Ранее эпизодически появлялись ветки на тему "как запретить выгружать cf и dt?", чтобы обезопасить свои базы от залетных фрилансеров и неблагонадежных сотрудников. Авторы ответа на свой вопрос не находили, а точнее находили два - "никак" и "а зачем". В связи с этим все же есть вариант реализации этой маленькой, но ответственной хотелки. Впрочем, хоть хотелка и маленькая, а работа серьёзная, т.к. реализация подразумевает отслеживание через спецдрайвер процесс 1cv8.exe на предмет создания и модификации файлов и принятия решения о блокировке операции. Плюс как минимум потребуется выполнять разделение блокировок по пользователям кому "давать", а кому "лучше не надо". Журнал событий так же будет нелишним, чтобы видеть кто и что пытался сохранять. Рабочий прототип есть, он позволяет блокировать все эти дела, бонусом можно прихватить запрет сохранения табличных документов, когда их можно только смотреть, но не сохранять в файл. Другое дело насколько подобный инструмент будет востребован на рынке, ибо не хочется тратить время и силы на бесперспективное решение. Прошу проголосовать и озвучить ваше видение этой непростой ситуации ))

Были у меня клиенты, с которыми работал больше пяти лет. А потом пришел вот такой же юный и ретивый эффективный менеджер с синдромом вахтера. бухгалтерам отрезал все права. Доступ к конфигуратору запретил. Дал кому-то из своих, чисто базы обновлять. Доступ ко внешним отчетам запретил. В итоге я пару раз помучался, да и сказал - придется с вами договор расторгать, я реально вам ничем помочь не могу, максимум сказать, на какую кнопку жать чтобы вы приказ создали, да типовые отчеты посмотреть. А что-то проверить и сопоставить разные данные - нет, права закрыты.

Три года звонили и жаловались, что работать нереально, отчеты вручную колотят, не понимают, как что с чем срастить, постоянные требования от налоговой и ПФР о расхождениях, в общем устали.

Через три года до руководства дошло и вахтеров с почестями уволили, договор заключили заново. Причем с согласием на любой ценник, который назову. Базу дают без проблем, особенно когда нужно разобраться с чем-то старым (пока вахтеры "работали").

Базы. кстати, убитые и в ужасном состоянии, масса битых ссылок, причем с максимальными правами. ПРичина - раз в год сворачивали базы, какими методами - не раскрывается...

Вывод - все запреты - это вредительство по отношению к тем, кто реально работает. насчет безопасности - должно решаться другими методами, но только не палками в колеса тем, кому работать надо.

(0) Блокируется возможность выгрузки cf/dt, а от кого - каждый решает сам, если где-то у менеджера по клинингу есть доступ в конфигуратор, значит от менеджера по клинигу ))
Для выполнения доработок выгрузка в cf/dt тоже по-большому счету нужна.

(3) " если где-то у менеджера по клинингу есть доступ в конфигурато"

Если у менеджера по клинингу есть доступ в конфигуратор, то гнать надо админа плохо пахнущими тряпками, а на его место сажать того менеджера, потому что он своё место уже перерос, а админ этот своё не вытягивает.

Может быть. другой пример?

(0) А Вы случаем не из 1С?

(0) Неожиданно.Похоже на вредительство и монополизм. Надо использовать другие средства.

от дебилов не спасет, кому надо - обойдет

Есть же всякие закрывашки кода, защищающие наиболее нетленные из нетленок от вмешательства извне.

(0)
1.методов обхода масса
2. Раз уже ТС бодро настроен предлагаю идею частичной шифрации файлов определённых форматов при создании и копировании, так что если счастливчик вынесет dt это не значит, что он на стороне откроется ;-)

Открытый код конфигурации - это и есть 1С. Без открытого кода конфигурации не было бы 1С. За конфы с закрытым кодом платят только лохи. Закрывают код только пи...сы.

Выгрузку в файлы тоже надо запретить

(5) Нет, в 1С бы это решили правами на уровне платформы.
(9) Лучше взвешенно подойти к вопросу, вместо бесполезного факультатива на праздниках конечно лучше отдыхать и ничего не делать )) Но вот такая мысль меня посетила и сделать можно, вопрос есть ли смысл.
(10) Код остается открытым, просто нет возможности сохранить cf и выгрузить dt. При сохранении в файл 1С получит отказ от операционной системы.

(11) Решаемо

(13) например от меня ты ничего не защитишь.... даже выносом кода в ДЛЛ.

самый главный вопрос - захочу, ли я тратить N часов на взлом или нет.

То есть если мне предложат 100 лямов то будь уверен взломаю любую твою защиту....

В конечном итоге можно просто написать форк твое конфы...

По этому весь твой вопрос будет стоять только в стоимости взлома, оцени на какую сумму ты хочешь защищать и потом уже думай над реализацией

>>>Код остается открытым, просто нет возможности сохранить cf и выгрузить dt.
а скопировать целиком базу на другой комп можно?

(14) Без административных привилегий вряд ли ломаешь, хотя все может быть ))
(15) Файловую? Если права на чтение файла бы будут только у процесса 1cv8, а на создание ни у кого, то пожалуй нет.

Забегая вперед скажу, открытие диалога Орен/Сейв это процесс explorer.exe, а не 1cv8

(16) кто мне мешает переименовать cmd.exe в 1cv8.exe

Но у тебя де априори нет административных привелегий

К тому же ты не знаешь про название процесса, это я сказал по секрету. Плюс можно же посмотреть где лежит ехе, какой у него размер и цифровая подпись.

>>>Но у тебя де априори нет административных привелегий

и чего? я себе на рабочий стол кину собственный exe и привет...

так-же есть всякие COM, DCOM и т.д.

да и вообще почему ты уверен, что у меня нет прав локального админа? я имею в виду "меня" это любой пользователь компании, например директор который меня пригласил...

(20) >>>К тому же ты не знаешь про название процесса

ну будет-же ошибка системы, есть логи, в них будет видно все

Решение не панацея от всего, я де сразу позиционировал против кого можно его использовать. По хорошему ты и антивирус можешь отключить и заразить сервер вирусами, но ты этого не делаешь.

Защитить код, клиентскую базу вообще не возможно технически, прог/менеджер банально выведет отчет на экран и сфотографирует его на телефон.

(19) зачем все эти настройки прав? Достаточно тихого шифрования на лету определённых форматов dt, cf... типа как в Veracrypt

(25) Потому что у меня есть решение по делегированию операций над файлами определенным процессам. С серверной базы конечно получить информацию гораздо сложнее, потому что делать это надо из конфигуратора и никакие переименования файлов не спасут. Но и с файловой не все так плохо, копирование/переименование 1Cv8.cd (не важно каким процессом) сразу мониторится, а 1сv8 может его только открывать и изменять, зачем ей его переименовывать?

(2) у тебя пример какого-то рукожопства. Оно не имеет ничего общего с информационной безопасностью здорового человека

А чё про клиент-серверную никто не упомянул?

(26) ты хочешь файловую базу защитить от копирования?

нифига из этого не выйдет.

единственный вариант который хоть как-то затормозит взлом - тонкий клиент через веб сервер с файловой базой

Так там тоже конфигуратор

(29) Ну хорошо, файловую отбрасываем ))

(30) так отбери права на конфигуратор

в чем конечная цель?

Конечная цель чтобы человек работал в конфигураторе, но не смог выгрузить cf/dt

кстати вопрос:

"свои базы" это что? как я понимаю ты фрилансер и пытаешься защитить базы от других фрилансеров? при этом ты ограничиваешь права законных хозяев баз в доступе?

то есть если ты не дай бог "пропадешь" то они не смогут обновлять свои базы?

в таком ракурсе за сабж можно и канделябром по голове :)

По файловой блок на переименовывание/создание файла 1cv8.cd тоже решение вполне рабочее. Ловится и лочится на уровне файловой системы.

(33) загрузить? или сравнить с другой конфой?

(34) Свои базы это базы предприятия

(36) Пожалуйста, ты же не создаешь cf с помощью 1сv8

(37) тогда все просто

1. все "пришлые" имеют доступ только к копиям в терминале (защищеного от переноса файлов, в том числе и копипаста)
2. по необходимости копии обновляются
3. по сдачи работы на копии - ответственное и довереннное лицо переносит конфу на рабочее

(39) Отличный вариант. Согласен.

(39) +
то есть все сводится к настройке термила и все...

Фрилансеры работают с хранилищем, а релиз инженер интегрирует функционал в продакшн.

Но от кражи cf это не убережёт, а ситуации бывают разные и директор с пулей в голове хочет чтобы да, но ни-ни!

(43) >>>Но от кражи cf это не убережёт,

точно? cf можно выгрузить только в терминальную сессию, а дальше чего с ним делать? прав на передачу данных на клиент нет....

Если так и доступа в облака нет, то все отлично, можно спать спокойно

Если еще и десктопный Телеграм не установлен, то вообще красота ))

(27) "у тебя пример какого-то рукожопства. Оно не имеет ничего общего с информационной безопасностью здорового человека"

Да если бы у меня.

(45) терминал разумеется вообще без доступа в интернет и внезапно без доступа в локалку, то есть строго изолированная сессия.

(43)

Предприятие настолько экономное, что не может себе позволить себе фикси.
Предприятие настолько жадное, что не может себе позволить себе "прикормить" нормального порядочного фрилансера,
а каждый раз водит к себе "девочек с улицы по три рубли"

Но на написание "странного" деньги есть...

P.S.

Что же там в CF такого ? Новый алгоритм получения биткоина?

Сплайсинг CreateFile/WriteFile с иньекцией в процесс и DuplicateHandle()
?

Антивирус тебе спасибо не скажет

Хотя, можно и не иньектить, если дырку knowndll не прикрыли. А это все же дырка, чтобы там не говорили.

(50) Нет, без инъекций, но с драйвером

(52) сложна. Я бы по быстрому накидал через сплайсинг, а потом выпустил бы улучшенную версию, если бы зашла.

Просто валяется проект, немного из другой сферы, хотел его приспособить под это дело, т.к. всё есть даже подпись цифровая

Да и драйвер - драйвер, в диспетчере служб болтается, вопросы вызывается. А просто dllок тысячи в системе, кто их считает...

(54) а на чем написано?

Ну на чем еще, Delphi конечно же ))

А вот это - правильно! ))

А зачем кому то ваш cf? и почему залетный не может воспользоваться мощью скуля для копирования?
А для копирования данных в типовых и так предостаточно инструментов (начиная от перехода в сервис и заканчивая встроенной обработкой выгрузка загрузка через xml и EnterpriseData)

(59) Я поэтому коллективное бессознательное для этой цели и призвал ))

(48) ага, и ты такой сидишь и прогаешь/отлаживаешь обмены с маркетплейсами по апи.. без интернета..?

(59) С выгрузка/загрузка тоже решаемо, можно запретить, да только смысла нет, кому оно надо, никто не купит же, а на голом энтузиазме в наши годы уже никто не ездит.

еще раз

виртуалка, порезаная фаерволом, доступ только rdp в ней копии баз, плюс закрыт обмен с клиентом (мапинг дисков, копипаст).

если пришлому надо затащить в конфу код написаный дома - отдельная шара в которую из сети доступ и чтение и запись а из виртуалки только чтение. Через эту шару закидываем и обновления для копии...

все, на этом вопрос закрыт.

(62) запретить что? обмены между бух и зуп? или между УТ и ЗУП

а в чем сложность реализовать такое? Просто пишешь хук под винду, который отслеживает сохранение файлов. и если файл имеет расширение dt или cf, то форматировать диск.

(65) т.е. грохаем все бекапы?

А ничего что имя файла как и расширение при сохранении можно изменить?

(66) сf нельзя

Хоспаде, смотреть сигнатурки файлов

Фишка в том, что кому-то можно выполнять операцию, а кому-то нет. Надо разбирать процесс, смотреть имя пользователя инициирующего операцию и вызывать блокировку если ему нельзя. В хуке этой информации нет. К тому же пока 1cv8 выгружает в файл ты в моменте в нем сигнатуру не посмотришь, только когда отпустит, т.е. постфактум.

(0) >обезопасить свои базы от залетных фрилансеров и неблагонадежных сотрудников
Попытки решить административные проблемы техническими костылями

Платить нормально пробовали?
Нормальное железо использовать чтобы не тормозило и не надо было dt/cf выгружать?
Копии баз отдельные автоматически на сервере создавать для разработки и обновлять их?

(69) Как вариант можно идентифицировать что процесс 1cv8 - это конфигуратор и если он выгружает в файл что-то больше 2 (3, 5, 10...) Мб то операцию обрывать, недовыгруженное удалять.

(70) Это не моя война, просто есть вариант сделать техническое решение ))

(70)+ cf запрещать глупо но понятно там не должно быть в коде доступов/паролей
dt да пожалуйста - но на тестовых порезанных/устаревших данных

если нужен доступ к проду то или только проверенные или под присмотром

(72) Нет варианта сделать технического решения!
Оно или легко обходится.
Даже запрет инета, маппинга дисков и копи/пасте в RDP - можно обойти.

Или убьет нормальную работу.
Просто ставьте софт который все пишет, даже видео экрана.

Что может убить запрет выгрузки cf для какого-нибудь Васи? ))

Он работать не сможет, обидится и убежит в слезах

(75) Ну запретил ты выгрузку cf
Кто/что мешает подключить базу (если есть доступ в конфигуратор) к своему хранилищу и его скопировать?

Конечно ничто не помешает, пэполностью с тобой согласен, уже больше технические моменты выгрузки обсуждали, разные варианты реализации их плюсы и минусы. А смысла конечно нет в этом нет.

(69) хук на writefile и смотри сколько хочешь

(79) под линуксом?

ну украл фрилансер код, а дальше то что ?
сделает свою коробку ? понесет продавать на рынок?

у Андрюхи гениальная идея свою коробку продать, которая не пущщат
Только в силу недостатка знаний не понимает что без разработчиков из 1С ее не сделать

(82) Да )) Точнее уже нет ))

Помню одну контору с вусмерть переписаной УТ 10, несколькими поколениями фикси и фришниками,
Захотели перейти на УТ 11, попросили сделать анализ кода и доработок, я сделал.
В итоге оказалось 90% доработок заказчик не знает зачем делал, и ничего из доработанного им уже не нужно , не говоря уж о других.

а если, к примеру, базу передаешь, сделай обфускацию данных, в БСП давно обработка есть.

(0) В свою базу никого непущу.А клиент может делать все.Даже передать целиком базу с 100500 доработками.Если ему пофиг.

(67) А мужики то не знают.
при выгрузки можно сделать любое имя хоть 1cv8.exe

желтая программа и ее проблемы...
по-моему, это административная проблема, очень странно это получается - у человека есть доступ к IDE, он может что-то поправить, но cf/dt выгрузить нельзя.
дайте ненадежным людям базы и пусть в ней копаются, умный отвественный человек сделает код ревью, тестировщики проверят и можно будет загрузить cf в рабочую базу.
по моему опыту работы в 1С и не в 1С, такие превентивные запреты ни к чему хорошему не приводят, так как из правила может появиться исключение в самый неожиданный момент.

(88) + имеются в виду тестовые базы, во всех уважающих себя конторах, этот тестовый контур есть.
ну а доступы, так это должны безопасники аппрувить.
судя по постановке задачи, вы пытаетесь решить проблему ларечников, раз у них к базе любой фрилансер доступ имеет.
вангую, что когда вы это продадите, к вам будут стучаться в личку покупатели и спрашивать - как это настроить, например при смене системного администратора. то есть это опять же обслуживание предприятия. хз где профит тут. имхо, его нет.

(87) Ну попробуй ради интереса, чтобы ты не написал, тебе 1С все равно в конце прилепит .cf

и да, а что если выгрузка в файлы идет? а не cf или dt? как это ловить?
а если неблагонадежный человек попадает в благонадежные и наоборот. как отслеживать этот процесс?

(90) Только что проверил - работает
Создать текстовый файл с нужным тебе имени и при сохранении выбери его. И получишь cf с заданным именем.

(92) Так возможно, но если новый файл, то обязательно будет сф

Без тени сомнений
Не пряча лица
Идти к своей цели
Дорогой бойца

Без страха и лени
Не веря глупцам
Вперёд к своей цели
Идти до конца

(93) что возвращает нас к первоначальному посылу "имя файла и расширение можно поменять, в том числе и для cf"

(75) Если какому-то Васе клиент поручил править свою конфигурацию - значит он уже ни хрена не какой-то. А если реально поручили какому-то - то тут два варианта всего: изначальный автор был еще хуже или клиент не совсем адекватен. А то блин фрилансеры панимаишь залетные... Вот от кого все зло оказывается.
Кому административные права на базу дадены - тот с ней пусть что нужно и делает.

Предлагаю идею даром, т.е. безвозмездно: если вы желаете "запретить выгружать cf и dt", то не забудьте заодно грохнуть распределенные информационные базы (РИБ)- метод ПланыОбменаМенеджер.СоздатьНачальныйОбраз() замечательно "выгружает cf/dt" :))

(96) вас не услышат, как и меня.
безумие и отвага - вот путь ТС.

(96) (98) вполне реальная ситуация (у меня такая была 15 лет назад):

холдинг, удаленный филиал со своим глав бухом получают слабую (как им кажется) помощь от центральной конторы, и по этому нанимают Васю в обход правил холдинга. Вася что-то делает и сваливает, а разгребать (при следующем обновлении) уже центральному отделу....

(99) но ведь это целиком - управленческая проблема.
затыкать ее костылем в виде невозможности выгрузить cf, но зайти в базу.
это как закрыть вандала в музее, но не давать ему выйти.

не пускай залетных в конфигуратор и делов то