra cosa.

Juacko

#38 #39 Efectivamente, por lo visto los kioskos van con Ubuntu y sin limar, con toda la paquetería, como si fuera para un escritorio.

kumo

Mmm... Unos 80 millones anuales para bicis? Qué van a hacer, tirarlas todos los años y ponerlas nuevas de platino? Nos saldría más a cuenta regalarle una a cada madrileño

Ayer vi una foto de alguien que en uno de los kioskos estaba editando un documento. Los servidores saturados. Y a quién se le ocurre hacer algo con Windows? En fin, un desastre esperable de la administración que tenemos.

La foto que comentaba:
https://pbs.twimg.com/media/Bq42b4PIgAAHDBa.jpg

D

#21 Es verdad, nunca he visto un servidor linux saturado.
Montemos esa aplicación en un linux y todo solucionado.

Los 80 millones entiendo que incluyen mantenimiento y las camionetas que trasladan las bicicletas N veces al día.

D

#23 ¿Ochenta millones de euros unas bicis y unas furgonetas?

Me imagino que las furgonetas las habrán encargado en exclusiva a Ferrari, que además las hará a mano, sin producción en cadena, porque no me jodas

marioquartz

#40 Y las bases. Y su colocación, y su mantenimiento (Y que este dure varios años), y el de las bicis. Por cierto no te vale una bici comprada en el Carrefour, necesita incluir GPS y que este mande la información. Por tanto un sistema de gestión de la posición de las bicis, y el sistema de gestión de usuarios. Los "cajeros" desde donde se hace esta gestión. Su mantenimiento... ¿Sigo?

D

#42 Sigue sigue. Estoy interesado en ver cómo te vas a gastar esos 80 millones de euros al año en todo eso.

Porque hasta ahora, todo lo que me estás diciendo no suman ochenta millones de euros al año ni de coña. Pero ni de coña, vamos.

Me gustaría que fueses tú el encargado de gestionar ese servicio, el jefe máximo que haya encargado, a ver si 80 millonazos de euros al año por unas furgonetas, unas bicis (con GPS, que me da igual, tronco), unos anclajes (que dudo muchísimo que tengan una vida útil de 1 año) y unos servidores informáticos te parecían "un precio razonable". Joder tío... es que manda huevos.

Dios mío... y eso que la gestión es privada "para que sea más eficiente". La puta madre tú, casi prefiero pagarle unas cuantas mariscadas al año al gordo de la UGT y que me lo gestionen unos funcionarios a 25.000 brutos al año, que se tomen su café de media hora, su almuerzo de 1 hora y su comida de 2 horas. Y si se pierde alguna bici, con ochenta millones de euros al año disponibles de presupuesto, que no se preocupe nadie que ya voy yo personalmente a comprar una nueva con GPS y con WiFi y cardiómetro si hace falta.

Ostia puta ya.

marioquartz

#44 Cuando te quites la venda seguimos hablando. Una bici con GPS si la encuentras por menos de 2000 euros me parecerá barata. Una bici normal no sube de 1000. Asi que SI es importante.

D

#45 ¿¿Venda de los ojos?? Y me lo dice alguien que presupuesta 80 millones de euros al año para un servicio de bicicletas urbano lol

Esto sí que es de risa, macho. ¿Y una bici con GPS por 2000 euros? Me imagino que querrás un servicio de bicicletas con Specializeds o Cannondales de último modelo, las más pepinos que tengan en la tienda, ¿no? Porque yo tengo una bici Giant de paseo nueva que está de puta madre, con marchas (no de piñones, que son baratos, sino cambio de marchas en buje), cuadro de aluminio, faros y mariconadas varias... y nueva me costó 500 euros. Ahora imagina que en vez de 1 eres el Ayuntamiento y compras ¿100? Y eso que estoy hablando de bicicletas de importación, estadounidenses. Me imagino que podrías negociar con cualquier fabricante de bicis español un precio, así que no me jodas amigo con tus "mil euros por bici, 2000 con GPS", porque eso no te lo crees ni tú Menos aún teniendo en cuenta el pedazo de hierro que son las bicis de las que estamos hablando.

El GPS... pues lo mismo. La electrónica hoy está tirada de precio. Si compras 1 GPS en El Corte Inglés, pues te sale por ¿500 euros? si compras 100-200, pues ya puedes hasta negociar con algún mayorista o incluso con un fabricante.

Tu mujer estará contenta con las cuentas que haces lol

marioquartz

#46 Y la tuya con las tuyas. La mia no porque no estoy casado.

¿Tu bici tiene para cambiar la altura del sillin de tal manera que no pueda sacarse y que este reforzado para evitarlo? No. Pero tu sigue.

D

#40 añado más a lo que dice #42 , se necesita un call center para resolver incidencias, normalmente sobre temas monetarios. Un seguro para compensar el vandalismo, obras de levantamiento de suelo, tirar cables de comunicaciones y eléctrico a cada una de las estaciones. Posiblemente dinero para demandar a los vándalos anteriormente citados, etc. Y luego recuerda que nadie hace nada gratis y la empresa le tiene que meter su margen de beneficio. No quiero decir que sea barato, pero al igual que tú no conozco los pormenores del contrato como para juzgarlo.

Por cierto, hablo con conocimiento to de causa porque he trabajado en uno de estos sistemas de bicis.

kahun

#40 #42 #56 Pues como hayan hecho todo eso de la misma forma que han hecho el software que no te sorprenda que las bicis exploten o las bases se prendan fuego ...

D

#56 Todo eso que estás enumerando NO cuesta 80 millones de euros al año. Por no mencionar que la mayoría de las cosas que enumeras (instalación de bases, carril bici...) suponen un único gasto, no un gasto anual permanente.

Pero es que no cuesta 880 millones de euros ni de coña, vamos. Que estamos hablando de un puto servicio de bicis urbano, joder, ¿estáis locos? ¿Vostros pensáis lo que son 800 millones de euros???????? Ni que estuviéramos hablando de rehacer todo el puerto de Valencia desde cero!!!

cosmonauta

#21 Estaba mirando tu foto y me ha llamado la atención la versión inglesa....¿No es un poco cañí? ¿Reload balance? ¿Purchassing the pass? ¿Incidents? Es inglés correcto, vale, pero me parecen expresiones forzadas que no encajan del todo.

inconnito

#21 ¿Yo diría que eso es una ubuntu?

D

#21 que esté bajo linux garantiza que no se va a saturar?

adevega

#21 Eso es un Ubuntu Linux y lo que tiene abierto es un LibreOffice Impress.

D

prueba.php

O_0

J

Se queja de que los datos deban ser abiertos... y lo serán... pero hasta dentro de dos años y medio no. Ya tenemos una Ley de Transparencia y tal, que entró en vigor a finales del año pasado y para la que las administraciones y demás instituciones y proyectos pagados con dinero público entrará en un año desde la publicación, es decir, a finales de este presente año; pero hay más... porque las comunidades autónomas y entidades locales tendrán además un par de años para adaptarse (lo que no sé es si ese par de años cuenta desde el momento de publicación de la ley o desde el momento en que realmente les afecta... pero en cualquier caso, hasta finales del año que viene no podemos exigir nada).

D

Podrían haberse asesorado un poco por los barceloneses, que aquí el bicing dentro de lo que cabe fuciona. Ui! he dicho catalanes? Herejía!

efoncubierta

¿Para cuándo un IT Leak? Queremos nombre de empresas, ofertas presentadas, presupuestos, responsables, etc.

vegatripy

Es un reflejo lamentable de lo que pasa en una cantidad alarmante de empresas.
Y no me refiero a que el problema sea tener becarios inexpertos, seguro que hay becarios a patadas que jamás diseñarían éstas atrocidades. El problema viene de quienes quieren tomar las decisiones desde arriba , siendo dinosaurios anclados y acomodados en sus puestos, que quieren tenerlo todo controlado y por ende al final se comenten ésta serie de gilipolleces.

Me lo imagino perfectamente. Director de proyecto que es colega o amiguete de turno de alguien: "Nah, sólo vamos a contratar chavales que nos desarrollen una aplicación buena. El sistema lo podemos montar nosotros en un pispas con un WAMP que nos ha funcionado muy bien en la empresa de administración de fincas de mi hijo, y además así se controlarla yo."

Típico, tipico, típico.

dragonut

El proyecto lo habrá realizado algún sobrino que se acaba de sacar un master en elaboración de webs por la universidad del Opus del Santo Cristo

a

Hablando del software que es de lo que entiendo:

- ¿Como puede ser que no hayan pasado un auditoría de seguridad antes de poner esto en la calle?, y si la han pasado pues entonces ya es para alucinar.
- Simplemente echando un vistazo a la lista de "funciones" ya da un poco la risa la arquitectura del invento:
- Usar windows para montar un apache con php y supongo un mysql (por aquello del wamp), desperdicio de dinero en licencias por un lado y sobre todo mucha más dificultad para mover el sistema a futuro a otros hostings (por ejemplo montarlo en la nube para no morir "de exito" con 1000 usuarios... )
- La elección de la tecnología de lado servidor: no es que no se puedan hacer cosas bien con php, pero si se trata de montar servicios web que luego se puedan acceder desde distintas apps (webs, moviles, smart watches, conexiones con software de gps, google glasses.. y espérate unos añitos que a saber por donde van los tiros). Sinceramente ni php esta pensado para eso ni es la mejor tecnología para hacerlo desde ningún punto de vista imaginable, supongo que es "lo que sabrían" en la empresa donde se ha perpetrado el invento.
- En un sistema de este tipo lo logico es construir un API RestFull y luego consumir los servicios desde los distintas apps, este API además debería ser público como muy bien se señala en el articulo de la noticia, pero si en una primera fase no da tiempo a publicarlo (que no es tan fácil, requiere pensar documentación, cuotas de uso, autenticación, monitorización y algunas cosillas más) al menos que el API aunque de uso privado este bien diseñado para poder abrirlo en el futuro facilmente. Y el api consiste en una carpeta "functions" con ficheros .php uno por cada función que exporta el api, por lo menos devuelve JSON, pero vamos RestFull a tope si, valiente porquería. Ya que haces un API en 2014 mirate un poco buenas practicas para construir API's rest que hay información a patadas sobre el tema.

Tiene toda la pinta de ser el tipico sistema echo a todo prisa y por gente si mucha experiencia en lo que esta haciendo, vamos como el 99% de los proyectos de la administración, ningún motivo para sorprenderse y todos para indignarse...

D

Han quitado lo del certificado y han puesto un índex.HTML para que no se vea la lista de ficheros

rook1

Aunque pretendieran hacer las cosas peor, no lo conseguirían. No solo son corruptos y mentirosos, son inútiles y chapuceros.

D

Otra "renfe" mas.

Que puto pais.

DdeDuro

Lo ha debido montar Ana Botella en sus clases de informática avanzada

PabloHerreros

Atentos, que Bicimad responde al post: https://www.facebook.com/bicimad/posts/862928480403417. No os riáis muy fuerte, que igual tiráis otra vez el sistema

H

¿Esto no es denunciable?

Katsumi

¿Y esto no es un microblogging de libro?

D

Muy interesante.

Lo que me rechina es el uso, esta vez por parte de #0 , de los paréntesis en el titular. Sobre todo porque hay quien podría votar microblogging por ello y sería una pena.

kuidao

Un poco de masilla y listo!!

D

ya está caída

a

Debe sobrar el dinero, porque no concibo còmo se permite esto en otro caso.

s

Y esto es lo que pasa cuando para ahorrar pones a becarios/empleados en practicas sin experiencia y cuya supervisión es nula.

D

Hoy el Tribunal Supremo ha avalado las prospecciones petrolíferas en Canarias en contra de la opinión de muchos canarios, siendo una noticia de alcance nacional, y ha sido ignorada, en cambio, una noticia sobre unas bicis en el centro de Madrid es portada.

Madrileame.net

Zombi

#10 no tenía idea. Espero a que salga la noticia de las prospecciones.
La cuestión aquí se referirte a algo ya hecho y eso es lo que se discute. Las prospecciones Canarias están en modo futuro y aún es posible un cambio. .