Цифровой Кот – партнер конференции «Анализ & Управление в ИТ-проектах»

(4) Сергей, вот ссылка на демостенд: https://digitcat.ru/demo/ipc-itil/index.php
Если портал так легко ломается, сделайте это и покажите результат. На данном демостенде сейчас полностью отключена защита (в целях исследования - чтобы отслеживать последовательность действий потенциальных хакеров), поэтому, на самом деле, это вполне реально сделать, тем более, что у вас есть исходный код и вы по нему можете понять, какие действия необходимо для этого предпринять. Покажите результат, или хотя бы опишите алгоритм: что и в какой последовательности необходимо сделать. А я потом покажу, как работает активированная система защиты и почему при ее включении портал проходит тесты OWASP top 10 и благодаря чему за 8 лет его существования ни один экземпляр еще не был взломан.
Если вернуться к вашему проекту, то в суд вы не пошли потому, что выиграть его не получится. Каждый раз, когда мы запускаем любой проект, делаем видеозапись, на которой фиксируется факт работы портала на сервере клиента. Такую запись мы показывали вам перед началом работ и там действительно все было красиво - не на словах, а на видеозаписи. Подобная запись есть в одном из моих докладов, опубликованных на этом сайте, и сделанном еще до начала работы по вашему проекту, то есть, утверждение, что проект не мог быть сделан, не соответствует действительности. Такая же видеозапись есть и в вашем случае: портал встроен в битрикс, запускается, аутентификация выполняется. Для запуска аутентификации из Битрикса требовалось передать идентификатор пользователя Битрикс в 1С, по этому идентификатору определить пользователя 1С. В портале для этого реализован алгоритм подключения переопределяемой функции аутентификации. Мы показали вам пример простейшей аутентификации: в 1С создается регистр с соответствием идентификаторов пользователей Битрикс и пользователей 1С. Далее, для защиты от взлома, мы рекомендовали разработать уникальный алгоритм генерации токенов, без которого для того, чтобы авторизоваться под чужим пользователем 1С, достаточно просто указать его идентификатор в Битриксе в URL портала. Вы выбрали самый простой и дешевый вариант аутентификации - решили не заморачиваться. И в этом нет ничего критичного, работа же идет в закрытом контуре, URL портала с идентификаторами пользователей нигде не светится, а сами идентификаторы доступны только пользователям с администраторскими правами. Но таким пользователям вообще все доступно: хочется посмотреть чужие данные - открывай 1С и смотри, даже ломать ничего не требуется. Такая система аутентификации нормальна настолько же, как остановка самых простых замков в межкомнатных дверях в вашей квартире: никто не будет ставить внутри квартиры замки стоимостью 20000 рублей. Разработка вашей системы аутентификации стоила, если не ошибаюсь, 40000 рублей: мы выполнили доработки на стороне 1С, предоставили инструкции программистам Битрикс и вашим администраторам. Для работы портала осталось со стороны Битрикса передать идентификатор пользователя, а админам - настроить доступность портала со стороны Битрикса. Эти работы выполняли не мы. Портал же и 1С были полностью готовы, все наши обязательства в рамках согласованного бюджета мы выполнили. Код разработан, запущен, протестирован; инструкции по подключению предоставлены, необходимые консультации оказаны. У всех сторон - и ваших сотрудников, и специалистов по Битриксу - было все необходимое, чтобы запустить портал. Если не получилось - не вопрос: в этом случае согласовывается новый состав дополнительных работ, новый бюджет, предоставляются нам все необходимые доступы. Но это уже другие деньги и другой проект. Но на наше предложение пересмотреть бюджет вы обиделись и решили не продолжать работы. Давайте возобновим проект и все вам запустим, тем более, что деньги на портал потрачены и он прекрасно выполняет свою функцию при правильной настройке.