CRA (Cyber Resilience Act) - rewolucja w produktach konsumenckich i nie tylko

[GordonLameman 10 322]

Godzinę temu, Bono_UG napisał(a):

Będzie się dało jak prawnicy przestaną robić dziurawe prawo  

Prawo tworzą Sejm, Senat, Ministerstwa  

Godzinę temu, Bono_UG napisał(a):

A bardziej serio, to obecne systemy są na tyle skomplikowane, że nie da się wyeliminować wszystkich zagrożeń i nie jest to lenistwo, tylko skala złożoności oprogramowania i sprzętu. Tu też dochodzi kwestia kto byłby skłonny płacić np. za system operacyjny 10k, kilka stów za przeglądarkę internetową itd.

Ech gdyby tylko informatycy nie byli przepłacani...  

Godzinę temu, Bono_UG napisał(a):

 

Pomyśl że musiałbyś przeprowadzić analizę każdego artykułu, każdej ustawy i rozporządzenia, z każdym artykułem, każdej ustawy i rozporządzenia, żeby sprawdzić każdą możliwą interpretację prawa, interakcji między przepisami, a potem tak to przepisać, żeby nie można było w żaden sposób inaczej zinterpretować niż było w intencji prawodawcy, żeby każdy jeden możliwy przypadek był określony.

Zaczynasz łapać skalę problemu?

No w zasadzie tak działa prawo. Np. moja kancelaria (mój zespół) jest w stanie przedstawić analizę każdego artykułu, bo każdy z nas się tego uczył.  
Przy kodzie jest dużo łatwiej, bo nie ma "interpretacji" tzn. każdy znak ma ustalone znaczenie, więc da się być precyzyjnym. W prawie trudniej, bo język ma swoje słabości. 

 

Godzinę temu, Bono_UG napisał(a):

No to jeszcze kwestia jak jest definiowane cyberzagrożenie.

"Każde potencjalne zdarzenie, działanie lub przypadek, który może spowodować szkodę, zakłócenie lub w inny sposób negatywnie wpłynąć na sieci i systemy informatyczne, użytkowników takich systemów lub inne osob"

Godzinę temu, Bono_UG napisał(a):

Bo fizyka.
Każde urządzenie elektryczne, elektroniczne sieje zakłócenia elektromagnetyczne. Jak masz wiedzę, odpowiedni sprzęt, to wpinając się w uziemienie budynku możesz (upraszczając) podglądać co ludzie robią na komputerach.

Eliminacja takich zagrożeń, to konieczność drogiego ekranowania, separacji galwanicznej sieci energetycznej itp. To domena systemów do przetwarzania informacji niejawnej, a nie konsumenckich.

 

Tak czy inaczej możesz wydać 100k na sprzęt, infrastrukturę i oprogramowanie laptopa, a i tak popłyniesz bo złapiesz się na socjotechnikę.

 

MOim zdaniem tego typu zakłóćenia elektromagnetyczne są poza zakresem CRA. Nie ma tu elementu cyfrowego i nie o tkaie podatności chodzi.

Generalnie chodzi o to, aby soft nie był bublem. A wiemy, że często jest.  

[Bono_UG]

W dniu 20.10.2026 o 08:42, GordonLameman napisał(a):

Prawo tworzą Sejm, Senat, Ministerstwa

Przy pomocy sztabu ludzi, w tym prawników. Przecież to nie posłowie i nie ministrowie własnoręcznie, tylko ich zaplecze.

W dniu 20.10.2026 o 08:42, GordonLameman napisał(a):

Ech gdyby tylko informatycy nie byli przepłacani...  

Taa, bo prawnicy, to wcale nie są przepłacani 

W dniu 20.10.2026 o 08:42, GordonLameman napisał(a):

No w zasadzie tak działa prawo. Np. moja kancelaria (mój zespół) jest w stanie przedstawić analizę każdego artykułu, bo każdy z nas się tego uczył.  
Przy kodzie jest dużo łatwiej, bo nie ma "interpretacji" tzn. każdy znak ma ustalone znaczenie, więc da się być precyzyjnym. W prawie trudniej, bo język ma swoje słabości.

Jedna kancelaria, zespół powie tak, druga śmak. Przeanalizować kod też można i z dużą dokładnością powiedzieć co robi.

Ale spróbuj napisać takie prawo, co nie będzie miało dziur, które opisze wszelkie możliwe przypadki, bo tego właśnie się domagasz od programistów.

 

Oczywiście, że program interpretuje, bo nie operuje wyłącznie sztywnymi instrukcjami (analog słów w języku) ale przede wszystkim na danych które przetwarza, to one w tych instrukcjach są interpretowane i na ich podstawie decyduje się co dalej wykonać. I nie są to proste dane typu zwykłe liczby, nieraz to złożone struktury, które niosą dość rozbudowaną abstrakcję, której na poziomie kodu nie widać.

W dniu 20.10.2026 o 08:42, GordonLameman napisał(a):

MOim zdaniem tego typu zakłóćenia elektromagnetyczne są poza zakresem CRA. Nie ma tu elementu cyfrowego i nie o tkaie podatności chodzi.

Kwestia interpretacji. Podsłuchanie klawiatury prowadzi do ujawnienia np. hasła. Możliwość wstrzyknięcia z zewnątrz sygnału np. przejmuje kontrolę nad sterowaniem oświetlenia w domu.

Takie działania jak najbardziej mieszczą się w definicji, czyli wpływają negatywnie na sieć teleinformacyjną, ich użytkowników itp.

W dniu 20.10.2026 o 08:42, GordonLameman napisał(a):

Generalnie chodzi o to, aby soft nie był bublem. A wiemy, że często jest.  

Między oprogramowaniem używalnym, sprawnym, a pozbawionym wszelkich luk jest ogromna różnica.

I jak dociśnięcie wydawców, żeby lepiej dbali o to co wypuszczają ma sens, tak zupełne pozbawienie błędów jest nierealne i bardzo kosztowne.

Edytowane Środa o 14:47 przez Bono_UG
coś za szybko się wysłało...

[GordonLameman]

1 godzinę temu, Bono_UG napisał(a):

Przy pomocy sztabu ludzi, w tym prawników. Przecież to nie posłowie i nie ministrowie własnoręcznie, tylko ich zaplecze.

Ich zaplecze to stażyści. Nawet w ministerstwach stażyści projektują ustawy  
 

1 godzinę temu, Bono_UG napisał(a):

Taa, bo prawnicy, to wcale nie są przepłacani 

ja uważam, że jestem niedopłacany  

1 godzinę temu, Bono_UG napisał(a):

Jedna kancelaria, zespół powie tak, druga śmak. Przeanalizować kod też można i z dużą dokładnością powiedzieć co robi.

Ale spróbuj napisać takie prawo, co nie będzie miało dziur, które opisze wszelkie możliwe przypadki, bo tego właśnie się domagasz od programistów.

Bez problemu - jeśli będziemy działać na zamkniętym języku, a nie na żywym języku mieszającym język profesjonalny z potocznym. Programiści mają zamknięty język i nie dają rady  
 

1 godzinę temu, Bono_UG napisał(a):

 

Oczywiście, że program interpretuje, bo nie operuje wyłącznie sztywnymi instrukcjami (analog słów w języku) ale przede wszystkim na danych które przetwarza, to one w tych instrukcjach są interpretowane i na ich podstawie decyduje się co dalej wykonać. I nie są to proste dane typu zwykłe liczby, nieraz to złożone struktury, które niosą dość rozbudowaną abstrakcję, której na poziomie kodu nie widać.

Weź  

programowałem przed studiami prawniczymi  
 

1 godzinę temu, Bono_UG napisał(a):

Kwestia interpretacji. Podsłuchanie klawiatury prowadzi do ujawnienia np. hasła. Możliwość wstrzyknięcia z zewnątrz sygnału np. przejmuje kontrolę nad sterowaniem oświetlenia w domu.

Takie działania jak najbardziej mieszczą się w definicji, czyli wpływają negatywnie na sieć teleinformacyjną, ich użytkowników itp.

Mój, to będziecie mieli więcej pracy!  
 

1 godzinę temu, Bono_UG napisał(a):

Między oprogramowaniem używalnym, sprawnym, a pozbawionym wszelkich luk jest ogromna różnica.

I jak dociśnięcie wydawców, żeby lepiej dbali o to co wypuszczają ma sens, tak zupełne pozbawienie błędów jest nierealne i bardzo kosztowne.

Nie róbcie błędów. Czemu mamy ciągle kupować dziurawe oprogramowanie? I jeszcze płacić za łaskawe łatki bezpieczeństwa. Kpina  

[Bono_UG]

19 godzin temu, GordonLameman napisał(a):

Weź  

programowałem przed studiami prawniczymi  

Hello world? 

19 godzin temu, GordonLameman napisał(a):

Programiści mają zamknięty język i nie dają rady

To wyraźnie pokazuje, że nie rozumiesz w czym rzecz.

Język sam w sobie ma zamknięty zbiór "słów" ale kombinacja ich w zdania daje nieograniczone możliwości. Możesz mieć identyczny kod ale w zależności od kontekstu jego użycia, operacji na innych danych, ma zupełnie inne znaczenie i działanie.

 

Nie wiem też co do końca rozumiesz przez język zamknięty, zwłaszcza że zestawiasz, go z żywym. Należy to rozumieć jako język martwy?

Jeżeli tak, to łacina też jest martwym, a jednak ma te same właściwości otwartości interpretacji, jak każdy inny. Leksykalnie popularne języki programowania nie są martwe, co i raz wychodzą nowe wersje, z nowymi elementami składni, z wycofaniem starych.

 

Trzeba jednak trochę więcej posiedzieć w programowaniu, żeby zauważyć pewne rzeczy, doświadczyć wywalenia się na pysk i nabrać pokory, że zawsze się jakaś dziura znajdzie.

19 godzin temu, GordonLameman napisał(a):

Nie róbcie błędów. Czemu mamy ciągle kupować dziurawe oprogramowanie? I jeszcze płacić za łaskawe łatki bezpieczeństwa. Kpina

No to powtarzam pytanie, czy jesteś skłonny płacić do prywatnego użytku system operacyjny za 10k, czy jesteś skłonny płacić za przeglądarkę internetową?

Czy jesteś skłonny poświęcić wydajność, czekać np. z otwarciem strony kilkanaście sekund, żeby wszelkie zabezpieczenia się przemieliły?

[GordonLameman]

32 minuty temu, Bono_UG napisał(a):

Hello world? 

C++ i PHP  

32 minuty temu, Bono_UG napisał(a):

To wyraźnie pokazuje, że nie rozumiesz w czym rzecz.

Język sam w sobie ma zamknięty zbiór "słów" ale kombinacja ich w zdania daje nieograniczone możliwości. Możesz mieć identyczny kod ale w zależności od kontekstu jego użycia, operacji na innych danych, ma zupełnie inne znaczenie i działanie.

W świecie prawniczym mamy to + niepewność języka, dynamikę języka etc.  

 

32 minuty temu, Bono_UG napisał(a):

Nie wiem też co do końca rozumiesz przez język zamknięty, zwłaszcza że zestawiasz, go z żywym. Należy to rozumieć jako język martwy?

Jeżeli tak, to łacina też jest martwym, a jednak ma te same właściwości otwartości interpretacji, jak każdy inny. Leksykalnie popularne języki programowania nie są martwe, co i raz wychodzą nowe wersje, z nowymi elementami składni, z wycofaniem starych.

Język żywy, czyli taki który ewoluuje. Znaczenie słów się zmienia. Ono może być różne w zależności od regionu  
W programowaniu znaczenie słowa jest takie samo, różna może być interakcja, ale tych interakcji i tak jest mniej niż w świecie prawniczym  

 

32 minuty temu, Bono_UG napisał(a):

 

Trzeba jednak trochę więcej posiedzieć w programowaniu, żeby zauważyć pewne rzeczy, doświadczyć wywalenia się na pysk i nabrać pokory, że zawsze się jakaś dziura znajdzie.

Zgadzam się! Programiści zdecydowanie potrzebują pokory  

 

32 minuty temu, Bono_UG napisał(a):

No to powtarzam pytanie, czy jesteś skłonny płacić do prywatnego użytku system operacyjny za 10k, czy jesteś skłonny płacić za przeglądarkę internetową?

Tyle to nie. Jak programiści zaczną dobrze wykonywać zadania w założonym czasie, za który im płacą to powinno być OK  

 

32 minuty temu, Bono_UG napisał(a):

Czy jesteś skłonny poświęcić wydajność, czekać np. z otwarciem strony kilkanaście sekund, żeby wszelkie zabezpieczenia się przemieliły?

ZScaler już tak działa  

[Bono_UG]

20 minut temu, GordonLameman napisał(a):

Język żywy, czyli taki który ewoluuje. Znaczenie słów się zmienia. Ono może być różne w zależności od regionu  
W programowaniu znaczenie słowa jest takie samo, różna może być interakcja, ale tych interakcji i tak jest mniej niż w świecie prawniczym  

Jak dawno tego c++ liznąłeś, 20 lat temu?
Już C++11 wprowadza wiele zmian, a co dopiero kolejne wersje z jeszcze bardziej abstrakcyjnymi konstrukcjami.

 

Nie jest i to z wielu względów.
W językach skryptowych, interpretowanych zwykły operator sumy inaczej działa w zależności od kontekstu. Dla liczb wykona standardową sumę, dla napisów połączy je. A jak z jednej strony ma liczbę, a z drugiej napis? Pewnie w zależności od kolejności w kodzie, kierunku jego interpretacji, w jedną zrobi liczbę, w drugą napis.
Języki obiektowe podobnie, bo operatory można przeciążać i w zależności od typu zmiennych (klas obiektów) operacja może być zwykłą sumą liczb, połączeniem napisów, skomplikowaną operacją łączenia rekordów bazy danych, a jak ktoś sobie wymyśli, to zestawieniem połączenia sieciowego, a jak ktoś kreatywny, to zamierzony restart aplikacji  

Jeden wyraz "+" a tyle różnych znaczeń i implikacji.

 

Dochodzi jeszcze warstwa kompilacji, tłumaczenia kodu źródłowego na maszynowy. Ten sam zestaw słów może zostać inaczej przetłumaczony na inny zestaw słów, w zależności od wersji kompilatora (interpretatora dla skryptowych), załączonych flag optymalizacji, kontekstu w jakim te słowa się znajdują itp.

Jak chcesz jeszcze bardziej zakręcone rzeczy, to masz całą masę układów fpga, czyli uniwersalne układy scalone, które programujesz. W zależności od oprogramowania kompilującego, ten sam kod może dać inny wynik ułożenia elementów w układzie, bo algorytmy optymalizacyjne nie są w pełni deterministyczne (taka ich natura).

 

Zatem twierdzenie, że języki programowania są w jakiś sposób martwe, zamknięte, niepodlegające interpretacji, to w zasadzie bzdura.

39 minut temu, GordonLameman napisał(a):

Tyle to nie. Jak programiści zaczną dobrze wykonywać zadania w założonym czasie, za który im płacą to powinno być OK  

Ale zdajesz sobie sprawę, że czas rozdaje menadżer z tabelką, a nie inżynier? Co z tego, że programista mógłby zrobić lepiej jak nie daje mu się na to czasu i zasobów?

Przecież wiele błędów wychodzących w świat, to popędzanie, pomijanie etapu testów itp. byle było taniej i szybciej. W tym prawników układających licencje na oprogramowanie i szacujący czy firmie ujdą na sucho takie wpadki  

[GordonLameman]

37 minut temu, Bono_UG napisał(a):

Jak dawno tego c++ liznąłeś, 20 lat temu?
Już C++11 wprowadza wiele zmian, a co dopiero kolejne wersje z jeszcze bardziej abstrakcyjnymi konstrukcjami.

20-23 lata temu  

 

37 minut temu, Bono_UG napisał(a):

 

Nie jest i to z wielu względów.
W językach skryptowych, interpretowanych zwykły operator sumy inaczej działa w zależności od kontekstu. Dla liczb wykona standardową sumę, dla napisów połączy je. A jak z jednej strony ma liczbę, a z drugiej napis? Pewnie w zależności od kolejności w kodzie, kierunku jego interpretacji, w jedną zrobi liczbę, w drugą napis.
Języki obiektowe podobnie, bo operatory można przeciążać i w zależności od typu zmiennych (klas obiektów) operacja może być zwykłą sumą liczb, połączeniem napisów, skomplikowaną operacją łączenia rekordów bazy danych, a jak ktoś sobie wymyśli, to zestawieniem połączenia sieciowego, a jak ktoś kreatywny, to zamierzony restart aplikacji  

Jeden wyraz "+" a tyle różnych znaczeń i implikacji.

 

Dochodzi jeszcze warstwa kompilacji, tłumaczenia kodu źródłowego na maszynowy. Ten sam zestaw słów może zostać inaczej przetłumaczony na inny zestaw słów, w zależności od wersji kompilatora (interpretatora dla skryptowych), załączonych flag optymalizacji, kontekstu w jakim te słowa się znajdują itp.

Jak chcesz jeszcze bardziej zakręcone rzeczy, to masz całą masę układów fpga, czyli uniwersalne układy scalone, które programujesz. W zależności od oprogramowania kompilującego, ten sam kod może dać inny wynik ułożenia elementów w układzie, bo algorytmy optymalizacyjne nie są w pełni deterministyczne (taka ich natura).

 

Zatem twierdzenie, że języki programowania są w jakiś sposób martwe, zamknięte, niepodlegające interpretacji, to w zasadzie bzdura.

Ok, liczba zmiennych jest duża, ale wciąż skończona. 

Ja tylko chciałem napisać jedno: prawnicy >>>>>> programiści  

 

37 minut temu, Bono_UG napisał(a):

Ale zdajesz sobie sprawę, że czas rozdaje menadżer z tabelką, a nie inżynier? Co z tego, że programista mógłby zrobić lepiej jak nie daje mu się na to czasu i zasobów?

Przecież wiele błędów wychodzących w świat, to popędzanie, pomijanie etapu testów itp. byle było taniej i szybciej. W tym prawników układających licencje na oprogramowanie i szacujący czy firmie ujdą na sucho takie wpadki  

Oj wiem, wiem. 

Ale masz też wielu programistów, którzy zapuszczą Claude Code i idą na cały dzień pzoa kompa.  
 

[Bono_UG]

18 minut temu, GordonLameman napisał(a):

Ok, liczba zmiennych jest duża, ale wciąż skończona. 

Nawet jak jest skończona, to na tyle duża, że równoznaczna z nieskończoną.

19 minut temu, GordonLameman napisał(a):

Ja tylko chciałem napisać jedno: prawnicy >>>>>> programiści

Ok, to wyłącz komputer i zobaczymy jak będzie się pracować  

20 minut temu, GordonLameman napisał(a):

Ale masz też wielu programistów, którzy zapuszczą Claude Code i idą na cały dzień pzoa kompa.  

SI to tylko narzędzie, kwestia jak się go użyje.

Tak samo można powiedzieć, że języki wysokiego poziomu to nie prawdziwe programowanie, bo kompilator/interpreter robi masę rzeczy za programistę.

Nawet bardzo niskie zejście do assemblera można uznać, że brak kompetencji, bo to nie łączenie bramek logicznych kabelkami.

 

Wiesz, zdarza mi się zapuszczać skrypty wywołujące symulacje i zbierające statystyki, przetwarzające dane wynikowe. To znaczy, że nie pracuję?

Sam się chwaliłeś jak to fajnie SI ci robiło jakieś zestawienia, to znaczy że stałeś się kiepskim prawnikiem?

Przecież w obu przypadkach to automatyzacja pracy, wykonanie żmudnej, nudnej roboty w tle (np. symulacje puszczane w nocy, na weekend), a potem realna kreatywna na podstawie wyników.

 

Te ostatnie podatności PHP, to zdaje się, że znaleźli przy pomocy SI