joomla-i.org - что за воришки? - страница 9 - Сообщество JoomlaForum

можно еще просто заверить дату первой публикации (забыл термин)

Депонирование. Самый простой способ -- отправить себе на почту письмо с программой.

Депонирование. Самый простой способ -- отправить себе на почту письмо с программой.

Лучше заверить у нотариуса.

Лучше заверить у нотариуса.

В принципе, если проект изначально open source, то здесь даже заверять ничего не надо -- достаточно опубликовать исходники, например, на GitHub. Хотя тем самым ты разрешаешь скачивать свою программу любому желающему.

В принципе, если проект изначально open source, то здесь даже заверять ничего не надо -- достаточно опубликовать исходники, например, на GitHub. Хотя тем самым ты разрешаешь скачивать свою программу любому желающему.

Ну монетизация open sourse отдельная тема. Кстати насчет ключей. А почему ты их вставляшь в запрос а не в столбец extra_query?

Ну монетизация open sourse отдельная тема. Кстати насчет ключей. А почему ты их вставляшь в запрос а не в столбец extra_query?

Мне так проще оперировать данными. Хотя это тянется ещё с тех времён, когда я поддерживал Joomla! 2.5

Мне так проще оперировать данными. Хотя это тянется ещё с тех времён, когда я поддерживал Joomla! 2.5

Ну я не вижу особой разници и там и там get параметры. разве что extra_query будет только при download отправляться.

Ну я не вижу особой разници и там и там get параметры. разве что extra_query будет только при download отправляться.

Надо посмотреть, можно ли это переделать. У меня система обновлений очень замороченая, мне нужно, чтобы к XML манифесту уже шёл запрос с параметрами. Этого можно добиться с extra_query?

Надо посмотреть, можно ли это переделать. У меня система обновлений очень замороченая, мне нужно, чтобы к XML манифесту уже шёл запрос с параметрами. Этого можно добиться с extra_query?

К самому манифесту нет. только к скачиванию. Ну тобишь по факту в update же два события.
1. Проверка наличия
2. Скачивание обновления

Если надо я делал @vipiusss наброски под это могу заделиться

Если надо я делал @vipiusss наброски под это могу заделиться

Не-не-не, так вся хитрость потеряется Реализацию доступа к серверу обновлений ни в коем случае не следует раскрывать

Не-не-не, так вся хитрость потеряется Реализацию доступа к серверу обновлений ни в коем случае не следует раскрывать

А кто сказал что там вся реализация, там же нет герирации ключей, хотя даже еслибы и была все равно не поможет. А вообще та же akeeba лежит на github я тоже свой выложу. хотя у меня и без ключей будет.
Что же до хитрости, то имхо проверять на наличие обновлений надо в любом случае без ключа.

Дело не в ключах. Ключи должны быть случайным набором числобуквенных символов. Против брутфорса ключей, разумеется, должен стоять какой-нибудь fail2ban. Хотя я не возражаю против использования extra_query: я даже попробую переписать свою "двуствольную винтовку" под общепринятые стандарты, если получится

я даже попробую переписать свою "двуствольную винтовку" под общепринятые стандарты, если получится

Что имеется ввиду? Просто я свою систему защиты пилю и мне интересны разные решения в данной области.

Что имеется ввиду? Просто я свою систему защиты пилю и мне интересны разные решения в данной области.

http://argens.ru/sluzhebnye/15-komponent-generator-klyuchej

Раз два и готово.
осталось закинуть процедуру дешифрации в хелпер и туда же пару функций значимых... и можно кубом шифровать.

Что имеется ввиду?

Не могу сказать. Иначе любой желающий сможет хакнуть мой сервер и загружать расширения нахаляву. Собственно, это главный недостаток систем обновлений с открытым исходным кодом.

Не могу сказать. Иначе любой желающий сможет хакнуть мой сервер и загружать расширения нахаляву. Собственно, это главный недостаток систем обновлений с открытым исходным кодом.

Суть всей защиты это генерация и добавление ключей в базу. Если защитить добавление то останется только подбор ключей.

Ключи должны быть случайным набором числобуквенных символов.

Далеко не обязательно.

Суть всей защиты это генерация и добавление ключей в базу

Смотрите шире: я покупаю расширение и "делюсь" ссылкой на скачивание на каком-нибудь "добром" форуме. Ссылку на скачивание мне любезно предоставит информация о сервере обновлений.

Смотрите шире: я покупаю расширение и "делюсь" ссылкой на скачивание на каком-нибудь "добром" форуме. Ссылку на скачивание мне любезно предоставит информация о сервере обновлений.

Связка ключ + домен. + ограничение скачиваний (кстати а ведь мысль.. ограничить скажем 3 скачивания на update в моем решении это реализовать будет не сложно). ну а домен можно в запрос передать и.... а вот дальше уже будет перебор делиться мыслями. Нет конечно полностью не стоит делиться всей защитой сервака обнов, да и не будет ни кто. Но поделиться работающий основой и пусть уже каждый творит с проверками что хочет почему бы и нет. Да и к тому же. ни кто не будет сильно париться из-за расширения ценой в 20$ просто скачают выпилят upadeserser и выложат архив на форуме. а тут ты уже ничего не сделаешь.

Связка ключ + домен. + ограничение скачиваний (кстати а ведь мысль.. ограничить скажем 3 скачивания на update). ну а домен можно в запрос передать и.... а вот дальше уже будет перебор делиться мыслями

Вот-вот. Пока не раскрываешь механизм, можно говорить о какой-то защите. Хотя если поставить задачу, то можно и её хакнуть. Здесь вопрос уже в том, чтобы максимально усложнить варезникам возможность делать это.

PS. Ключи можно сделать и неслучайными, если знать, что делать. Но если не знать, то лучше не рисковать и сделать полный рандом. Обновления расширений J! -- это, конечно же, ерунда, но если говорить о каких-либо серьёзных вещах, то я бы не испытывал судьбу -- необходима полная энтропия.

PS. Ключи можно сделать и неслучайными, если знать, что делать. Но если не знать, то лучше не рисковать и сделать полный рандом. Обновления расширений J! -- это, конечно же, ерунда, но если говорить о каких-либо серьёзных вещах, то я бы не испытывал судьбу -- необходима полная энтропия.

Мы говорим именно о расширенных Joomla, если же говорит о чем-то более крупном то и средств там больше чем пара параметров запроса которые можно и в базе поменять.
P.S кстати тема с update серваками под расширения весьма интерсная осоебенно про ключи нет ни одно толкового материала, что уж говорить об обсуждении. Я с этим столкнулся когда писал набросок @vipiusss может увести в отдельный топик...

Кстати а в случаях со складчинами, все еще проще. там реально покупаеться одна лицензия и выкладываются уже чисто файлы. и делать в расширение проверку при каждом обращении перебор.

Кстати а в случаях со складчинами, все еще проще. там реально покупаеться одна лицензия и выкладываются уже чисто файлы

Одно дело выкладывать постоянно файлы, следить за этим делом, заливать/перезаливать. Другое дело -- просто пройти по ссылке и загрузить архив. Входную дверь можно выпилить болгаркой, но лучше пусть она всё-таки будет.

Одно дело выкладывать постоянно файлы, следить за этим делом, заливать/перезаливать. Другое дело -- просто пройти по ссылке и загрузить архив. Входную дверь можно выпилить болгаркой, но лучше пусть она всё-таки будет.

Но сейфовую дверь в сарай все таки ставить не стоит

Но сейфовую дверь в сарай все таки ставить не стоит

-А для чего мы строим эти стены, решётки на окна, зачем мы эти вышки ставим с автоматчиками, забор трёхметровый, эту колючую проволоку мотаем?...

- Красиво...

© Уральские пельмени

Что касается Joomla!, то стандартный менеджер обновлений многое не позволяет сделать. Просто идёт тупой запрос, ну с параметрами. А вот какой-нибудь referer передать, заголовок поставить, -- уже проблема. Поэтому известные студии пилят свои менеджеры обновлений в виде отдельных компонентов/видов, чего я лично не поддерживаю.

Народ, кто знает, что это за перцы? http://joomla-i.org ?

Вот и финал, по всей видимостиhttp://joomla-i.org/

Вот и финал, по всей видимости

Возможно, закончилась подписка...

Не думаю. Наверное, кого-то из разработчиков достало и прижали. Прижать -то сейчас несложно, есть масса способов. Ну, хотя бы то, что не обозначено физическое или юридическое лицо, нарушение закона о персональных данных. Или контрольная закупка, электронный чек не пришел (онлайн-кассы нет), жалоба в налоговую или Роскомнадзор, ну а дальше все зависит от многих факторов.

откроются чуть изменив домен. Еще те уроды.

откроются чуть изменив домен. Еще те уроды.

Откуда такая информация? Ведь если на крупный штраф нарвались, вряд ли опять полезут в это дерьмо.

Хотелось бы чтобы было так.
В свое время писал и хостеру и регистратору - всем пофиг.