NP-public

💬 Алкон

Это бизнес-центр на Соколе, пару этажей в котором занимает ещё один офис VK. Находится недалеко от Скайлайта — 1 станция метро, 10 минут на автобусе или 20 минут пешком. Раньше между ними ходил автобус-шаттл, который закрыли из-за отсутствия востребованности

Здесь работает VK Tech — бизнес-юнит, который занимается разработкой корпоративных продуктов. В их числе — VK Cloud, Tarantool и VK Teams. Последний используется в VK как корпоративный мессенджер

Внутри всё стандартно — рабочие места, кофепоинты, переговорки. Длина этажей в 3 раза больше, чем в Скайлайте, что видно по нумерации ромашек — латинского алфавита начинает не хватать. Здесь нет музыкальной комнаты, но есть другие интересные вещи, в том числе стоячие рабочие места и мини-гольф

Доступ в Алкон есть у всех сотрудников VK, а те, кто работают в Москве, могут пройти в него по обычному пропуску. В отличие от основного офиса, здесь не водят экскурсии

🏦 Как не нужно писать Telegram-ботов

DANO — олимпиада по анализу данных, одним из организатором которой является Т-Банк Образование. Незадолго до объявления списка финалистов я нашёл бота, который предназначался для этого финала — @team_DANO_bot. Из функций — сбор команды, загрузка документов и гипотезы для исследования

Очевидно, что к боту должны иметь доступ только финалисты, поэтому в нём стояла аутентификация — бот просит нажать на кнопку и отправить свой контакт с номером телефона. Отправляемый контакт выглядит так же, как и любой другой контакт, которым можно поделиться, поэтому можно отправить не свой контакт, а любого другого пользователя — бот увидит не ваш номер, а чужой. От этого легко защититься — нужно проверять, что контакт действительно принадлежит тому пользователю, который его отправил.

Я попробовал отправить контакт с номером телефона одного из организаторов, и это сработало (рис. 1). На этот момент я не только получил несанкционированный доступ к боту, но и мог войти от имени любого участника, номер телефона которого я знаю.

Изучая функционал бота, я нашел выбор участников для добавления в команду. Он реализован через inline-кнопки, у которых есть callback data — а-ля ID кнопки, которое устанавливает сам бот. Важно: callback data может прочитать пользователь. Автор бота решил хранить там не ID пользователя, а его номер телефона (рис. 2) — получается, что я имею доступ ко всем номерам телефонов, а вкупе с предыдущем абзацем могу зайти от имени любого человека. Этого уже хватало, чтобы наложить крест на безопасности бота.

Также я заметил, что проверка ограничений в диалогах из нескольких сообщений выполнялась не в конце диалога, а в начале, из-за чего открывался интересный спектр багов — удаление бывшего участника-жертвы команды атакующего из любой другой (видео 3), добавление более 5 участников в команду и так далее.

Я сообщал о всех проблемах по мере их обнаружения, из-за чего организаторы в целом отказались от исправления ошибок и использования этого бота на олимпиаде.

Это не первый случай, когда у проектов Т-Образования появлялись бреши в безопасности. На фестивале See You от Центрального университета (IT-вуза Т-Банка) был бот с применением Web Apps, где отсутствовала валидация ID пользователя => я собрал список из 150 пользователей и потенциально мог получить доступ к их ЛК внутри бота. А 5 июня (момент ребрендинга Тинькоффа в Т-Банк) во время смены юзернеймов у Telegram-каналов их владельцы забыли закрепить за собой старые юзернеймы, из-за чего в руки третьих лиц попали @tinkoff_fintech, @tinkoff_invest_official, @tinkoff_career и другие, раньше принадлежавшие Т-Банку.

🥴 IT-компании получили письма, Google и прочие сервисы перестанут работать?

Очередной бред.

На рис. 1 — скриншот из Интранета (формально NDA), который добрые сотрудники VK передали СМИ. В нём говорится о плановых действиях VK Team — нейтрализуем риски, которые несут в себе зарубежные сервисы (помните Docker Hub?). Что немаловажно — упомянули дату 12 сентября.

Ровно 3 месяца назад от этой даты появился другой громкий заголовок, под которым скрывались санкции на поставку уж очень узкого списка ПО. Конкретно — по управлению предприятиями (заводами).

Вот именно про это ограничение и идёт речь в данном посте. Я более чем уверен, что никаких мифических коммуникаций для VK не происходило — разве что могли напомнить о запрете, который приняли пару месяцев назад.

А стиль журналистов — сочетать отсутствие фактчекинга и громкие заголовки, e.g. "В России скоро перестанут работать сервисы Google, Figma и многие другие", прикрепляя скриншот как некое "письмо для компаний".

💬 Скайлайт: офис VK

Продолжаю обзор офисов бигтеха — на очереди компания со слоганом "место встречи". Здесь много схожего с офисом Тинькофф — два здания, скоростные лифты, опенспейс. Но есть то, что зацепило внимание

1️⃣ Фреш-бар — то, что показывают на всех экскурсиях. Можно выпить свежевыжатого сока из апельсина, яблока или сделать смузи с другим набором ингредиентов. Находится он на 3 этаже около перехода между башнями

2️⃣ Что это за башни такие? Их две, внутри их называют просто башня А и башня Б. В первой из них VK занимает все этажи, во второй — часть
Переходы между башнями находятся на 3 и 22 этаже. Последний показывают на экскурсиях — с него открываются самые красивые виды. А ещё на нём можно менять подсветку через бота

3️⃣ Интранет — корпоративная соцсеть, в которую заходят более 50% сотрудников ежедневно. Здесь можно что-то выложить в свой блог, предложить идею или связаться с любым из сотрудников. Через него проходит авторизация во внутренних сервисах — Jira, Confluence, GitLab и далее по списку

4️⃣ Ромашками называют группы рабочих мест, которые стоят рядом. 8-10 штук на ромашку, 10-12 ромашек на этаж. Удалёнщики и сотрудники на гибриде могут забронировать себе место в коворкинге — и работать там хоть круглые сутки

5️⃣ Компенсация на питание — 800 рублей в день в любом месте в здании, а так же в некоторых кафе рядом с офисом. Этих денег хватает на 2-3 неплохих приёма пищи в столовой. Кофе, чай, снеки, фрукты — на любом этаже в кофепоинтах, и, разумеется, бесплатно. После 17 там же появляется полдник, а по пятницам можно найти пиццу 🍕

6️⃣ Есть внутренняя валюта, коинами именуемая. Получают за разные действия: сдать кровь, написать попавший в топ дня пост, контрибьютить в OSM и тому подобное. Можно и купить у спекулянтов, курс держится на уровне 1:18. Тратят их, в том числе, на мерч — например, кот Персик стоит 90 коинов

7️⃣ Вход по биометрии. Здесь он тоже есть, но не везде — в отличие от Tinkoff Space, только на турникетах башни А и на совсем маленьком количестве дверей

🏦 Офис Tinkoff на Белорусской

Побывать мне в нём удалось пару раз — в первый день олимпиады PROD и на выпускном Тинькофф Поколения. Это действительно целый город в одном здании

1️⃣ Первый этаж — "приветственный". На нём только ресепшен и турникеты, а так же кафе, которое не работало

2️⃣ На втором проводятся различные мероприятия: конференции, олимпиады, тот же выпускной. Там находится несколько актовых залов и куча переговорок. В общем случае с него не получится пройти к лифтам и к остальным этажам, если у тебя нет пропуска

3️⃣ Гораздо интереснее четвёртый — спортивный. Здесь есть всё: тренажёрный зал на треть этажа, залы для йоги, раздевалки (две, конечно), т.н. "велокомната" под 10-15 человек, даже ринг. Можно заниматься с тренером, причём стоить он будет дешевле

4️⃣ 5-12 этажи отдали сотрудникам. У каждого этажа своя планировка, но у всех есть общие элементы. Например, главная кухня и несколько поменьше, большой опен-спейс, отдельные переговорки, места для отдыха. На каждом этаже — примерно по 3 отдела
Есть "коробки" (без понятия, как их называют) для созвонов с очень сильной шумоизоляцией, в которые можно зайти и, собственно, изолироваться — не слышно будет ни тебя, ни других

5️⃣ А ещё есть капсулы для сна. Здесь действительно можно жить — есть и кухня, и место для работы, и тренировок, и чил-зоны, даже планируют открыть "Дом быта". Офис, конечно же, работает круглосуточно

6️⃣ Отдельно стоит упомянуть лифты. Их 8, с нумерацией от A до H. Находясь на этаже, нужно выбрать на экране, куда хочешь приехать, и система сама подберёт нужный тебе лифт и отправит его к тебе. В каждом из них помещается до 20-25 человек, однако, по словам очевидцев, это не спасает от их переполнения по утрам _)

7️⃣ 13 этаж — выход на террасу. Здесь же проходит другая часть мероприятий, как, к примеру, Yellow Party для выпускников 11 классов. За счёт ветра там можно находиться даже в +25 (хотя под кондёром, безусловно, приятнее)

8️⃣ В шаговой доступности находится Белорусский вокзал. А буквально с любого этажа открываются виды на его ЖД-пути, в том числе и с террасы, где можно позалипать на поезда МЦД

9️⃣ Практически везде, где требуется авторизация по карте для прохода, можно так же войти по лицу. Даже в локерах (т.н. комнаты хранения). А на турникетах при входе в офис — тем более