Portada
mis comunidades
otras secciones
#8:
Creo que es uno de los fallos más serios de seguridad que he visto.
#4:
Mi premio al trollaco que ha elegido la foto de Montoro.
#10:
"Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
O sea, que se les ha ido de las manos y no saben como esconderlo
O sea, que se les ha ido de las manos y no saben como esconderlo
#62:
#39 He trabajado para la administración y créeme, solucionar un fallo por muy tonto que sea me suele llevar entre 2 y 4 semanas salvo que el error sea muy grave y haya que tirar por la vía más rápida saltándose todas las normativas.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
#102:
#97 Desconozco si #67 está en lo cierto, pero si está en lo cierto, lo que pasa es que al generar un pdf, se usa como identificador el timestamp (la fecha actual en formato numérico: segundos o milisegundos desde 01/01/1070: https://es.wikipedia.org/wiki/Marca_temporal).
Si el tiempo entre peticiones es suficiente, no habrá ningún problema, pero si hay varias peticiones en el mismo segundo (o milisegundo, según la precisión del timestamp), el identificador del pdf será el mismo para ambas peticiones, por tanto, uno podrá ver el pdf del otro (seguramente el segundo verá el pdf del primero).
Como dice #76, usando identificadores UUID, este problema no habría aparecido: https://es.wikipedia.org/wiki/Identificador_%C3%BAnico_universal
Esto es algo que no debería pasar hoy en día (los UUIDs se llevan usando mucho tiempo en la industria), pero lamentablemente, pasa.
No voy a opinar de quiénes han hecho el código, porque no les conozco, ni conozco sus circunstancias concretas, pero es un error bastante grave a estas alturas.
Si el tiempo entre peticiones es suficiente, no habrá ningún problema, pero si hay varias peticiones en el mismo segundo (o milisegundo, según la precisión del timestamp), el identificador del pdf será el mismo para ambas peticiones, por tanto, uno podrá ver el pdf del otro (seguramente el segundo verá el pdf del primero).
Como dice #76, usando identificadores UUID, este problema no habría aparecido: https://es.wikipedia.org/wiki/Identificador_%C3%BAnico_universal
Esto es algo que no debería pasar hoy en día (los UUIDs se llevan usando mucho tiempo en la industria), pero lamentablemente, pasa.
No voy a opinar de quiénes han hecho el código, porque no les conozco, ni conozco sus circunstancias concretas, pero es un error bastante grave a estas alturas.
#28:
En realidad es mucho más grave de lo que os pensáis... Desde siempre, si un usuario conoce la ruta de un documento de la AEAT, sólo con estar autenticado en la página podía ver dicho documento, aunque no le perteneciese a él.
Esto es antiguo, pero no mucha gente lo conoce.
Esto es antiguo, pero no mucha gente lo conoce.
#75:
A mi no me sorprende, a saber que cárnica explotando informáticos ha desarrollado la aplicación.
Comentarios
Creo que es uno de los fallos más serios de seguridad que he visto.
#8 es que hay que tumbarla hasta que no se solucione
#8 ¿premio? no hay vergüenza y es lamentable que cada vez que sale una noticia del Gobierno/PP utilicen fotos de deficientes mentales para ilustrarla.
#8 pues no va a pasar nada...
#8 En realidad el problema es un clásico, es de beca de informática.
#8 #99 El problema es la externalización de la informática. Como pasa siempre..
A los informáticos nos tratan como tontos, cuando están nuestras manos cosas como estas.
#8 Bueno, el programa Padre sigue exigiendo JAVA para funcionar. Imagínate el resto...
De todas maneras viendo cómo dan los contratos informáticos que cuestan millones y que luego los hacen dos parguelas en 15 días, pues es normal que pase todo esto.
#8 me recuerda al de steam hace unos meses.
Mi premio al trollaco que ha elegido la foto de Montoro.
#4 He pensado lo mismo, pero hubiera sido mejor un facepalm.
#61 nonononono, esa cara de "ohtia, que coño ha pasao?" no tiene precio cFFFFF
#4 Es Juan, de la chirigota del Selu.
"Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
O sea, que se les ha ido de las manos y no saben como esconderlo
#10 "Desde la Agencia Tributaria consideran el problema "una incidencia mínima", pues cuentan con "decenas" de servidores"
wtf.
Es una incidencia mínima porque nuestra web es responsive y la abuela fuma. Es obvio.
#10 Es como si en medio de un pánico bancario la sucursal dijera:
- ¡Tranquilos, tenemos decenas de billetes!
En realidad es mucho más grave de lo que os pensáis... Desde siempre, si un usuario conoce la ruta de un documento de la AEAT, sólo con estar autenticado en la página podía ver dicho documento, aunque no le perteneciese a él.
Esto es antiguo, pero no mucha gente lo conoce.
#28 como es eso posible?, algun tipo de cache raruno?, algo tipo ... se guardan los pdfs con nombres "aleatorios" en algun sitio temporal y a veces se comparten porque es el mismo?... es bastante raro la verdad.
#32 Simplemente, no comprueban la cookie en el acceso a los documentos.
La ruta de esos PDF no es completamente aleatoria, se podría llegar a averiguar. Pero ojo, allá cada cual, recuerda que tienes que estar autenticado, y eso significa haber usado un método como un certificado digital, algo que garantiza el "no repudio" de lo que vayas a hacer, así que no podrás decir: "Fue un hacker"
#34 Me dices que con los datos de cualquier declaracion de hacienda del año pasado (no necesita certificado) un robot puede patearse todo un repositorio fisico de borradores de declaraciones?
Parece del pais de los memos, pero viendo que han implementado tan pobremente que dos peticiones concurrentes pueden colisionar en la vista del borrador...
#28 una fuerza bruta saca todo?
#40 Yo no sé nada... Además, quizá ya lo repararon, de esto nos dimos cuenta hace más de 3 años.
#28 no creo que las rutas sean fácil de sacar, no??
#53 sabe dios.
Cristóbal Ricardo Montoro Romero
#2 Como para fiarse de lo que dice su borrador, todo parecido con la realidad será mera coincidencia.
dicen que ocurre cuando pinchas el enlace de previsualizar a la vez que otra persona, penoso el bug
#19 no salgo de mi asombro...
#19 Eh...
Luego dirán que si el testeo de aplicaciones es importante.
#7 ¿Pasas a producción probando? Cobarde...
#9 ¿Tienes entornos de producción y desarrollo separados? Aprendiz...
#21 Sí, pero mi jefe no me da las contraseñas de producción, no sé por qué
#23 es la misma que usa para Gmail. Prueba...
#23 1234
Y si es un obseso de la seguridad, 123456
Claro que si fuese para algo ya aún más serio, como desencadenar un holocausto nuclear: 00000000
#7 En este país no, y así nos va. Si la aplicación la habrán hecho entre becarios cobrando 0 y juniors cobrando 800 euros.
#7 mejor testeo que millones de españoles frente a la pantalla.
#22 "La experiencia es el peor profesor, pasa examen antes de haber dado la lección"
#7 Bueno, estas cosas pasan
#7 Universalmente conocido que pro no es de producción sino de probar
Ya sabemos donde ha sido reubicado el que pulso el botón rojo el otro día en el metro de Madrid
Todo un ejemplo de transparencia.
voy a probar suerte a ver si me sale la de algún conocido defraudador y hago unas capturas..
Pues nada, denuncia a la AEPD y que paguen a los afectados:
http://lopd-proteccion-datos.com/infracciones-y-sanciones
#27 Hasta que se apruebe la normativa europeo a las Administraciones no se las puede sancionar.
#35 Cojonudo. Y como además estamos "sin gobierno" pues a ver quién transpone qué cuando se apruebe algo
#41 La nueva norma europea no necesitará trasposición, será de aplicación directa. Cuando salga, claro.
#27 eso digo yo.. pero denunciamos todos o como va? cómo sé si otra persona se ha descargado ya mi borrador?
A mi no me sorprende, a saber que cárnica explotando informáticos ha desarrollado la aplicación.
Tengo la impresión que alguien hace noche en la oficina hoy.
#59 Si, pero no será un personal funcionario.
#70 Veo que has trabajado con la administración
#72 #70 Veo que habéis trabajado poco con la administración.
Y sin embargo yo no logro ver el mío. Tendré que preguntar, a ver si alguien lo ha podido ver y me lo cuenta.
#29 No lo he conseguido hasta que no abrí una "nueva ventana privada" en Firefox y desde este enlace http://www.agenciatributaria.es/AEAT.internet/Renta.shtml
Haz la prueba y ya dirás.
#31 igual es algun tema de sessiones o cookies...
#33 ¡Qué sabe nadie!
Dos días intentándolo y ha aparecido Bartolo con su flauta y ha sonado.
No creo que tenga nada que ver, pero es Firefox en Ubuntu.
#29 Yo no pude obtener mi número de referencia con el Chrome. Con el Firefox sin problema. Yo probaría eso.
Nosotros pirateamos sus cuentas en Panamá, ellos publican nuestras rentas en whatsupp...¡Es la guerra! ¡Más madera!
A ver cuando salen los cuñados a decir que este tipo de errores lo solucionan en dos minutos aplicando alguna técnica de testeo: No señores, el desarrollo y puesta en producción de aplicaciones relativamente importantes exige muchos meses e inclusos años pero se ve que ni los cuñados ni los informáticos que gestionan la aplicación de hacienda lo saben.
#24 hola.
Yo soy el cuñado que dijo que la web de participación ciudadana de Madrid no cuesta ni la mitad de lo que han dicho.
Un error como este no se soluciona en dos tardes, porque el código será un infierno ilegible que no entiende ni el que lo hizo.
#39 He trabajado para la administración y créeme, solucionar un fallo por muy tonto que sea me suele llevar entre 2 y 4 semanas salvo que el error sea muy grave y haya que tirar por la vía más rápida saltándose todas las normativas.
Arreglar un fallo es localizar el problema, documentarlo y solucionarlo: Eso, si es una tontería, me lleva un día, luego hay que pasarlo a los diferentes entornos de la aplicación (Desarrollo Cliente, Preproducción y producción). Cada entorno tiene sus propios horarios (bastante reducidos) de despliegue y hay una serie de personas que supeditan los cambios para tener la certeza de que no va a fallar nada (Salvo en el de desarrollo que ahí se fían de los desarrolladores). En algunos casos incluso vuelven a pasar todas las pruebas de estrés y pruebas unitarias en el entornos de preproducción para tener la certeza de que los cambios no van a originar otro fallo o van a hacer que el servidor caiga por una mala ejecución de código). Y te estoy hablando de entornos donde no debería haber fallos pero se dan por casos muy particulares o por cambios en algunos de los servicios empleados.
Y te estoy hablando de 3 entornos, tengo amigos que han llegado a pasar una aplicación (desarrollada para un cliente privado) por 10 entornos diferentes antes de ponerlo en producción: Estamos hablando de aplicaciones donde un mínimo fallo puede suponer millones al cliente (y por tanto a la empresa). Incluso en uno de los entornos tienen sistemas para medir la calidad del código y analizan los cambios efectuados para realizar sistemas de marcha atrás en caso que la puesta en marcha de nuevas funcionalidades/correcciones de bugs de problemas. En el momento que detectan algo raro hay que pasar al entorno anterior e incluso a empezar de nuevo para tener la certeza de que no va a haber problemas.
Por eso digo, que cuando veo que un usuario arregla una cosa en cinco es que la aplicación es muy sencilla o no dispone de un protocolo adecuado.
Edito: Lógicamente estoy hablando de empresas serias, a las cárnicas mejor ni acercarse.
#113, es una cagada muy grave y precisamente por ese motivo creo que hay que dar mucha importancia a las pruebas unitarias, pruebas de carga/estrés y pruebas de usuarios cosa que no se hace en muchos sitios. Cuando me refiero a cuñados, me refiero a la gente que soluciona los problemas en cinco minutos y eso no es posible en informática, cualquier cambio a realizar debe pasar por una serie de procesos que garanticen el éxito de la operación y que suele durar unos días (e incluso semanas) pero claro eso tiene un coste que los empresaurios no quieren asumir porque han hecho una valoración muy a la baja. Fíjate que en #62 he hablado de hasta aplicaciones con 10 entornos de pruebas, gestionar todo esto lleva mucho tiempo y dinero pero suele garantizar éxito.
#39 Además ese que lo hizo ya no trabaja en la cárnica de donde lo sacaron.
#39 El becario de Indra
#39 No creo que sea el caso de error que hay que buscar en codigo spaguetti.
Parece mas que el identificador del pdf generado se basaba en un timestamp (mec error)
y la avalancha de solicitudes producia colisiones...
#67 ¿Cambias el timestamp por un guid y ya está arreglado?
Ese sería el tipo de error que se soluciona en 2 min de testeo, yo apuesto por codigo spaguetti también.
El multihilo es jodido...
#97 Desconozco si #67 está en lo cierto, pero si está en lo cierto, lo que pasa es que al generar un pdf, se usa como identificador el timestamp (la fecha actual en formato numérico: segundos o milisegundos desde 01/01/1070: https://es.wikipedia.org/wiki/Marca_temporal).
Si el tiempo entre peticiones es suficiente, no habrá ningún problema, pero si hay varias peticiones en el mismo segundo (o milisegundo, según la precisión del timestamp), el identificador del pdf será el mismo para ambas peticiones, por tanto, uno podrá ver el pdf del otro (seguramente el segundo verá el pdf del primero).
Como dice #76, usando identificadores UUID, este problema no habría aparecido: https://es.wikipedia.org/wiki/Identificador_%C3%BAnico_universal
Esto es algo que no debería pasar hoy en día (los UUIDs se llevan usando mucho tiempo en la industria), pero lamentablemente, pasa.
No voy a opinar de quiénes han hecho el código, porque no les conozco, ni conozco sus circunstancias concretas, pero es un error bastante grave a estas alturas.
#67 ¿Puedes explicarlo mejor?
#97 goto #102
.
Yo creo que lo que comenta #67 es un error demasiado trivial como para que sea el causante. Que oye, peores cosas se han visto
Realmente, si tuviera que apostar, apostaría por un problema de proxy. No es la primera vez que veo algo parecido (pero con nominas).
#24 dejate de cuñados o no cuñados. Es una cagada grande y clásica en sistemas de alta disponibilidad. Y se tendría que haber detectado en unas pruebas como dios manda. Que pasta para equipos de testing tienen.
#24 pero tú hablas desde tu dilatado conocimiento, ¿verdad?
Estos problemas de concurrencia son muy habituales y fáciles de testear, detectar y resolver.
Siempre que te hayas tomado la molestia o el tiempo en pensar un poquito lo que estas haciendo.
Lo que no es normal es que todos los años al principio de la campaña haya alguna noticia de errores graves.
No es un bug, es una feature.
Algún listo que no sabe configurar varnish.
#38 Exacto, lo primero que he pensado... rollo cacheando HTTPS/SSL, que creo que con Varnish si no es la versión de pago no puedes.
No salgo de mi asombro.
#1 Ya te dije que soy pobre
Los directivos de las consultoras, seres importantes con traje y corbata, habrán cobrado millonadas de dinero público por la gestión mientras que los becarios que se han encargado de programarlo habrán tenido la suerte de trabajar gratis a cambio de "coger experiencia".
Mi amigo el empresario me había dicho que eran muy buenos en informática, pero le volveré a renovar el contrato igualmente..
Amazon Web Services [...], seguridad [...], leyes de EEUU [...], nada les impide ver tus datos[...], Azure lo mismo [...], no estaría tranquilo con mis datos en la nube [...]
Para que luego digan que hacienda no somos todos , se podra ver la de montoro?
¿También esta plataforma la ha hecho el cuñado de algún político?
A ver si sale por error el borrador de algun famosillo de Panama y la de risas que nos vamos a echar
#3 esos no tienen borrador. Sólo asalariados sin operaciones de bolsa, ingresos como autónomos, etc lo tienen.
#36 yo tengo operaciones de bolsa y sí tengo borrador con una advertencia diciendo que no se han incorporado los datos de esas operaciones y que revise si tengo que meter algo (aún así viene un resumen de las operaciones).
¿Será lo mismo que le pasó a Steam hace poco?
#11 Es lo que me ha venido a la cabeza, servidores colapsados tirando de caché malamente
#82 ¿Puedes explicarlo mejor? Parece interesante.
#96 http://hardzone.es/2015/12/26/steam-problemas-cuentas-cache/
#96 Hablando en román paladino, de la wiki
la caché es la memoria de acceso rápido de una computadora, que guarda temporalmente los datos recientemente procesados. Cuando se accede por primera vez a un dato, se hace una copia en la caché; los accesos siguientes se realizan a dicha copia. Dichas copias solo son para mirar y no tocar, por lo tanto el riesgo es que alguien vea tus datos, pero no puede modificar nada.
Obviamente cada copia tiene un identificador, pero si el servidor no funciona correctamente, puede suceder que te asigne a tí, usuario número 325544656, la copia que pertenece al usuario 548324868. Más o menos es lo que le pasó a Steam.
Un proxy hace lo mismo pero para páginas web (lo que dice #104)
Pero vamos, yo estoy dando palos de ciego.
Para mi que es un problema parecido al de las webcaches que tuve steam no hace mucho tiempo.
cuando un usuario clicaba en el botón de previsualizar al mismo tiempo que otra persona que estuviera alojada en el mismo servidor, se podía ver su borrador en lugar del propio
No sé por qué me da que alguien ha puesto un "static" delante de alguna variable
#45 No arruines a la empresa que cobrará 100.000€ en una auditoría por encontrar ese error.
#45 Estos Seniors, que cosas me hacen, ni que fuesen becarios.
Y LOPD se la pasarán por el arco del triunfo
#100 Todo queda en casa... salvo lo que marcha fuera porque no lo declaran o está en paraísos fiscales.
El típico error cuando no tienen un singleton factoría en la capa del servicio que te cree un hilo para hablar con la base de datos. A estas alturas, debería ser un error trivial de solucionar, siempre que el código esté bien mantenido por capas. Es un error mas comun de lo que se cree, en su momento me encontré el mismo error en la CECA, esa empresita que da servicio a prácticamente todas las cajas de ahorros de este país...
El Golum más inútil de todas las galaxias.
Me suena a bug del servidor F5...
#48 Llámalo cache.
¿Algún borrador interesante? El de Montoro, por ejemplo. O el de Cañete o el de Jordi Pujol... Que alguien los cuelgue.
#80 si en meneame mucho informatico: que si java cache, entorno de produccion pero queremos ver la declaracion de algun pez gordo ya!!!!
#98 que ademas si hay un 1% de millonarios alguna habra salido
¿Seguro que fue "por accidente"?
Genial!
¿Alguien ha visto no se que de panamá en su borrador? Me he descargado el PDF y son como 6TB.
En este país, con una corrupción desmadrada, con un diferencial de riqueza enorme y en aumento, con aforamientos políticos, con falta de independencia judicial, con niveles gravísimos de impunidad, con una parte importante de la economía sumergida, con una ínfima persecución de delitos fiscales para grandes fortunas, etc., solo nos faltaba que violaran nuestros derechos a la confidencialidad de nuestros datos fiscales, para así animar a la gente para que cumpla con sus obligaciones tributarias.
Desde aquí atufa a Java y un programa thread unsafe
¡¡Hacienda Leaks YA!!
A ver si es cierto eso que dicen algunos de transparencia...
¿Donde hay que votar para nombrar al "programador" MVP de la informática?
Molaría ver la de el campechano .
#16 Ten en cuenta que si, como entiendo que pasaba, se cruzan, él vería la tuya.
No sólo va a peor, sino que además ocurren estas cosas... España, mejorando día a día...
Pero la culpa es de ETA, por supuesto.
Jajaja pringaos. La gente de bien usa el papel y los mesías usamos una tabla de piedra.
Se puede pedir indemnizaciones?
#74 No, solo se puede denunciar a La Agencia de Protección de datos. Que solo mete grandes multas pero nunca indemniza a nadie. O sea Una denuncia la AGP solo se puede conseguir una gran multa y el dinero va para el estado. O sea Hacienda. Nunca da dinero al denunciante.
No serían ellos.
Y dale con los errores informáticos...
Esto mismo lo he visto en una aplicación del ICEX. Desarrollo J2EE con WebLogic, y el id de usuario se guardaba en una variable global del controller