hosting usluga - moralno pitanje

[bluesman]

Evo sta je problem:

jedan klijent (zvacemo ga domenX ) imao je neki los script pa mu je formular exploitovan i neki spamer je poslao oko 5000 mailova za jedan dan. Odmah sam mu suspendovao account dok ne resi problem i kada je resio, vratim mu sve kako je bilo. To je sve trajalo 1 dan.

Danas (nekoliko dana kasnije) mi salje ovo:

Promena naloga:
Zbog problema koje smo imali sa spamovanjem i exploitima ovim putem vas obavestavam da sam domen domenX preselio na drugi server.

Stoga bih zelio da promenite dns zapise za ovaj domen, a postojeci nalog upotrebio bih za novi domen: domenY - kako bismo nastavili saradnju i u narednom periodu.


znaci on je prebacio postojeci domen na drugi server i hoce da sada nastavi tamo ali sa drugim domenom. Ja bih mu najradje rekao "batice, radi sa ovim sta hoces ali ako hoces novi hosting plati pa cu da otvorim". Nejasno mi je, sad se on kao buni "zbog exploitovanja", pa nisam mu ja exploitovao nego neko drugi zbog njegovog loseg scripta. Sta vise, ja sam tu "zajebana" strana jer cu verovatno zbog njegovog loseg scripta da zavrsim na nekom blackilstu.

Dakle, da li je potpuno ok da mu kazem to sto sam planirao jer mi je taj njegov postupak nejasan. Neka radi sta hoce sa svojim domenom, ali posle svega on sada trazi da mu zamenim za neki drugi i nikom nista?

[jablan]

Ček, ako ti je on platio hosting, ne bi trebalo da te zanima koji domen on tu drži to vreme koje je platio. Mislim, ne možeš da mu tražiš da plati novi hosting samo zato što hoće da promeni domen.

Što se tiče zloupotrebe tvog hostinga za spamovanje, to možeš da rešiš dodavanjem neke klauzule da se ugovor o hostingu raskida ako se sa hostovanog sajta radi nešto ilegalno (bez obzira da li je on za to direktno kriv ili preko nekompetentnog administratora).

Ili sam te ja nešto pogrešno razumeo...

[zextra]

Da sam ja na njegovom mestu, pre svega verovatno ne bih ni trazio pomenutu uslugu. Pod predpostavkom da nisam u stanju da sagledam stvar realno, i da zatim trazim tako nesto, verovatno ne bih bio ni zadovoljan odgovorom koji bi mi pruzio podrobnije objasnjenje o tome koje zapravo kriv, zbog cega, i da si ti uradio ono sto si morao, kako bi zastitio svoj server i ostale korisnike...

Ako verujes da bi takav odgovor urodio plodom, i da ga nakon toga iskuliras - mozda bi te covek razumeo, a mozda bi ga samo jos vise iznervirao...

[bluesman]

pa bilo je komunikacije pre toga (Samo vazni delovi):

ja: Cao, sada mi je admin javio da neko spamuje sa tvog naloga. Kaže da je poslato hiljade mailova juče i danas. Ako to nisi ti, proveri scriptove da li imaš neki formular koji je exploit-ovan. Morao sam privremeno da iskljucim mail na - čim rešiš ovaj problem, uključićemo ponovo.

on: U pravu ste za ovo, imao sam propust u kontakt formi. Exploit je funkcionisao preko reply-to…

ja: Postovanje, ukljucio sam mail server, sada bi trebalo da sve funkcionise normalno.

on: Domen nije aktivan – redirektuje se na admin interfejs. Objasnite mi sta se dogadja. Zeleo sam da doradim anti spam zastitu, ali ne mou da pristupim sajtu – ni http, ni ftp…

ja: Postovanje, evo ja sam sada ustao i vidim da je suspendovan account. Upravo sam pricao sa adminom i kaze da se nista nije promenilo, odnosno i dalje pravi problem. Ja sam vas juce razumeo da ste vec promenili to sto ste hteli da promenite (ne znam zasto niste juce uploadovali, samo je mail bio stopiran)... Ako vas sada dobro razumem vama treba FTP access da mozete da uploadujete te izmene?

Javite pa cemo da ukljucimo, ne znam da li me razumete, to je sada na hiljade mailova na sat, znaci svaki minut se racuna. Ceo server zajedno sa svim domenima ce dospeti na black liste ako se to nastavi - zato smo toliko oprezni povodom toga.

on: Mislim da nije u redu da se ugasi ceo domen, bez obavestenja o tome… Vi aktivirajte domen, a ja cu do daljeg ukinuti slanje mejla iz aplikacije… Ono sto sam uradio jeste zastita odredjenih polja, tako da ne moze header da se menja. Nije mi poznato moze li kroz message text da se salje header?

ja: aktiviran vam je domen ponovo, izmenite to sto treba da se izmeni. A sto se tice suspendovanja, tu sada mozemo da razvijemo filozofsku raspravu :) Slazem se da mozda nije u redu ali isto tako domen koji je suspendovan je napravio ogroman problem ne samo meni nego svima na ovom serveru, sta da radimo ako dospemo na "spam black list" ? Da li cete Vi morati da objasnjavate svim ostalim klijentima zasto im je svaki mail koji posalju oznacen kao SPAM ako uopste i stigne do onoga kome je namenjen. Tako da stvarno taj problem nije tako "crno - beli" kako se cini na prvi pogled.

Ja nemam interese da suspendujem bilo kome domen, naprotiv. Ali mi je u interesu da maksimalno zastitim sve koji su na serveru. Verujte da bih isto postupili da je bilo ko drugi u pitanju, cime bi zastitili vas. Nadam se da rauzmete razloge.
--

Dakle, naizgled smo se lepo dogovorili, ono sto mene nervira iz ove poslednje poruke je sto ispada da sam ja kriv sto mu je script lose napisan pa je bio exploitovan (on tvrdi da odlazi "Zbog problema koje smo imali sa spamovanjem i exploitima" )

[Blood]

Ma, ja bi mu vratio jedan deo para i rekao da ide na drugo mesto, sa takvim ljudima ces uvek imati problem, cak mislim da ako sada nastavite "saradnju" da si potpisao sebi "smrtnu kaznu".

[crews_adder]

Jablan je u pravu. Ako (u "TOS" ili "AUP") nemas klauzulu u kojoj je odredjeno sta radis u slucaju da ti se dogodi to i to, ne mozes mnogo toga da uradis a da ispadnes fer. Mislim, na sta ces se pozvati? Ako je u skripti koju je tvoj klijent postavio postojao propust koji je neko drugi zloupotrebio, ne mozes tek tako klijentu ugasiti nalog. Drugo je pitanje da li je propust namerno ostavljen da bi neko mogao da spamuje sa tvog servera... ;)

[Ilija Studen]

Iskreno, mislim da nije OK što mu je suspendovan CEO account zbog problema sa jednim formularem. chmod 0 fajla koji procesira formu, mail sa obaveštenjem i ćao.

Ne znam kako su tačno konfigurisani paketi, ali kod većine hostova sa kojima sam radio je moguća promena domena u toku korišćenja njihovih usluga. Ako je single domain paket ti možeš da promeniš domen, ali ne možeš više da koristiš onaj stari. To što čovek ne želi više da hostuje stari domen kod tebe, već hoće drugi je njegova odluka i ako to ne krši pravila korišćenja nema šta puno da se buniš, čak i nakon ovakvog incidenta.

Šta bi uradio u situaciji da ti neko drugi dođe i kaže da mu prebaciš DNS-ove posojećeg domena na neki drugi server, a postojeći host prebaciš da uslužuje neki drugi domen? To je ovde bottom line - da li po pravilima korišenja ti omogućavaš promenu domena. Tik sa spamovanjem je manje više nebitan za tu odluku.

[bluesman]

Pa jeste, jos i da mu ja napisem script pa da onda dajem komplet uslugu... :)

Ok, whatever - vi sve gledate iz ugla korisnika, ali kad si vec tu, sta bi ti rekao da ti svaki mail koji posaljes zavrsi kao SPAM ili nikada i ne dodje? Zvao bi provajdera i pitao u cemu je problem. A on ti kaze "pa znas bio je jedan zbog kojeg je ceo MX server na ORBL... i zato sada svi klijenti ne mogu da salju mail"

Dakle, ovo je pitanje vise bilo sta raditi sa domenima koji se explotuju nego da li cu da mu dam da promeni domain name. Svi koji su hostovali kod mene znaju da dajem sta god traze pa i ono sto ne traze, ovde me vise nervira ovaj stav "Zbog problema koje smo imali sa spamovanjem i exploitima" - zvuci kao da sam ja imao problem zbog moje konfiguracije a ne da je on napravio svima problem zbog loseg scripta.

[Ilija Studen]

^ Obično se u tim slučajevima privremeno suspenduje account dok čovek ne reši probleme. Te rupe su prilično nezgodne i često se potkradu neiskusnim programerima (ja sam imao jedan sličan propust pre koju godinu - suspenzija, klijent cimnuo, ja zakrpio, javio da je gotovo i sve je bilo up and running za par sati; jbg - teška lekcija, ali kasnije paziš). Ako ih klijent ne reši u određenom roku (7 dana or whatever), ali traži odmrzavanje problematičnog koda zamoliš ga lepo da promeni host jer ugrožava usluge ostalim korisnicima (to sve fino navedeš u ToS-u).

Pogledaj recimo TextDriveove legal dokumente: TextDrive Acceptable Use Policy (http://www.textdrive.com/aup) i Terms of Service (http://www.textdrive.com/tos). Najzanimljiviji detalj:

If your actions have caused TextDrive mail servers or TextDrive IP address ranges to be placed on blackhole lists and other mail filtering software systems used by companies on the internet, you will be assessed a $500 charge to your account and $300 per hour for administrative charges incurred to remove and protect mail servers and IP ranges.

Ne znam da li je nešto ovakvo moguće kod nas zakonski urediti, ali u USA funkcioniše. Sve je crno na belo, advokati su odradili posao pa se ti zezaj.

Ali opet, kako sam ja dobro razumeo prvu poruku tvoje pitanje je da li da mu odradiš posao sa promenom DNS-ova ili ne i u tom slučaju moj je savet da mu zameniš DNS-ove ukoliko se to ne protivi pravilima korišćenja koja bi inače važila za sve korisnike. Znači, bez obzira da na incident sa spamom, da li bi mu inače zamenio DNS-ove?

[bluesman]

Ilija jesi ti procitao uopste prethodne poruke?

Pa to sam i uradio: privremeno suspendovao account i poslao mail coveku - imas problem tu i tu - cim resis, vraticemo account. I vraceno je u roku manjem od 24h.

[Ilija Studen]

^ OK, cool. Pa u čemu je onda problem ako je sve tako jednostavno kao što kažeš u #10 (http://www.devprotalk.com/showpost.php?p=25922&postcount=10) ;) Ova tema ima dva pitanja, pa se bacakamo među njima i konstantno gubimo:

1. Šta raditi kada neko iskoristi rupe u klijentovoj skripti za slanje SPAM-a? - Ja: suspendovati acc dok se problem ne reši (što si i uradio)
2. Da li promeniti čoveku DNS kako je zatražio? - Ja: promeniti ako se ne protivi ToS. E ovde ne znam šta si uradio, a postavio si to pitanje...

Btw, kada kažem da se obično provremeno suspenduje account nisam mislio na ceo account, već uglavnom samo na problematičan deo. Obično se hosting ogradi da može čak i da obriše sve u slučaju zloupotrebe, ali u realnom svetu samo disableuju problematičan deo, pošalju mail sa obaveštenjem dok ostatak sistema nastavi da funkcioniše kako treba.

[direktor]

Gledano iz korisničkog ugla :1064: mislim da si postupio vrlo korektno:


Cao, sada mi je admin javio da neko spamuje sa tvog naloga. Kaže da je poslato hiljade mailova juče i danas. Ako to nisi ti, proveri scriptove da li imaš neki formular koji je exploit-ovan. Morao sam privremeno da iskljucim mail na - čim rešiš ovaj problem, uključićemo ponovo.


Obavestio si ga o problemu koji je nastao njegovom krivicom. Ne vidim zbog čega se čovek ljuti...

[ZeroStyle]

Ja da sam na tvom mjestu tipu bi poslao mail sa objasnjenjem sta je uradio, sta je mogao uraditi, gdje je zajebao stvar, i koliku je stetu mogao napraviti serveru. Obavjestite ga da nije dobro uradio aplikaciju itd.. na kraju krajeva vrlo je moguce da je i on sam slao te mailove, reklamirao site ili nesto slicno... ako je tip ipak odlucio napustiti tvoj server i preci na drugi to mu i omogucis, jer to je njegova odluka, znaci promjeni mu dns i tacka, međutim ima caka sto to meni smrdi, da tip nije zadovoljan uslugama servera nebi trazio novi domen na isti, nego mozes li ti vidjet sta je pisano u porukama koje su slate na ostale adrese, ako mozes vidjet sadrzaj bilo bi dobro jer mozda se moze naci neka povezanost s njim. Novi domain mu mozes dat naravno ako plati :)

[bojan_bozovic]

ZeroStyle je u pravu, smrdi.

[Pedja]

Heh, imao sam slican problem pre nekgo vremena. Klijentu jeneko radioskript koji je imao rupcagu pa su im uvalili neki perl skript kojije slao nenormlanekolicine emaila. Suspendujem domen i obavestim o problemu.

Posto nisu uopste kapirali sta im je rupa, morao sam da im i to objasnjavam. Kada su otkloniti bug i skripti, aktivirao sam im nalog.

Ipak je na kraju ispalo da su se oni (ne vlasnik sajta nego firma koja je radila sajt) ljutili na mene.

Sad, en znam kakav ti je to paket na kome se nesto posebno podesava oko domena ali ako covek hoce da promeni domen promeni mu. Ipak je on platio hosting a koji ce domen da drzi na tome, njegova je stvar.

[Noe]

Sto se tice skripte, zar nije bezbolnije eliminisati samo skriptu koja pravi problem a ne gasiti ceo nalog. I svi zadovoljni :)
Sto se tice promene domena, to zavisi od vase poslovne politike, po meni opravdana je i jedna i druga varijanta mada je logicnija da se korisniku odobri promena domena ako to zeli.
Mada kao sto neko rece ovde "mirise" na spamovanje od samog korisnika, jer zasto bi inace zadrzavao hosting nalog a menjao domen. Malo je to cudno.