«Просто вивалили якийсь код і вважають, що це опенсорс». Продовжуємо збирати думки розробників про відкритий код «Дії»

Також простіше перевірити ці вразливості й спробувати завдати максимальне пошкодження.

Відкриття source code «Дії» дає можливість проаналізувати не тільки її взаємодію з відкритими псевдоанонімізованими даними, протоколом деанонімізації, а також із тими API, про які ми раніше не знали.

Через будь-який із цих фреймворків можна зробити «back door» і отримати несанкціонований віддалений доступ, а це тягне за собою викрадення особистих даних користувачів.  

Для верстки UI-розробники досі використовують Storyboard та UIKit, що за мірками Apple вже застарілі технології. В останні роки девелопери активно переходять на SwiftUI. SwiftUI полегшує створення складних інтерфейсів користувача. Попередній перегляд у реальному часі дозволяє бачити зміни відразу ж під час внесення корективів у код. Це робить розробку швидшою та ефективнішою.

Конкретно в цьому випадку публікація коду — це вимога EU для подальших інтеграцій. Але в коді дуже мало коментарів, що потенційно збільшить час інтеграції, адже розробникам доведеться самотужки розбиратися в архітектурі та в цілому в проєкті довше.

Розробники «Дія» не дали доступ до всіх модулів застосунку, наприклад, до функціонала «Дія.Підпис». Це також може ускладнити інтеграцію для наших європейських партнерів, для яких цей код і було відкрито.

По-друге, немає взагалі жодного опису системи, її дизайну, опису зв’язку, контрактів та іншого, що повинно бути присутнім з погляду побудови архітектури. Просто вивалили якийсь код і вважають, що це опенсорс.

По-третє, код важко читається, і це вже показник його якості.

По-четверте, багато речей просто захардкоджено в код.

По-п’яте, немає ніяких скриптів, що відповідають за деплой системи, її підтримку. Простіше кажучи, девопс-частина відсутня. Відкрийте будь-який опенсорс-проєкт реальний і подивіться, як виглядає він, і як виглядає це.

З недоліків, губиться Security by Obscurity. 

Загалом, код — це лише частина програмного продукту. Є ще важливі аспекти — Governance та CI/CD, збирається цей код у застосунки, як він розповсюджується, яким чином організовані апруви різних дій у цих процесах.  

Дивлячись на те, що історії комітів немає, зрозуміло, що попередня розробка якось проводилася за межами опублікованих репок. І як воно буде далі — не зрозуміло. Якщо десь у «Дії» є приватні репки, в яких іде розробка, а потім все, що зробили, просто експортується до гітхабу, то тут велике питання — чи дійсно те, що ми бачимо, є тим, що ми встановлюємо на наші смартфони? 

Відкритий код сприяє залученню зовнішніх експертів та конструктивної критики, що є ключовим для подальшого вдосконалення продукту.

Функціональність будь-якого державного мобільного додатку регулюється відповідним законодавством, яке може бути складним та непростим для навігації. Міністерство цифрової трансформації приділяє значну увагу користувацькому досвіду, тому можна бути впевненим у хорошій функціональності «Дії».

Щодо можливих недоліків, вони притаманні будь-якому програмному рішенню, також варто взяти до уваги, що оцінка коду на основі відкритих джерел може не відображати повної картини. Проте у контексті безпеки, особливо для головного державного мобільного застосунку в країні, що переживає кібервійськові дії, важливим індикатором є кількість вдалих хакерських атак. Наразі немає відомостей про такі інциденти, що свідчить про надійність захисту «Дії».

static isHttpCode (code: number | undefined): boolean {
if (typeof code≠= 'number') {
return false
}

if (code >= 100 && code < 600) {
return true
}

return false
}

і все в такому дусі…

Утім, дещо здивований вибором MongoDB як сховища. Проте я не знайомий з вимогами до бази, та особливо з такими, які ставить збереження державних документів. Принаймні Mongo — це перевірена роками документо-орієнтована база.

Мікросервісна архітектура для державного сервісу — це добре, бо дозволяє обмежити та розділити доступ, в тому числі фізично, та в обставинах, де до різних категорій даних абсолютно різні дозволи на всіх рівнях. Так само добре використання gRPC для комунікації між сервісами: цей протокол зі схемою та з гарним підходом до впровадження змін.

«Дія» відкриває код: кожен айтівець зможе проаналізувати код і запропонувати покращення

По темi

«Дія» відкриває код: кожен айтівець зможе проаналізувати код і запропонувати покращення

Читайте головні IT-новини країни в нашому Telegram

По темi

Читайте головні IT-новини країни в нашому Telegram