deadkrolik

Как вы себе представляете автологин, если пароль хранится в компьютере зашифрованным? Ну то есть, либо вам как в ssh его каждый раз самому расшифровывать (а зачем тогда было сохранять?), либо — он хранится в открытом (ну или обратимо зашифрованном) виде. Во втором случае — можно не расшифровывать, скопировать профиль на другой комп, он и подхватится.

Пример вам — скайп. Я не знаю, как он там хранит зашифрованные пароли, но я беру профиль, копирую — работает. Значит, сохранённый пароль скайп способен расшифровать и использовать без моего участия, значит, и из него можно пароль спереть. И из файрфокса можно. И вообще так работает любая программа с галочкой «запомнить пароль».

Если пароль совпадает с вашим старым — это значит что сайт либо не использует шифрования вообще, либо использует тот метод шифрования, который подлежит быстрой обратной дешифровке. Первое — однозначно плохо. Второе — тоже не сильно хорошо — если будет слита база или получен доступ к сайту — получить пароли можно будет легко. В случае же шифрования тем же MD5 — слив базы не гарантирует восстановления именно вашего пароля.

Если пароль не совпадает со старым — значит скорее всего сайт его сгенерировал, отправил вам, зашифровал и уже в зашифрованном виде записал в базу. Хотя вариант с нешифрованием или некачественным шифрование мне исключен.

Я бы взял $1К — иначе просто лениво работать ;-) А вообще, всегда есть две стороны: к примеру, по п.4-5, «как я себе это представил» и «как вы себе это представляете». В первом случае ничего сложного, прикинул и сделал = цена минимальна. Во втором случае, сделай то, не знаю что = за переделки стоимость проекта может и в 2 раза вырасти. Если на словах панибратски договорились и друг другу мозги не делаем, то цена минимальна. Если с договорами-печатями (сжатыми сроками, юр.ответственностью и прочими радостями жизни), то дороже раза в 3. Отсюда и разброс по ценам, ибо кто как видит: красота в глазах смотрящего.

Сначала все руководствовались слухами, а теперь собственным опытом? :-)

Лично я много раз расстраивался, используя mongo. Уже по коду первый версий видно, что БД пишется далеко не профессиональными программистами (ну а кому еще взбредет в голову переопределять стандартные C функции? пруф: github.com/mongodb/mongo/blob/v1.4/util/assert_util.h, github.com/mongodb/mongo/blob/v1.4/util/allocator.h). Но вроде бы, от версии к версии, с проблемами сталкиваемся все реже. Только вот наш продукт еще на этапе разработки, кто знает, что будет в реальной работе…

Мне помогла настройка по подобным статьям:
www.pentarh.com/wp/2011/03/02/mysql-innodb-highload-optimization/
www.opennet.ru/base/dev/mysql_innodb_tune.txt.html

Производительность выросла в несколько раз, до этого были жуткие тормоза на большом количестве одновременных запросов, а с таблицами в несколько сот тысяч строк вообще еле-еле ворочался. Сейчас все летает. В принципе, достаточно несколько директив в my.cnf добавить.

У меня для таких целей был скриптик, работающий в фоне: раз в 5 секунд считает количество активных тредов MySQL, и если кол-во запросов больше N, то он дампит исполняющиеся запросы в лог-файл.

Именно таким способом были выявлены основные блокирующие запросы.

Для FreeBSD, запускался через screen:

#!/bin/sh

HOSTNAME=`hostname -s`
DIR="/var/log/mlog.$HOSTNAME"
pass='testpass'

while :
do
    threads=`mysql -uroot -p$pass -B -e "show status"|grep ^Threads_running|cut -f 2`

# если тредов больше 60, пишем в лог:
    if [ "$threads" -gt 60 ] ; then
        {
            mysqladmin -uroot -p$pass processlist --verbose |grep -v Sleep|sed 's|                   ||g'
            iostat -dNx 2 2            
        } |gzip > "$DIR/`date "+%Y-%m-%d_%H:%M:%S"`.list.gz"
    fi
    sleep 5
done

Кроме my.cnf было бы полезно ещё указать конфигурацию сервера (минимально — сколько памяти и cpu) и посмотреть «top» в момент нагрузки.
У меня было похожее когда нагрузка стала вырастать на сервере. Настраивал постепенно через my.cnf и добавлением памяти.
Тут нашёл достаточно много интересных советов и идей: www.mysqlperformanceblog.com/

RE Что остановит: Личное знакомство. Рассмотрите такой вариант, он чаще других бывает лучшим.

А какая платформа?

Если это iOS то Вас защитит политика Apple в отношении работы с сертификатами приложений, провизионин профайлами и т.д. Но на старте Вам придется потратить немало времени на то, чтобы разобраться со всей этой кухней. А если Вы просто скажете разработчику — «сделай приложение, я не хочу вдаваться во все эти сложности работы с профайлами и сертификатами», то он опубликует сам. Более того, для реализации некоторой функциональности (In-App purchase, например) ему придется это сделать.

Разве что так:

    $q = db_query('SELECT CONCAT(
        "{\"postid\" : \"",
        posts.postid
        "\", \"user\" : {\"username\" : \"",
        users.username,
        "\", \"userid\" : \"",
        users.userid,
        "\"}}"
    ) as res
    FROM posts LEFT JOIN users ON posts.userid = users.userid');
    var_dump(mysql_fetch_all($q));

array(2) {
  [0]=>
  array(1) {
    ["res"]=>
    string(85) "{"postid" : "15", "user" : {"username" : "noobishe", "userid" : "7"}}"
  }
  [1]=>
  array(1) {
    ["res"]=>
    string(79) "{"postid" : "19", "user" : {"username" : "pro!", "userid" : "8"}}"
  }

Лучший движок, который легко обновлять и модифицировать это написанный под ваш проект.
Остальное от лукавого, ищите секты сатанистов вроде этой: www.ratingruneta.ru/cms/

* Нечёткий поиск на клиенте и Soundex habrahabr.ru/post/125617/
* Фонетический поиск habrahabr.ru/post/28752/ и его модификация: Soundex по-русски p2k.ru/archives/57
* и ещё один htmlweb.ru/php/example/soundex.php (см середину статьи)

Посмотри в сторону команд top или limit

Сталкивался с аналогичной проблемой в Томске, НТС. У меня на входе микротик, так что легко посмотрел что это такое — потоки iptv и еще какой-то флуд с dst-ip не моего интерфейса. Решил добавлением reject-правила (не drop, а именно reject с host unreachable) — вроде бы помогло.

Пользуемся для этой цели littlesms.ru

Есть вот такой модуль:
wiki.nginx.org/HttpSecureDownload

И еще вот такой:
wiki.nginx.org/HttpSecureLinkModule
Для использования второго потребуется написать некоторый код, который будет генерить токены (все это описано по ссылке).

Если чужой колхоз годится, то stackoverflow.com/questions/2690654/how-to-get-the-real-type-of-a-value-inside-string можно за базу взять, чутка ошибок поправить и типов добавить:)
А вообще для такой задачи лучше свой колхоз сделать, т.к. задача у Вас какая-то атипичная видимо.

Пишите свою функцию. Если подобные велосипеды преследуют вас по всему проекту, то можно было бы использовать ЯП со статической типизацией, но здесь на ум приходит только всякий энтерпрайз с жавами и сишарпами.

Если делать все по фен-шую, то должна быть разработана куча регламентирующих документов.
В целом ваша последовательность действий в плане тех защиты такая:
— разрабатываете модель угроз, в которой определяете актуальные угрозы;
— исходя из типа угроз (я считаю, что в 99% случаев он третий) по постановлению правительства № 1119 устанавливаете уровень защищенности ИСПДн;
— берете приказ ФСТЭК № 21 и выбираете меры согласно УЗ, который Вы определили, там большое поле для действия, есть базовые меры, есть компенсирующие, можете вообще придумать свои меры, доказав «экономическую нецелесообразность» применения мер из приказа ФСТЭК. Главное чтобы меры (технические и организационные) нейтрализовывали актуальные угрозы;
— обратите внимание, что если ваша организация коммерческая, то вам не обязательно использовать сертифицированные средства защиты (в приказе ФСТЭК написано что-то типа «сертифицированные СЗИ применяются в случае, если это необходимо для нейтрализации актуальных угроз»). Для гос контор просто использование СЗИ определено дополнительно некоторыми другими нормативными актами, поэтому им никуда не деться, но если вы — коммерсы и можете нейтрализовать свои угрозы штатным средствами ОС (идентификация и аутентификация пользователей средствами AD например) или с помощью свободного ПО (squid и тд), то и флаг вам в руки!

Что касается «бумажной» защиты ПДн, то тут все целиком в 152-ФЗ написано. У вас должны быть назначены ответственные лица, определен перечень лиц, допущенных к работе с перс данными, разработано положение о работе с перс данными, ряд инструкций (парольная, антивирусная защита и тд), ряд журналов…