On 13/01/2011 11:14, Jędrzej Dudkiewicz wrote:
> On 01/12/2011 04:07 PM, Andrzej Jarzabek wrote:
>> wpłynęłoby dodatnio na jakość tych usług. Pacjent, który sam nie zna
>> się na medycynie, mmiałby spore problemy z odróżnieniem prawdziwych
>> lekarzy od szarlatanów.
>
> To prawda, przy czym problem nie znika, bo teraz np. są lekarze, których
> trzeba się wystrzegać, i o których pacjenci przekazują sobie informacje
> (to od mojej babci zasłyszane), że "to rzeźnik" albo "lepiej się samemu
> do trumny położyć". Ale to w ramach anegdoty.

W ramach anegdoty to są też bioenergoterapeuci, o których pacjenci sobie
przekazują informacje, jak to im pomogi, kiedy lekarze nie potrafili.

>> Wiara, że rynek wyeliminuje szarlatanów np. przez ich kiepską
>> reputację jest łagodnie mówiąc naiwna - wystarczy popatrzeć na
>> popularność tych wszystkich energoterapeutów, homeopatów czy innych
>> magików.
>
> Pewnie, że nie. Idea jest taka, że on wyeliminuje nieskutecznych i
> szkodliwych - a większość homeopatów, energoterapeutów i podobnych
> nikomu nie szkodzi. Nie szkodzi! C

A ja jestem taki rozbestwiony, że jak idę do lekarza, to chciałbym, żeby
jednak przynajmniej od czasu do czasu mi pomógł, a nie tylko nie zaszkodził.

> o znaczy, że jeżeli tylko są w stanie
> wytworzyć u wizytującego dobre samopoczucie, to wygrali - bo są
> skuteczni - pacjent lepiej się czuje.

A ja się lepiej czuję, jak wiem, że lekarz do którego idę jest po
studiach medycznych i odpowiednich praktykach. Bo samo lepsze
samopoczucie to jest tylko skuteczność placebo, a od medycyny się jednak
wymaga, żeby miała skuteczność powyżej skuteczności placebo.

>> Wracając do tematu badań, ja sam nie znam takich badań ani ich
>> wyników, i jeśli chodzi o certyfikację programistów to powiem tak:
>> osobiście uważam, że uprawnienia zawodowe są tak w ogóle skuteczne.
>> Ale zgodziłbym się na rozwiązanie, gdzie wprowadzenie uprawnień dla
>> programistów poparte jest meta-analizą na temat skuteczności uprawnień
>> zawodowych w ogóle, bądź istniejącą (a przypuszczam, że takie
>> istnieją), bądź zleconą specjalnie w tym celu
>
> Ale kto będzie robił to badanie? Bo jeżeli organizacja niecertyfikowana,
> to nie można przyjąć wyników jej badań - bo nie jest certyfikowana. A

Przyznam, że nie wiem jak się to dokładnie odbywa, ale zakładam, że
istnieją jakieś procedury wyłaniania instytucji, którym rząd zleca
analizy, i że są stawiane odpowiednie wymagania.

Zresztą tym razem popełniasz błąd kwantyfikatorowy: to nie jest tak, że
certyfikacja jest jedynym sposobem na wiarygodność, po prostu w tym
przypadku jest praktycznym i względnie tanim sposobem. Da się osiągnąć
wiarygodność inaczej, tylko że kosztuje to dużo czasu i pieniędzy, co ma
swoje dalsze przykre konsekwencje. Np. instytucje naukowe, które mogą
takie badania prowadzić, pracują nad swoją wiarygodnością dziesiątki, a
nawet setki lat. Jeśli w przypadku wspomnianej aparatury medycznej
zastosujesz tak drakońskie kryteria, to wypadków będzie może i mniej,
ale większość tej aparatury nigdy nie powstanie, a ta, co powstanie
będzie koszmarnie droga i wejdzie na rynek kilka- czy kikadziesiąt lat
później, co spowoduje, że nie zdoła uratować życia setkom osób za cenę
uratowania kilkunastu.

> jeżeli certyfikowana, to działają we własnym interesie - przecież jeżeli
> okaże się, że certyfikaty nie są do niczego potrzebne, bo za chwilę
> każdy będzie mógł założyć taką samą organizację i robić konkurencję - i
> to bez certyfikatu!

Moment, tak w ogóle przecież badanie dotyczy uprawnień zawodowych, a nie
certyfikacji instytucji. Wystarczy zapewnić, że w zespole badawczym nie
ma nikogo z uprawnieniami zawodowymi.

Nawiasem mówiąc akurat w tym przypadku jestem sceptykiem co do potrzeby
certyfikacji. W Polsce istnieje coś w rodzaju uprawnień zawodowych dla
naukowców w postaci mianowania profesorów, a w innych krajach sobie
radzą bez tego bardzo dobrze. Wynika to oczywiście z tego, że praca
naukowa nie jest w kategorii "mission critical".

do góry

On 13/01/2011 14:05, A.L. wrote:
> On Thu, 13 Jan 2011 00:34:13 -0800 (PST), Mariusz Marsza?kowski
> <m...@g...com> wrote:
>
> http://en.wikipedia.org/wiki/Mycin
>
> Ale to nie bylo w Polsce i to bylo datwno temu. Od tego czasu ludzkosc
> doszla do wniosku ze takie systemy sa o kant d... roztluc

Bardzo pouczający jest ten link:
http://www-formal.stanford.edu/jmc/someneed/someneed
.html

Tyle w temacie zastępowania lekarza systemem eksperckim.

do góry

On 13/01/2011 05:00, Mariusz Marszałkowski wrote:
> On 12 Sty, 16:52, Andrzej Jarzabek<a...@g...com> wrote:
>> On Jan 12, 3:09 pm, Mariusz Marszałkowski<m...@g...com> wrote:
>> Poza tym nie chodzi mi nawet o to, że są nieprawdziwe, tylko czy można
>> z nich wyciągać ogólne wnioski na temat skutecznosci certyfikacji.
> Zalezy ile jest tych prawdziwych danych. Jesli na mamy 5 probek to
> troche malo, ale jesli 30, to mozna chociaz sie zastanowic?

Można się np. zastanowić nad reprezentatywnością tej próby. I w tej
kwestii polecę jeszcze raz Goldacre'a.

>> Musiałoby być ich na tyle dużo, żeby były statystycznie istotne.
> Nigdy temu nie zaprzeczalem, moze moje doswiadczenia nie sa
> reprezentatywne?

A były wybrane w podwójnie ślepej próbie? :)

>> Ile osób, jak sądzisz, jest diagnozowanych i leczonych przez lekarzy w
>> Polsce rocznie?
> To ze cala populacja jest duza, nie oznacza za badana probka rowniez
> musi byc duza, wystarczy ze w probce badana cecha pojawia sie
> ze zblizonym prawdopodobienstwem.

Jasne, ale żeby mieć podstawy do twierdzenia, że prawdopodobieństwo jest
zbliżone, musisz przestrzegać dość rygorystycznej metody doboru próbki.
Jeśli możesz to naprawdę przeczytaj sobie to "Bad Science" i zobacz jak
się to robi konkretnie w medycynie.

>> Bo widzisz, źle przedstawiasz tę sytuację. Skąd ja, jako pacjent, mam
>> wiedzieć, że ten drugi ma "20% doświadczenia mniej" a nie "99,9%
>> doświadczenia mniej"? Otworzyć klapkę i sprawdzić licznik?
> Przedstawiam dobrze. Problemem nie jest ze do krytycznych systemow
> sa zatrudniani idioci, tylko ze programisci z umiejetnosciami troche
> za slabymi.

Problemem jest to, że na etapie końcowego użytkownika nie da się nic o
ich umiejętnościach ani inteligencji powiedzieć.

> Moze skupmy sie dokladnie na tym co wlasciwie zarzucam certyfikacji
> informatykow, bo juz kompletnie nie wiem jak sie ma szarlatan do
> moich zarzutow.

No więc właśnie co zarzucasz? Bo przed chwilą wyglądało, jakbyś
twierdził, że certyfikacja informatyków w szczególności będzie
nieskuteczna, bo certyfikacja w ogóle jest nieskuteczna, co widać na
przykładzie lekarzy. Jeśli nie to twierdzisz, to nie bardzo rozumiem,
dlaczego w ogóle mówimy o lekarzach.

>> Cóż, współczuję, ale zrozum, że niewiele z tego wynika. Jest
>> oczywistym, że przy dowolnym systemie certyfikacji będą się zdarzać
>> wypadki, i że znajdzie się w ineternecie ktoś, kto opisze jak dotknęły
>> go osobiście. Masz pecha, ze akurat padło na Ciebie.
> Pecha mozna miec kilka razy. Kilkadziesiat to chyba juz za duzo?

Ja sam miałem w życiu pecha setki razy.

>> Pewnie Cię nie pocieszy, że w Afryce czy Papui Noweg Gwinei jest
>> mnóstwo osób które mogłyby poopowiadać różne dramatyczne historie o
>> ich wioskowych znachorach bez certyfikatów, ale nie mają dostępu do
>> internetu, a nawet jak mają, to nie piszą na pcp.
> Szaman (w Twoim ujeciu, bo mysle ze sa pozytywne wyjatki) do leczenia
> jest odpowiednikiem dopuszczenia idioty do pisania elementow
> krytycznych.

Szaman nie jest idiotą. Szaman jest kolesiem, który pewnie nawet (oprócz
różnych przesądów) posiada jakąś wiedzę o leczeniu tego czy owego, ale
nie jest to wiedza lekarza medycyny.

> Nie rozmawiamy o idiotach. Rozmawiamy o przecientym programiscie,
> ponadprzecietnym i ponadprzecietnym z certyfikatem. Poprosze o takie
> analogie w innych zawodach.

W innych zawodach generalnie nie pozwala się ludziom bez uprawnień na
projektowanie i wykonywanie rzeczy, które powodują zagrożenie zdrowia i
życia w przypadku awarii.

do góry

On 13/01/2011 22:15, Michoo wrote:
> W dniu 13.01.2011 20:21, Andrzej Jarzabek pisze:
>>
>> MITM jest chyba niemożliwe bez kluczy? Modulo złamanie RSA czy czego tam
>> się używa - przynjmniej mam nadzieję, że to się tak odbywa...
> Nie musisz tutaj w żaden sposób zaglądać do transmisji, bo karta
> uwierzytelnia ją bez żadnej akcji ze strony użytkownika jak się znajdzie
> w odpowiedniej odległości od terminala. Jeżeli nie ma wąskiego okna
> czasowego to musisz tylko taką transmisję "przeforwardować".

Nie bardzo rozumiem, co masz na myśli. Załóżmy, że masz legalną kartę,
legalny terminal, właściciel karty zbliża ją do czytnika, żeby zapłacić
10 zyka za piwo, a ty masz nielegalne urządzenie, które może blokować,
rejestrować i podmieniać dowolne części transmisji radiowych w obie
strony. Jak chcesz przeprowadzić atak mitm?

do góry

On 2011-01-13, Andrzej Jarzabek <a...@g...com> wrote:
> On 13/01/2011 22:15, Michoo wrote:
>> W dniu 13.01.2011 20:21, Andrzej Jarzabek pisze:
>>>
>>> MITM jest chyba niemożliwe bez kluczy? Modulo złamanie RSA czy czego tam
>>> się używa - przynjmniej mam nadzieję, że to się tak odbywa...
>> Nie musisz tutaj w żaden sposób zaglądać do transmisji, bo karta
>> uwierzytelnia ją bez żadnej akcji ze strony użytkownika jak się znajdzie
>> w odpowiedniej odległości od terminala. Jeżeli nie ma wąskiego okna
>> czasowego to musisz tylko taką transmisję "przeforwardować".
>
> Nie bardzo rozumiem, co masz na myśli. Załóżmy, że masz legalną kartę,
> legalny terminal, właściciel karty zbliża ją do czytnika, żeby zapłacić
> 10 zyka za piwo, a ty masz nielegalne urządzenie, które może blokować,
> rejestrować i podmieniać dowolne części transmisji radiowych w obie
> strony. Jak chcesz przeprowadzić atak mitm?

Błąd. Nie tak wygląda scenariusz ataku. Chcesz tu dowodzić, że
nieskuteczny jest atak, który wymyśliłeś, wniosek: zabezpieczenie
działa. A to nieprawidłowa metoda wnioskowania o bezpieczeństwie.

* sklep ma legalny terminal
* klient sklepu ma legalną kartę zbliżeniową -- w kieszeni
* atakujących jest dwóch
* walker
* shopper, który ma fałszywą kartę zbliżeniową
* atakujący mają jeszcze parę urządzeń robiących za coś w rodzaju
kierunkowego wzmacniacza sygnału (ot, taki repeater; nawet nie musi
umieć protokołu, którego używa karta)

Fałszywa karta zbliżeniowa to urządzenie w formie karty plastikowej,
które odbiera sygnał od repeatera i przekazuje dalej do legalnego
czytnika, a żądania z czytnika nadaje do repeatera. Fałszywa karta nie
musi rozumieć protokołu.

Walker namierza klienta z kartą zbliżeniową.
Shopper stoi w kolejce do kasy.
Walker umieszcza w pobliżu klienta swoje urządzenie powtarzające, które
nadaje do urządzenia shoppera. Shopper robi zakupy fałszywą kartą.

--
Secunia non olet.
Stanislaw Klekot

do góry

On 13/01/2011 22:13, A.L. wrote:
>
> FAcio ktirego pzresluchiwalem i ktory wypowiedzial sie ze "pojedynczy
> czlowiek w calosci nie moza znac C++", wypowiedzial sie gdy nie
> pytalem go o szczegoly, a pytalem go zupelnie ogolnie o wyjatki.
> Twierdzil ze wyjatkow nei zna z powodow wylistowanych powyzej, i ze
> "jest programista C++ bez wyjatkow"
>
> Nie byl wyjatkowy :)

No więc ja też to tak zrozumiałem.

> P.S. Tak na marginesie, nei zdarzylo mi sei spotkac nikogo, ale to
> NIKOGO kto by wiedzial co to jest w C++ "template specialization". To
> taki sam kaliber niewiedzy jak wyjatki a moze i gorszy

W trakcie tych przesłuchań, czy w ogóle w życiu? :)

do góry

On 13/01/2011 23:23, Stachu 'Dozzie' K. wrote:
> On 2011-01-13, Andrzej Jarzabek<a...@g...com> wrote:
>> On 13/01/2011 22:15, Michoo wrote:
>>> W dniu 13.01.2011 20:21, Andrzej Jarzabek pisze:
>>
>> strony. Jak chcesz przeprowadzić atak mitm?
>
> Błąd. Nie tak wygląda scenariusz ataku. Chcesz tu dowodzić, że
[...]

Chciałem opis ataku. Dziękuję.

> Walker namierza klienta z kartą zbliżeniową.
> Shopper stoi w kolejce do kasy.
> Walker umieszcza w pobliżu klienta swoje urządzenie powtarzające, które
> nadaje do urządzenia shoppera. Shopper robi zakupy fałszywą kartą.

OK, tak to może działać. Kwestia taka, że jeśli zbliżeniówką można
płacić tylko niewielkie kwoty, a jednocześnie zasięg jest tak niewielki,
że walker się musi sporo narobić żeby znaleźć klienta i będzie mu
dodatkowo trudno to zrobić tak, żeby nie zachowywać się podejrzanie, to
pewnie będzie nieopłacalne takie kombinowanie, żeby kupić sobie bułkę i
kefir.

do góry

On 2011-01-13, Andrzej Jarzabek <a...@g...com> wrote:
>> Walker namierza klienta z kartą zbliżeniową.
>> Shopper stoi w kolejce do kasy.
>> Walker umieszcza w pobliżu klienta swoje urządzenie powtarzające, które
>> nadaje do urządzenia shoppera. Shopper robi zakupy fałszywą kartą.
>
> OK, tak to może działać. Kwestia taka, że jeśli zbliżeniówką można
> płacić tylko niewielkie kwoty,

Transakcje do 50zł? Nie tak znowu niewiele. A jeśli wiele razy tak
zrobię jako atakujący? Nakupię paletę Coca-coli i będę odsprzedawać za
połowę ceny. Myślisz że się nie zwróci?

> a jednocześnie zasięg jest tak niewielki,
> że walker się musi sporo narobić żeby znaleźć klienta i będzie mu
> dodatkowo trudno to zrobić tak, żeby nie zachowywać się podejrzanie,

Ludzie są pomysłowi. Nie mam zamiaru nie doceniać kieszonkowców (bo to
taka kategoria kradzieży). Każdy brak autoryzacji transakcji wygląda mi
jak zły pomysł (to samo myślę o kartach kredytowych używanych on-line).

--
Secunia non olet.
Stanislaw Klekot

do góry

On 01/13/2011 11:13 PM, A.L. wrote:
> On Thu, 13 Jan 2011 21:49:02 +0000, Andrzej Jarzabek
> <a...@g...com> wrote:
>
>> On 13/01/2011 10:45, Jędrzej Dudkiewicz wrote:
>>> On 01/12/2011 10:45 PM, A.L. wrote:
>>>
>>> No to k...urczę :) Przecież zaczęło się od tego, że jakiś gość
>>> powiedział Panu, że "nie można nauczyć się C++". Jeżeli przez "nauczyć
>>> się" ma Pan na myśli "potrafić znaleźć odpowiedź w standardzie", to
>>> diametralnie zmienia to sytuację.
>>
>> Dla higieny dyskusji może warto przypomnieć, co dokładnie było napisane:
>>>> Kiedys przesluchiwalem facia, programiste CC++ ktory twierdzil ze "C++
>>>> jes tza skomplikwoany aby pojedynczy czlowiek sie go nauczyl" i ze
>>>> pojedynczy czlowiek moze opanowac tylko fragment, a sztuka budowania
>>>> zespolu to taka ze zbierze sie wszystkicg czlonkow tak aby razem znal
>>>> icaly C++.
>>
>> No więc jeśli ktoś podobnymi słowami określa sytuację taką, że ktoś nie
>> potrafi odpowiedzieć z pamięci na pytanie o jakiś szczegół, którego
>> znajomość na wyrywki nie jest do niczego potrzebna (bo nawet jak raz w
>> życiu zdarzy się komuś potrzebować akurat to wiedzieć, to można
>> sprawdzić w standardzie), to koleś jest idiotą tak czy inaczej.
>>
>> Jeśli miał na myśli to, na co wygląda, że miał na myśli, to był po
>> prostu kolesiem, który słabo znał C++ i dorabiał filozofię.
>>
>> Jeśli przyjmiemy, że "nauczyć się C++" w przeciwieństwie do "nauczyć się
>> tylko fragmentu C++" oznacza efektywną umiejętność pisania i czytania
>> kodu wykorzystującego dowolne ficzery języka" a nie "znajomość standardu
>> na wyrywki", to oczywiście można się tego nauczyć.
>
> FAcio ktirego pzresluchiwalem i ktory wypowiedzial sie ze "pojedynczy
> czlowiek w calosci nie moza znac C++", wypowiedzial sie gdy nie
> pytalem go o szczegoly, a pytalem go zupelnie ogolnie o wyjatki.
> Twierdzil ze wyjatkow nei zna z powodow wylistowanych powyzej, i ze
> "jest programista C++ bez wyjatkow"

A, to zwykły debil.

JD

do góry

On 01/13/2011 11:22 PM, Andrzej Jarzabek wrote:
> On 13/01/2011 11:14, Jędrzej Dudkiewicz wrote:
>> On 01/12/2011 04:07 PM, Andrzej Jarzabek wrote:
>>> wpłynęłoby dodatnio na jakość tych usług. Pacjent, który sam nie zna
>>> się na medycynie, mmiałby spore problemy z odróżnieniem prawdziwych
>>> lekarzy od szarlatanów.
>>
>> To prawda, przy czym problem nie znika, bo teraz np. są lekarze, których
>> trzeba się wystrzegać, i o których pacjenci przekazują sobie informacje
>> (to od mojej babci zasłyszane), że "to rzeźnik" albo "lepiej się samemu
>> do trumny położyć". Ale to w ramach anegdoty.
>
> W ramach anegdoty to są też bioenergoterapeuci, o których pacjenci sobie
> przekazują informacje, jak to im pomogi, kiedy lekarze nie potrafili.

No i im pomogli - z tym, że na samopoczucie a nie na to, na co mieli.
Tak się leczy hipochondryków.

>>> Wiara, że rynek wyeliminuje szarlatanów np. przez ich kiepską
>>> reputację jest łagodnie mówiąc naiwna - wystarczy popatrzeć na
>>> popularność tych wszystkich energoterapeutów, homeopatów czy innych
>>> magików.
>>
>> Pewnie, że nie. Idea jest taka, że on wyeliminuje nieskutecznych i
>> szkodliwych - a większość homeopatów, energoterapeutów i podobnych
>> nikomu nie szkodzi. Nie szkodzi! C
>
> A ja jestem taki rozbestwiony, że jak idę do lekarza, to chciałbym, żeby
> jednak przynajmniej od czasu do czasu mi pomógł, a nie tylko nie
> zaszkodził.

Tak, ale nie szkodzenie wystarczy, żeby nie wystąpiła skuteczna
eliminacja. Że wolny rynek "nie ma zamiaru" ich eliminować, bo nie
szkodzą. Jak nie szkodzą, to niech sobie działają. Każdy orze jak może.
Niektórzy potrzebują przeleżeć się na oryginalnym kwarcu z Jasnej Góry,
żeby się lepiej poczuć.

>> o znaczy, że jeżeli tylko są w stanie
>> wytworzyć u wizytującego dobre samopoczucie, to wygrali - bo są
>> skuteczni - pacjent lepiej się czuje.
>
> A ja się lepiej czuję, jak wiem, że lekarz do którego idę jest po
> studiach medycznych i odpowiednich praktykach.

To i nie chodzisz do magika. Ludzie chodzą i chwalą sobie że hoho!,
czują się lepiej, dzień od razu się dłuższy zrobił, mogą spać w nocy i
znaleźli 100 złotych pod łóżkiem.

> Bo samo lepsze
> samopoczucie to jest tylko skuteczność placebo, a od medycyny się jednak
> wymaga, żeby miała skuteczność powyżej skuteczności placebo.

Ale ludziom wystarczy skuteczność placebo.

Przypominam, że ja tu nie mówiłem o niczym innym jak tylko o tym, że
tzw. wolny rynek nie wykosi magików, bo nie ma po temu podstaw. A czy
chodzenie do nich ma sens to inna rozmowa. Od razu mówię, że wg mnie nie ma.

JD

do góry