biuletyny ks-somed

[Michał]

Pisałem o innych (te przysyłane mailami do konkretnych plików, ale też jeden do całego katalogu, który chyba przez pomyłkę przesłano w jednym z maili).
Teraz jednak otworzyłem Twój link i proszę co się pojawiło. Niby strona załadowała się poprawnie, ale pojawiło się okienko z informacją, że muszę potwierdzić swoją tożsamość. Po zatwierdzeniu pojawia się strona, na której trzeba się zalogować.
Definitywnie jest coś nie tak z tym onedrivem i jak widać nie jest to niezawodne rozwiązanie!

[togo]

Teraz już nie działa i link z programu i Profesora

Kod: [Zaznacz]

Ten link został usunięty.
Niestety, dostęp do tego dokumentu został usunięty. Skontaktuj się z osobą, która Ci go udostępniła.
SZCZEGÓŁY TECHNICZNE



Rozwiązywanie problemów z programem Microsoft SharePoint Foundation.
Identyfikator korelacji: 85070f9f-10d1-a000-190a-5391abff180b

Data i godzina: 18.10.2019 02:56:02

[Profesor Wilczur]

Zgadza się. Przekombinowali.

[09061303]

Racja - dla mnie nie ma to uzasadnienia. Kiedyś usłyszałem, jak zostały usunięte opisy z ftp'a, że jest to czynione, zeby konkurencja nie miała do tego dostępu. Wg mnie - konkurencja jak nie bezpośrednio, tak pośrednio do opisów ma dostęp. Teraz nie wiem czym uzasadnione jest uciekanie z publicznego dostępu, tak samo w Somed jak i w Medis i pewnie całej reszcie.

Ogólnie zastanawia mnie jedno jeszcze - ale to jako offtop, chociaż powiązany z tematem przez zacieśnianie dostępu do różnych tematów - z racji zaszyfrowania debuggera jak teraz wykorzystywać zestawienia użytkownika? Ok - osoba, która zna bazę na wylot spokojnie sobie poradzi. Ale czy zestawienia użytkownika nie miały być dla użytkownika końcowego w razie gdy zgłosi się zapotrzebowanie na jakieś zestawienie a Kamsoft powie, że nie ma go w planach i nie będzie robił - kilka razy zostałem tam odesłany i tak, z pomocą debuggera i tych zestawień temat został szybko rozwiązany.
Ok - rozumiem, zamykamy dostęp do how to. Nie powinno się pojawić jakieś API, które można wykorzystać do m.in. tychże zestawień? Tylko API z prawdziwego zdarzenia, a nie tylko podstawowe operacje na wybranych kartotekach (Comarchowa Optima chyba byłaby tutaj wzorem).

Ciekawe jak wyglądają dalsze plany w tych dwóch tematach, bo wygląda na to, że pewne posunięcia idą jak w naszej polityce - trochę nie po kolei.

[karolweksler]

Racja - dla mnie nie ma to uzasadnienia. Kiedyś usłyszałem, jak zostały usunięte opisy z ftp'a, że jest to czynione, zeby konkurencja nie miała do tego dostępu. Wg mnie - konkurencja jak nie bezpośrednio, tak pośrednio do opisów ma dostęp.

Oczywiście. Tak samo nie są publikowane publicznie zmiany w KS-PPS. I wyobraź sobie taki scenariusz, że masz program, który wymaga do rozliczeń KS-PPS. Klient dzwoni do producenta programu w sprawie serwisu, serwis łączy się przez TeamViever i przy okazji pobiera do siebie - z katalogu KS-PPS - biuletyn z opisem zmian w programie Kamsoftu.

[Profesor Wilczur]

Ogólnie zastanawia mnie jedno jeszcze - ale to jako offtop, chociaż powiązany z tematem przez zacieśnianie dostępu do różnych tematów - z racji zaszyfrowania debuggera jak teraz wykorzystywać zestawienia użytkownika? Ok - osoba, która zna bazę na wylot spokojnie sobie poradzi.
(...)
Ciekawe jak wyglądają dalsze plany w tych dwóch tematach, bo wygląda na to, że pewne posunięcia idą jak w naszej polityce - trochę nie po kolei.

Oj tak. Gdybym teraz zaczynał, to nie miałbym szans połapać się co i jak w bazie. Szyfrowanie transmisji i ukrywanie KSDebugView i KSPLAgenta za hasłem uważam za absurd.

[MK]

W wersji 2019.03.0.00 już przycisk z informacją o aktualizacji powinien poprawnie działać. Na marginesie, firma ma pewne zasady, nie mnie je komentować ani z nimi dyskutować, po prostu je stosujemy. Jedną z takich zasad jest nie udostępnianie informacji o systemie w postaci instrukcji obsługi, informacji o aktualizacji itp. itd. osobom, które nie są Klientami systemu, ani nie odpowiadają za jego serwis. Oczywiście nie jesteśmy w stanie osiągnąć tego celu w 100%, ale staramy się postronnym osobom choć troszkę utrudnić życie. Niektórzy pamiętają, że był profil na FB, którego już nie ma. To też w pewnym sensie pokłosie przyjętych takich a nie innych zasad.
Link do biuletynów jest zaszyty w systemie KS-SOMED i fajnie, jeśliby tam pozostał. Gdy, tak jak poprzednio, trafi znów na publiczne fora, ponownie przydział zostanie cofnięty i kolejna aktualizacja będzie posługiwać się nowym linkiem. To tak, celem rozjaśnienia ;-).
I proszę w dyskusję o tym mnie nie wciągać, ja zawsze respektuję zasady firmy,  w której pracuję. 

[Michał]

Dziękuję za wyjaśnienia. Nie wciągam tutaj Pana w dyskusję, ale nie mogę się powstrzymać od komentarza. Albo firma sama zmienia co chwilę zasady albo pracownicy firmy nie są na bieżąco informowani o zmianach w polityce firmy bo jak zgłaszałem na mrk, że strona z biuletynami nie działa to dostałem info

Korzysta Pan z właściwej strony tylko aktualnie mamy problem z jej wyświetleniem. Nasi Administratorzy już pracują nad tym.

a dodatkowo instrukcję jak się dopisać do mailingu o aktualizacjach (nie zadziałała i osobno zgłaszałem problem przez mrk).

Link do biuletynów już na onedrive podałem bo ktoś podobnie jak ja (uczciwy klient) potrzebował dostępu do biuletynów nie tylko na stacji z KS-SOMED i jednocześnie zaznaczyłem, że nie zawsze mi działa.
Pan twierdził, że robiliście testy i zawsze link działał. Jak jednak można wyczytać z tego wątku wcale tak nie jest i nie było.
Nie poinformował Pan również wtedy, że to jakiś tajny link, którego udostępniać nie można, a później sprawiliście, że zwykły szary użytkownik nie mógł skorzystać linku zawartego w programie.
Wniosek jest taki, że bardziej utrudniacie życie waszym klientom, którzy płacą niemałe pieniądze za wasz produkt, niż konkurencji (?).
Jeszcze raz podkreślam. Nie wciągam Pana w dyskusję, ale ponarzekać na takie działania firmy, w której Pan pracuje, muszę bo się z nimi nie zgadzam.

[09061303]

Zgadzam się całkowicie z @Michał, ale wydaje mi się, że bardziej jako wciąganie do dyskusji mógł zostać potraktowany mój post.
Jak chodzi o aktualizacje - nie ma tam nic tajnego wg mnie, a raczej powód do pochwalenia się. Z tych opisów można wg mnie tylko wywnioskować, że, porównując z konkurencją, ONI byli szybsi i już to mają (m.in. eZla, eRecepta były tego przykładem szczególnie w zestawieniu z mMfirmą, bo z nią mam jakiekolwiek porównanie); ONI coś poprawili - no dobra, wcześniej spaprali, ale poprawili, co w tego rodzaju programach (dużo zmian wymuszonych ustawami) jest raczej na plus; ONI pokazali jak coś ustawić - ale tylko w ICH programie, a nie konkurencji. I gdzie tutaj jest cokolwiek tajnego......
Teraz w kwestii debuggera - tak jak napisałem, zgadzam się z tym, że to co jest w środku może być już bardziej ciekawe, ale raczej how to leży po stronie aplikacji i dll'elek niż samej bazy, która w przypadku somedu jest raczej workiem na dane niż przechowuje procedury dostępu do danych. Ogólnie:
- zwykły user, klient systemu, wykorzystywał to, jeśli umiał, do ułatwienia pracy w przychodni; napisał zestawienie i tyle
- nie-zwykły user, który chciał wyciągnąć dane, i tak je w tej chwili wyciągnie; ok - można zaszyfrować dane, chociaż tutaj się może pojawić temat interpretacji własności, chociaż z tym pewnie da się ogarnąć temat oraz sensownego API, bo może się inaczej nie dać. Ogólnie niestety, albo raczej stety rynek zaczyna się tak kształtować, że producenci udostępniają dane z bazy (jeśli nie ma innego dostępu) na żądanie, więc jak klient odchodzi to i tak odejdzie, a otoczka odejścia może zrazić innych do danej firmy lub nie wywołać jakichś emocji w przypadku bezproblemowego załatwienia tematu.
Chciałbym tylko wiedzieć, czy jako klient, który dodatkowo poleca rozwiązanie na trudnym terenie, mogę mieć dostęp do debuggera, żeby nie nastąpiła sytuacja taka jaką można było obserwować rząd wielkości 10 lat temu kiedy bazę się odsyłało, żeby producent jakoś ją naprawił - nie piszę to w kierunku konkretnej firmy, żeby nie było i tak, jest to trochę przekolorowane. Jednakże idąc w kierunku obranym, możemy dojść do sytuacji, że MRK powie, że danego rozwiązania nie mamy w planach na najbliższy kwartał, a roboty jest na 3min mając dostęp jak wcześniej i żadnego zgłoszenia robić nie trzeba.
Proszę nie traktować powyższego jako wywołanie do tablicy kogokolwiek.

[MK]

Nie, nie ma szans, aby ktokolwiek, kto nie jest pracownikiem KS otrzymał hasło do querytrace. Mieliśmy niedawno audyt bezpieczeństwa systemu KS-SOMED i to też był jeden z wniosków takiego audytu. Przypomnę, że KS-SOMED ma chyba najbardziej "irytujące" mechanizmy bezpieczeństwa ze wszystkich systemów KS. Kilka lat temu wymusiliśmy na klientach zmianę standardowych haseł do bazy danych. Udało się to dopiero wprowadzając słynną tabliczkę mnożenia ;-). Nie tak dawno wymieniliśmy cały system haseł. Robimy to przede wszystkim aby uświadomić Klientom jak ważne jest bezpieczeństwo w systemie takim jak KS-SOMED. Tłumaczymy, gdzie tylko się da, że serwer powinien być fizycznie zabezpieczony a i hasło na sam serwer nie powinno być znane ogółowi. Wszystko po to, by zminimalizować ryzyko wypływu danych, ryzyko nieuprawnionych modyfikacji itp. itd. Wydaje nam się, że odnosimy malutkie sukcesy. Instalacji, gdzie można wejść do bazy danych słynnym hasłem GM jest już naprawdę niewiele. Myślę, że ostatnim ruchem z hasłami, ukróciliśmy proceder przeszczepu hasła z jednej bazy do drugiej (nie było to takie proste, ale niektórzy magicy dawali radę). Wszystko to fajne, ale proszę wykonać następujący eksperyment myślowy. Jestem intruzem, ale tak się zdarza, że mam fizyczny dostęp do stacji roboczych.  Nie chcę żadnej grupy zawodowej stygmatyzować, ale powiedzmy, jestem pracownikiem ekipy sprzątającej. Jaki jest poziom bezpieczeństwa, każdy wiem, wiele stanowisk jest dostępnych, bo nikomu nie chce się ich wyłączać, ale przynajmniej KS-SOMED jest zalokowany. Wykorzystuję chwilę nieuwagi i odpalam ksplagenta. I to wszystko. Przychodzę na drugi dzień zgrywam plik z katalogu LOG i mam sporo danych. Wszystkie inserty i update są otwartym tekstem, a więc i dane osobowe mogę w tym logu spotkać. Wiem, to eksperyment myślowy i zapewne każdy powie, no nie, to niemożliwe. Czyżby, czy nie trudniejsze są mechanizmy włamania do smartfonów, którymi co jakiś czas ekscytujemy się czytając o nich w mediach?
Pomijam oczywiście wiedze techniczną, która może być po analizie takiego logu zdobyta. Zapytania SQL, które "lecą" do bazy można analizować od strony serwera. Wiemy o tym i to jest OK. Jak ktoś ma dostęp do serwera, to sobie je zobaczy, ale nie jest naszym celem ułatwianie innym osobom zapoznanie się z tymi zapytaniami. Tym bardziej, że log, z przyczyn technicznych, zawiera sporo więcej danych, niż tylko SQLe. To nie jest mój wymysł, ale pojawiają się nielegalne rozwiązania próbujące łamać licencję, próbujące modyfikować dane w bazie itp. itd. Nie jest to też tajemnicą, że KS-SOMED bywa obiektem zainteresowań prokuratury. Nie jest tego wiele, ale spraw o badanie dokumentacji medycznej już się pojawią. Nie jest fajne, aby przy okazji skargi pacjenta A na lekarza B ktoś wyciągał, ale w tym systemie tak łatwo poznać mechanizmy i zmodyfikować dane, wiec te zapisy w bazie do niczego nie są przydatne.
Co do API coś takiego  w pewnym sensie istnieje a zwie się CRS i jest usługą pozwalającą firmom trzecim na korzystanie z zasobów systemu KS-SOMED. Fakt, że najczęściej wykorzystuje to MEDIS po to, by ogarnąć komercję tak jak ma to SOMED to inna całkiem sprawa ;-)

[Profesor Wilczur]

Nie, nie ma szans, aby ktokolwiek, kto nie jest pracownikiem KS otrzymał hasło do querytrace. Mieliśmy niedawno audyt bezpieczeństwa systemu KS-SOMED i to też był jeden z wniosków takiego audytu. (...)

Czy nie można by problemu haseł przenieść na administratora lokalnego? Mam na myśli rejestrowaną operację generacji hasła dziennego do programu.

[MK]

Nie, nie ma szans, aby ktokolwiek, kto nie jest pracownikiem KS otrzymał hasło do querytrace. Mieliśmy niedawno audyt bezpieczeństwa systemu KS-SOMED i to też był jeden z wniosków takiego audytu. (...)

Czy nie można by problemu haseł przenieść na administratora lokalnego? Mam na myśli rejestrowaną operację generacji hasła dziennego do programu.

Nie rozumiem po co? Skoro administrator lokalny może do systemu się zalogować, to nie ma powodów, by wchodził na hasło dzienne/serwisowe. Jeśli inny operator hasło swoje "zgubił" taki administrator może mu pomóc. Jeśli chce zarządzać wejściem serwisantów KS do systemu, ma taką możliwość, opisano ją w jednym z niedawnych biuletynów. Jeśli zaś, co wydaje mi się chodzi Panu po głowie, myśli Pan o querytrace, to nie ma żadnej możliwości zmiany. Uwagi techniczne, gdyby hasło dzienne generował administrator po stronie klienta to:
1. musiałoby być one unikalne dla instalacji, bo inaczej nie ma to żadnego sensu
2. ja nie mógłbym tego pliku odszyfrować, bo nie miałbym tego hasła. A gdyby mi Pan je przysłał, to nie mógłbym wejrzeć do niego na drugi dzień, bo hasło byłoby już inne.
Oczywiście te problemy moglibyśmy jakoś obejść, ale nie o to tu chodzi. Jak napisałem, względy bezpieczeństwa to jeden z powodów. Inny to to, że w pliku tym jest zbyt wiele informacji, które nie powinny nikogo, poza nami, serwisantami i programistami, interesować. Zbyt wiele rzeczy zaczyna dziać się w okolicach naszych systemów. Jeśli bardzo interesują Pana zapytania, to zapewne wie Pan jak je sprawdzić od strony serwera bazy danych. Nie szyfrujemy bazy, co zdaje się czyni jedna z naszych konkurencji. 
Proszę zauważyć że otwarty mechanizm śledzenia zapytań nie jest nigdzie zawarty w ofercie naszego systemu. Nie mamy żadnego obowiązku takiego rozwiązania utrzymywać. Administrator ma narzędzia serwera bazy danych, którymi może zarządzać bazą danych, może nimi monitorować stan bazy oraz transmisję pomiędzy bazą a klientem. To nigdy nie było ofertą systemu. Mechanizm oczywiście jest i służy tylko temu, byśmy mogli Państwu pomóc i rozwiązywać problemy z systemem. Również, co nie ukrywam, tropić nasze w nim błędy, dlatego też pojawia się tam coraz więcej informacji, nie tylko same zapytania.
A jeśli ma Pan obawy, że w pliku tym zawieramy informacje, które nie powinny nas interesować i chcemy coś wykraść, a Pan nie może sprawdzić, co w pliku jest, po prostu nam Pan tego pliku nie udostępnia.

[Profesor Wilczur]

Dziękuję za wyczerpującą odpowiedź :-)

[whois]

Ktoś pomoże gdzie mogę znaleźć biuletyny
2019.03.0.04 - 2019.03.0.07 ?
pod linkiem z someda ich nie widzę, albo źle patrzę.

[maciejj]

SOMED / INNE / OSTATNIE ZMIANY