bardóczi ákos @post.r

Igen, jól olvasod, ennyire ügyesen sikerült implementálni a kétlépcsős hitelesítést és valószínűtlen, hogy elsőként vettem észre.

Nem clickbait, azzal kapcsolatban meg mindenkit megnyugtatok, hogy nem arról fogok írni már megint, hogy miért necc az, hogy egy Google/Gmail-heroinista világban élünk.

Aki bekapcsolta a Google Accountján ennek a remek, überbiztonságos rendszernek a beállításai közt a kétlépcsős hitelesítést annak ugye ún. alkalmazásjelszavakat kell létrehoznia, ha például levelezőklienssel is használná a Gmail-t, mivel értelemszerűen a kliensprogram nem tudja pár percenként elvégezni a 2-FA-t magától.

Elvben az alkalmazásjelszavakban pont az a szép, hogy nem kell a felhasználónak fejben tartania, így egyszer kell kopipésztelni a megfelelő helyre és kész, kilopni legfeljebb egy hülyén programozott alkalmazásból lehet, amiben meg lett adva.

Na már most normális ésszel az ember azt gondolná, hogy abban az esetben, ha a felhasználó a 2-FA-t kikapcsolja, akkor az összes alkalmazásjelszó semmissé válik, így például a levelezőkliesen keresztül a levelek csak a fő jelszó beírásával lesznek elérhetőek. Van egy nagyon szar hírem a Google fanoknak: a korábban létrehozott alkalmazásjelszavak nemhogy érvényüket vesztenék, hanem továbbra biztosítják a hozzáférést a fiók adott szolgáltatásához, legalábbis az IMAP4 esetén biztos, Google Drive és a többi esetén valószínűleg, a hasonló  azonosítási séma miatt. Nem, nem ideig-óráig működik, egy érintett fiók több, mint egy hónapja elérhető az elvben már nem létező alkalmazásjelszó használatával úgy - most figyelj! - hogy a fiók fő jelszava is meg lett változtatva. Még az is full mindegy, hogy OAuth2-vel vagy sima, ugyan titkosított csatornán átküldött jelszóval jelentkezik fel a kukkoló alkalmazás!

Mit jelent ez a gyakorlatban? Tételezzük fel, hogy a támadó a célpont gépéhez ül, amíg nincs ott, majd generál egy alkalmazásjelszót olyan névvel, ami még akkor sem lesz feltűnő, ha a Google kényszeríti az érintett felhasználót a security checkup végigjátszására, az app password leírása lehet mondjuk "Gmail", "Mail", "iPhone" vagy hasonló, a megtámadott felhasználónak miért lenne gyanus? A támadó az alkalmazásjelszót feljegyzi. Az alkalmazásjelszóval a támadó belép egy levelezőklienssel, majd IMAP4-en keresztül tokkal-vonóval olvashatja a célpont postafiókjának tartalmát. A Google vagy küld figyelmeztetést az érintett felhasználónak, hogy bejelentkezett valaki mondjuk egy japán VPN-en keresztül, ami igencsak anomáliaszerű, ha a felhasználó sosem használ VPN-t és korábban még csak nem is járt Japánban. Viszont vegyük észre, hogy éppen azért, mert levelezésről van szó, a támadó ezt a levelet simán tudja törölni, mielőtt a felhasználó el tudná olvasni a biztonsági figyelmeztetést!

Tehát ha a felhasználó valamilyen okból kikapcsolja a 2-FA-t, de előtte nem vonja vissza az alkalmazásjelszavak érvényességét, teljesen logikusan arra gondolva, hogy azok ilyen módon érvényüket vesztik, valójában erről szó sincs. Egy korábban beállítva maradt fiókhoz a levelezőprogram úgy fér hozzá máig, hogy az érintett fiókon a 2-FA-t 2018. február elején ki lett kapcsolva, a fő jelszó pedig át lett írva!

A támadó vagy úgy felejtett alkalmazás csak akkor veszti el a hozzáférést az érintett postafiókjához, ha az érintett fiók tulajdonosa ismét bekapcsolja a 2-FA-t, egyébként meg gusztus szerint úgy tesztelheti a hibát, rosszabb esetben pedig kukkolhat, ahogy csak akar.

Az abnormális működést 2018. március 5-én, azaz ma 10:13-kor sikerült reprodukálni egy teszt fiókkal, ugyan nem csináltam sem TCPdumpot, sem HAR-t, mert jobb dolgom is van, aki ráér, annak szabad a pálya.

Hogy ez most bug vagy kényelmi feature,  na, azt nem tudom, ahogy azt sem teszteltem, hogy a Google mára kőkeményen fizetős, vállalati verziója, a G Suite is érintett-e benne, de valószínűleg igen.

Legegyszerűbb bugfix: ne használd azt a szart, legfeljebb spamszűrésre, azaz olyan beállítással, hogy a beérkező leveleket azonnal forwardolja is normális helyre és végleg törölje.

Áldásos lenne, ha ahelyett, hogy a felhasználók leginkább veszélyeztetett néhány ezrelékét nem riogatnák azzal, hogy kormányzati támadást észleltek, ezért változtassanak jelszót és költözzenek le a pincébe, bármiféle indoklás nélkül, hogy miből következtetett erre a rendszer.

Valamint a felhasználók ugyanezen veszélyeztetett csoportjára nem akarnák rátukmálni pusztán a biztonságérzetet növelő, de legalább jó drága baromságokat az Advanced Protection Program keretében, hanem a mezei Gmail-fiók úgy működne, ahogy az amúgy logikusan elvárható. Az én, eredetileg még googlemail.com végződéssel, 2004-2005. körül USA-ból kapott meghívóval létrehozott fiókom pedig csak azért is marad amolyan bóvli kis emlékként.

Nemrég olvastam Steven D'Souza és Diana Renner A nemtudás című könyvét, ami nem a legjobb, amit valaha olvastam a témában, viszont az egyik legolvasmányosabb, az biztos. Egy könyv, az egyéni- és közösségi nemtudás természetéről, annak fennmaradásáról és lehetséges hatásairól. Az ún. tudás alapú társadalomban hagyományosan a tudásra helyezzük a hangsúlyt, gyakorlatilag úgy, hogy egyáltalán nem foglalkozunk a nemtudással, ami ettől még ugyanúgy hat a világ alakulására és a természete miatt igenis indokolt lenne külön foglalkozni vele a gyakorlatban is. 

Korábban olvastam, hogy a közgazdaságtudományban míg nagyon régen a vagyonosodás és a gazdagság volt a vezető kutatási topik, már jónéhány évtizede sokkal inkább van fókuszban a szegénység, mivel a fejlett világban az lett határozottan ritkább és érdekesebb a közgazdászok és szociológusok számára. A cikkben a szerző hosszan és persze hivatkozásokkal bőségesen érvel mindemellett. Párhuzamba állítva az előbb bedobott témával, mivel a tudás jóval nagyobb ritkaság, mint a nemtudás - mindjárt differenciálom a kettő fogalmát - egy olyan korban, ahol az információnak nagyobb mozgató ereje van, mint korábban bármikor, nem csoda, hogy a tudományos- és kocsmafilozófiai színtéren egyaránt gyakoribb a tudásról és ehhez kapcsolódó összefüggésekről diskurzusokat folytatni. És közben nem vesszük észre, hogy a nemtudás, na meg az információ hiánya legalább ekkora nyomatékkal bír - csak éppen sokkal bonyolultabbá tenné az ezzel kapcsolatos modelleket, azt pedig igazolták, hogy a bonyolultabb modelleket, mi több, több matematikai képtelet tartalmazó tudományos publikációt a hasonló minőségükhöz képest nemhogy kevesebben hivatkoznak, de még kevesebben is olvasnak el! 

Mielőtt elárulnám, hogy mi is a nemtudás, még egy kis kitérő. Néhány évvel ezelőtt Aczél Balázs és az ELTE Pszichológiai Intézetének kutatói világviszonylatban is tekintélyes eredményeket tettek le az asztalra az emberi hülyeség kutatásáról. Amilyen elsőre nem tűnik eleminek, hogy a hülyeség magatartástudományi értelemben nem azonos például az ostobasággal, intelligencia hiányával, amiknek a meghatározása szintén nem bombabiztos. Röviden az emberi hülyeség, amikor valaki vagy valakik, függetlenül attól, hogy általában hogyan viselkednek, adott szituációban egy probléma megoldására valamilyen maladaptív viselkedés mellett döntenek. Emellett irányadó még Carlo M. Cipolla 1970-es években megjelent esszéje, amiben lefektette az öt hülyeség-kritériumot. 

Ami a nemtudást illeti, nemhogy legjobb definíciót nem találtam rá, de néhány mondatban szemléletesen közelíteni sem egyszerű. Viszont a D'Souza és Renner szerint az, ha jól értelmeztem, amikor egyénileg vagy közösségben az ember úgy hoz döntést, hogy teljesen figyelmen kívül hagy tényszerű információkat, az azok közti kauzalitást, gyakrabban nem figyelmen kívül hagy, hanem nem is tudja, hogy mit kellene számításba venni és aszerint dönt. 

Ami az IT döntéshozó szempontjából érdekes lehet, egy a könyvben az USA egy korábbi védelmi miniszterétől származó idézet: 

"Vannak ismeretlen ismert tényezők: ezekről tudjuk, hogy ismerjük őket. Vannak ismeretlen ismeretlen tényezők, amelyekről jelenleg annyit tudunk, hogy nem ismertek. Léteznek azonban nem ismeretlen ismeretlen tényezők is, olyanok, amelyekről nem tudjuk, hogy nem ismerjük őket. " 

Anélkül, hogy belefolynék, hogy szerintem a legkülönbözőbb területeken miért kell szinte kényszeresen is mondani valamit olyannal kapcsolatban, amivel kapcsolatban még nem szabadna elegendő információ híján, tény, hogy például a szebbnél szebb nevű ICT elemző szervezetek és persze iparági szereplők rendszeresen kijönnek a saját, következő évre, öt évre vagy tíz évre vonatkozó jóslataikkal, amiknek rendszerint legalább a fele hajmeresztő-labilis megállapítás, mivel annyi bizonytalansági tényező van, amivel nem lehet számolni, hogy nettó szócséplés magabiztosnak tűnő predikciót mondani róla. 

Egy kedvencet azért idéznék szöveghűen, "Béla" FB-faláról: 

"Mint minden valamirevaló szakértő, én is a jövőbe látok. Következzenek tehát 2016-os jóslataim:

- Világszinten 50%-kal több cyber - a hazai kiber átlagon felüli növekedést produkál*.

- A lejárt szavatosságú szignatúra motorok átcimkézésének piaca tovább bővül.

- 2016-ban is Kína volt az!

- Az év folyamán 3-4 új buzzword megjelenése várható.

- Az év folyamán 30.000-40.000 <buzzword> szakértő megjelenése várható.

- A nyilvánosságra került incidenseket Kifinomult Támadók fogják elkövetni (ha marad idejük a matekházi mellett).

- A XOR kódolás továbbra is az ipar legfőbb megoldatlan problémája marad.

- További ártatlan Twitter fiókok fognak a kiberháború áldozatául esni.

- 2016-ban sem lesz jó ötlet chip-et tenni bele. De bele fogják tenni.

- A security appliance-ek piacát felforgatja a kéken villogó LED-ek megjelenése.

+1 Az IT-előrejelzések területén ugrásszerű növekedés várható Q4-ben.

(* A Gartner adatai alapján.)"  

2015. december 22 

Hogy konkrétan melyik jóslatra válaszként érkezett, nem világos, de érkezhetett volna bármelyikre, ha az egyik elemző vagy piaci játékos közzétesz egy magabiztos elemzést, a másik nem teheti meg, hogy ne tegyen közzé szintén. Miért? Igen, azért, hogy nem tűnjön hülyének a másik mellett, a másik pedig nyilván az a fajta komformizmus és normakövetés, ami hatalmas üzleti szereplők esetén is érvényesül, nem csak egyéni szinten. Ha pedig valamelyik giant jóslata utólag nem jön be? Úgyis elfelejtik, ha pedig bejön, lehet majd idézgetni.

Nemrég vettem részt két szakmai rendezvényen, ezek közül az egyik volt kimondottan az IT biztonságra kihegyezve. 2016. óta a NATO az ICT infrastruktúrára is a szárazföld-víz-légtér mellett olyan hadszíntérként tekint, ami ha valamit biztosan jelent, hogy komolyan számolnak vele egy-egy háborús konfliktus folyamán. 

Több előadást is hallottam több konferencián, egyébként általam is nagyra tartott szakértőktől, akik inkább a konfliktusra való felkészültség szintjét próbálták magyarázni, viszont nagy csoda azért nem hangzott el. 

Ami szerintem mindenkit érdekelne, hogy a NATO milyen konkrét, persze bizonytalanságokkal is kalkuláló forgatókönyvekkel dolgozik, amikor elkészíti teljes titokban egy-egy támadás modelljét egy hadgyakorlathoz, ezekről viszont körülbelül annyi tudható, hogy léteznek. És akkor most kérném az Olvasót, függetlenül attől, hogy a biztonság- év védelempolitikában, valamint hadtörténetben mennyire jártas, hogy idézzen fel példát azzal kapcsolatban, amikor egy katonai erő egy hadműveletet részletesen ismertette volna a publikummal, mielőtt alkalmazta! Na ugye! Ilyen még a kezdetleges hadviselés idején sem volt. Amennyire én tudom, legalább a II. világháború óta általános gyakorlat, hogy még a megtörtént hadműveleteket sem teszik nyilvánossá teljes részletességgel. 

Konkrétumok hiányában pedig lehet beszélni, ámde minek, amit pedig kiberhadviselésnek neveznek, azért külön érdekes, mert annyi bizonytalanságot tartalmaz, ami miatt pláne nem lehetne nagy részletességgel bölcseket mondani. Kiberháború alatt pedig, ha jól értem, olyan, az ICT infrastruktúrát érintő támadást értenek, aminek a kihatása az adott államra nézve hagyományos hadszíntéren végzett művelethez hasonlítható. 

Az első olyan, amit több meghatározó szereplő már fegyvernek nevezett, a Stuxnet volt, 2011-ben jelent meg. Való igaz, a 2008-as orosz-grúz háborúnak eléggé félelmetes eleme volt, amikor az ellenséges országban konkrétan lekapcsolták a villanyt, a teljes háború kimenetelét azért ez nem befolyásolta meghatározó mértékben.   

Ahogy én látom, valójában arról van szó, hogy amúgy senki sem tudja pontosan és biztosan, hogy ténylegesen mit kellene csinálni, ha egy háborús konkfliktus folyamán komolyan elkezdené fúrni az egyik állam a másik ICT infrastruktúráját. Mivel nagyon nagy méretben konkrétan még nem történt ilyen. /*ha pedig néhányan biztosan tudják, annál rosszabb...*/

Szóval egyébként magasan elismert szakértők, értelmes emberek magabiztosan beszélnek olyanról, amiről nem is tudnak? A kép árnyaltabb. Beszélnek, de általánosságban. És akkor felvetődik, hogy akkor így ennek lényegében mi az értelme, de tényleg? Hipotézisem van, ami persze egyáltalán nem biztos, hogy helytálló. Egyrészt ha az az elvárás, hogy valamit mondani kell, akkor nincs mese, mondani kell. A másik, amit határozott benyomásom, hogy végülis egy jövőbeli ICT-t is érintő hadművelettől félnek minden szinten, akár tudnak róla, akár kevésbé, holott annál több dolog nem nagyon mondható el róla, hogy a valószínűsége egyre nagyobb egy ilyen bekövetkezésének. Az emberi működésnek ugyancsak szerves része, hogy esetenként racionalitást keres ott is, ahol nincs, ezért lényegében egy inger-elmaradással járó stresszforrás a bizonytalanság és annak tudata. Ahogy az is tény, hogy a félelmek egy jókora része egészen egyszerűen leépíthető vagy elfogadható szintre csökkenthető pusztán azzal, hogy akár az érintett, akár egy hozzáértő személy beszél róla. Sarkítva azt tudom mondani, hogy nagyon sok publikus és félpublikus "kiber-konferencia", azaz ahol már állami vagy nemzetközi méretekről van szó, olyan, mintha egy hatalmas csoportterápiás ülés, ahol több szereplő sorra elmondja a félelmeit, aztán mindenki lenyugszik és pár kávé után hazamegy. Jó, persze ennél jóval többről van szó, amit nem láthatok, mivel nem értek megfelelő mélységben a biztonságpolitikához és a hadtudományhoz, viszont ne legyenek illúzióink, nem, nem tudjuk, hogy hogyan nézne ki egy ilyen háborús szituáció, hiába szeretnénk nagyon azt gondolni, hogy legalább körülbelül tudjuk. 

Ebben az esetben is a tudásomnak megfelelően leírtam egy jelenséget, annyit tudok megállapítani, hogy az én ismereteim szerint ez a helyzet, de azzal kapcsolatban már nem foglalok állást, hogy mindez probléma-e, ennek megfelelően kell-e kezelni. 

Ami viszont világos, hogy mindennek a kommunikációs jelenségnek vannak inkább pozitívumként és inkább negatívumként osztályozható hatásai nemzetközi- és nemzetállami szinten, stratégiai szinten, a piaci döntéshozók szintjén egyaránt. 

Pozitívum például az, hogy államtól gyakorlatilag függetlenül, a mindig lemaradásban lévő politikusok figyelmét felhívják illetve fenntartják ezzel kapcsolatban, viszont az üzenet nyilván nem lehet túl bonyolult olyan értelemben, hogy nem is kell technikai részletebe nagyon belemenni, hasonlóan ahhoz, hogy egy politikusnak nem fogják magyarázni, hogy miért para, ha egy véletlenszám-generátor nem eléggé véletlenszerűen generálja a számokat a kriptóban. 

Pozitívum, hogy felkeltik a figyelmet az erre fogékony nemzedékben, aztán többen mennek például honvédtisztképzőre, ha már középiskolás korukban megismerik, hogy egy hárború már egyre kevésbé arról szó, hogy az egyik csapat tagjai lövik egymást az lövészárokból, dobálják a kézigránátokat és hasonlók, a hadtudomány egy része merőben új csapásirányt vett, amire megfelelő katonákat kell felkészíteni, ahhoz pedig fel kell kelteni bennük az érdeklődést. 

Amin már komolyan el lehet gondolkozni, hogy emellett elfogadható hatás-e az, ha piaci szereplők marketing téren nagyon rárepülnek a témára és a kiberezéssel és pár extra buzzworddel, amit nagyon nem kellene szükségtelenül használni, majd kiberháborút emlegetve akarják eladni még a jeget is az eszkimónak. Amikor pedig a marketing átcsúszik tisztességtelen irányba, egyre többen elkezdenek gyakorlatilag FUD-ot nyomni, ha pedig túl sokan játékos követi ezt a gyakorlatot, gyakorlatilag a tisztességtelen marketingkommunikáció is elfogadottá válik, a normába épül, többek szerint ez már régen meg is történt.  

A másik, amit szintén komolyan kellene venni, hogy hogyan válasszuk el egymástól azt, amikor valakinek a nyilatkozatai a témában még a legnagyobb jóindulattal is inkább bullshitnek tűnik és azt, amikor tényleg hozzáad valaki valami újat egy témával kapcsolódó ismereteinkhez. Egyszerűnek tűnik, de hivatkozva a cikk első felére, ha valamiről általában még túl keveset tudunk, egyáltalán nem biztos, hogy meg tudjuk mondani azonnal, hogy mi bullshit és mi nem. Ahogy nemrég emlegettem valakinek, az a nagy helyzet, hogy tudományos álláspontok értékelhetők és ha arról van szó, persze ütköztethetők egy-egy témában, amivel kapcsolatban túl keveset tudunk, nincs egy fix zsinórmérték, ami alapján biztosan meg tudnánk mondani valakinek a nyilatkozatáról, hogy nagyon ilyen, nagyon olyan értékét tekintve. De ha kicsit kitekintünk, sokkal nagyobb múlttal rendelkező, sőt, kevésbé multidiszciplináris területen sincs sokszor egyetértés. Az irodalomtudomány és sok hasonló humanities-terepen, azt vallja, hogy a különböző iskolák köszönik szépen, megférnek egymás mellett. A pszichológia merőben más megközelítéseket alkalmazott az emberi magatartás leírására, aztán a klinikai gyakorlat mutatta meg, hogy melyik a leginkább használható. A filozófusok és politológusok ugyancsak tudományos tényekre támaszkodnak, mégis merőben eltérő álláspontra juthatnak sokszor ugyanazzal kapcsolatban. 

A hadtudomány ICT-vetülete ehhez képest erősen multidiszciplináris, ráadásul ahogy írtam, még nem volt vagy nem tudunk róla, hogy lett volna olyan, amikor egy háborús helyzet kimenetelét alapjaiban befolyásolta volna az ellenséges fél infokummunikációs rendszereinek összehangolt megtámadása. 

Azaz helyes, ha a szakértők modelleket állítanak fel, folyamatosan szem előtt tartják a témát, a kisebb korábbi konfliktusok elemzésével próbálnak valamit óvatosan jósolni azzal kapcsolatban, hogy egy súlyosabb szitunak milyen hatásai lehetnek, az mindenképp kerülendő, hogy bárki is olyan módon nyilatkozzon a témáról, mintha 1000% biztosan látná előre, hogy egy jövőbeli fél-armageddon hogyan történne meg. Volt már rá példa a történelemben bőven, amikor a szakértők úgy tettek, mintha biztosan tudnák, hogy mi várható és kell csinálni, de sosem sült ki belőle semmi jó. 

Ami viszont előremutató lépés lenne - amellett persze, hogy elfogadjuk, hogy mit nem tudhatunk - ha elindulna valamiféle párbeszéd azok közt, akik tudják és ki is merik mondani, hogy hogyan érdemes olyan témához hozzányúlni, aminek a fontossága nem kérdéses, emellett veszélyesen kevés tudás áll rendelkezésre a témában.

Kép: malaysianchinesenews

Aki most nagyon picsog a Facebook új kontentpolicyja miatt, annak van egy rossz hírem. Aki lemaradt: az ismerősök tartalmai kerülnek előtérbe a timeline-on - szóval ha eddig háromszor meggondoltad, hogy kit veszel fel ismerősnek, na, mostantól gondold meg hatszor! - míg a lájkolt oldalak tartalmait alapvetően háttérbe szorítja a rendszer, az EdgeRank-algó sokadik változtatása korábban komplett hírportálokat nyírt ki, amiknek a forgalma jórészt a FB-ról jött.

A sok-sok nagyon okos újságíró megírta step-by-step, hogy hol találod a See first gombot egy oldalon. Mindez nagyon szép, nagyon jó, viszont amire a rendszer személyek esetén figyelmeztet, oldalak esetén viszont nem, nevezetesen hogy maximálisan 25-nél érvényesíthető ez a beállítás [mármint oldalak és felhasználók együttvéve]. Azaz hiába tapos valaki a See first-re, oldalak esetén nem kap figyelmeztetést és ugyanúgy vagy csak ritkábban kapja meg a tartalmakat, amiket egy oldal posztol.

A változtatás azon oldalával most nem foglalkozom, hogy a jó minőségű tartalmakat előállító oldalak, amiknek a forgalma gyakorlatilag 100%-ban organikus volt, azaz egy garast sem kellett költeniük hirdetésre, na, mostantól aztán kénytelenek lesznek és hogy a FB-nál, mint növekedést felmutatni már nem tudó cégnél ez miért volt elkerülhetetlen.

Megoldás? Csak részmegoldás van, azon túl, hogy az információs zaj elfogadhatóra csökkenthető legyen, hajigáljuk ki a kontaktjaink közül, aki túl sok érdektelen tartalmat posztol, ha pedig mindent látni akarunk, a timeline körülbelül elrejtett beállításában a Most recent-re kell ujjazni, amivel viszont olyan dózisú tartalom csap arcon a kontaktok, csoportok és oldalak tartalmai együttes megjelenésekor ömlesztve, hogy azt még akkor sem lehet követni, ha valaki tudatosan csak reggel és este nézi meg a Kéktaknyot.

Hülye fordulattal élve: tetszettek volna az RSS-re rászokni.

Ennél ma már tényleg csak értelmesebb dologról fogok posztolni, ha érdekel valakit, engem, pontosabban a Facebookra-oldalamra pürézett tartalmaimat erre lehet imádni, de a saját oldalammal annyira nem foglalkozom, hogy még a saját posztjaimat sem linkelgetem be.

Rég volt már tabudöngetés, most meg ráadásul ki is kívánkozik belőlem néhány gondolat a sokat emlegetett informatikushiány kapcsán. Amit talán nem is kell előre jeleznem, hogy több helyen nem leszek diplomatikus, viszont őszinte igen.

A magyar kockaszektorból mindent egybevetve több tízezer informatikus hiányzik, de azzal kapcsolatban sincs megbízható adat, hogy ez tízezret vagy ennek mekkora egész számú többszörösét jelenti. Amellett, hogy roppant mód unják már sokan a témát, engedtessék meg nekem egy roppant kínos kérdést: ha holnaptól kikerülne a munkaerőpiacra mondjuk húszezer valóban jól képzett informatikus, ideértve az IT-st, a fejlesztőt, a projektmenedzsert, a devops-ost, mégis honnan a halálból lehetne megfizetni? Írom: jelen bérviszonyok mellett sehonnan, az más kérdés, hogy kisebb hiány esetén a bérek hogyan változnának meg, valamint gyorsabban kibukna-e, hogy ki a kutyaütő és ki az, aki valóban ért is hozzá.

Csak benyomásom, de mintha egy területen minél nagyobb lenne a hiány, annál jobban jelentkezne az a súlyosbító tényező, hogy a valós tudással rendelkezőkkel szemben előnybe kerülnek azok, akik hatalmas mellénnyel úgy gondolják és azt mutatják, hogy mindenhez értenek, mire tényleg elhiszik róluk, mert a piac el akarja hinni valakiről, hogy ha már például kódolni nem tud fejlesztőként, legalább beszélni igen, aztán kapásból ő lesz a házi full stack developer, aki vérprofi módon tereli el a felelősséget, ha valamit nem kontár módon kellene megvalósítani.

A saját ismeretségi körömben a szakmai kompetencia és a bér valamint elismerés sok esetben semmiféle összefüggést, már úgy klasszikus értelembe vett összefüggést nem mutat. Ha a cég olyat nem talál, aki alkalmas egy feladatra, beéri inkább olyannal, aki tényleg el tudja hitetni mindenkivel, hogy az, azt viszont felejtsük el, hogy biztosan előnybe lenne az, aki követi azokat a klasszikus értékeket, mint a tudás vagy a szakmai alázat, ezek csak hosszú távon működnek.

Holott nem lenne nehéz felmérni az alkalmasságot, esetleg csak ezt követően megnézni, hogy ki mit hazudozik össze sokszor a LinkedIN-adatlapján. Ahogyan egy orvos sem nyilatkozhat azzal kapcsolatban, amikor megpályáz egy helyet egy külföldi magánklinikán, hogy mekkora VIP arcokat kezelt, informatikai területen is van olyan, amikor mindenki akkor alszik nyugodtabban, ha emberünk nem tünteti fel, hogy korábban hol és mit dolgozott, különösen, ha szabadúszóként csinált valamit. A kompetencia mégis mérhető lenne, bár ennek az általam instant kisütött módszertannak alighanem a döntő többség nem örülne. Mondani aztán lehet sokmindent, túl egyszerű is lenne az élet, ha az interjúban függően attól, hogy valaki milyen jellegű munkakört pályáz meg, már az első körben le lehetne vizsgáztatni az illetőt. Ennek persze biztosan nem örülnének, viszont számos érv hozható fel mellette.

0x100. Eleve sokat mond, hogy hogyan viselkedik valaki olyan szituációban, amikor a tét relatív nagy és ott helyben kell valamit megoldani. Ideális esetben pedig a technikai interjút úgy lehetne összekalapálni, hogy a kérdésekre szinte biztosan tudja a választ az, aki ért hozzá és szinte biztosan ne tudja, aki pedig nem ért hozzá, ami bonyolultabb, mint amilyennek tűnik, de messze nem mondanám lehetetlennek.

0x200. IT-skillek: már ha egyáltalán annak lehet nevezni a következő néhány faék egyszerű kérdést, ami pont olyan, ami az előbbi feltételnek megfelel. Hanyas porton muzsikál az secure-IMAP4? Mi az EFS vagy éppen a Bitlocker működésének a lényege? Mi az a sticky bit? Mind-mind olyan, amire a kattintgatós hülyegyerek nem tudja a választ, olyan viszont szinte biztosan igen, aki rendszeresen utánanéz azoknak a dolgoknak, amiket használ, nem feltétlenül mainframe vagy hypervisor környezetben, hanem a saját gépén.

0x300. Fejlesztésben való jártasság. Lehet mondani ideig-óráig, hogy az elemi algoritmusok ismerete nélkül is felelősen részt vehet valaki összetett szoftverrendszerek fejlesztésében, csak én mondjuk eléggé régivágású gyerek vagyok ahhoz, hogy ez ne higgyem el. Függően attól, hogy a munkakör mennyire fejlesztésorientált, milyen egyszerű is lenne, ha a jelölt feladatként kapná, hogy egy általa választott rendezési algoritmust, egy bináris-keresőfát írjon le pszeudokódban vagy UML-modellel. Ha pedig emberünk ezer éve nem piszkált kódot és nem is nagyon lesz rá szüksége, akkor hozzá lehet vágni egy olyan feladatot, amit józan ésszel, de algoritmikus gondolkodással meg lehet oldani. Mentő kérdésként  pedig be lehet dobni egy folyamatábrát és egyszerű feladatleírással, amiről emberünknek el kell magyaráznia, hogy a folyamatábra hogyan írja le az algoritmust és hogy helyesen-e.

Na kérem szépen, ha az alapok megvannak, azt követően van értelme aktuálisan fancy metodológiákról, verziókövető rendszerekről, tervezési mintákról és hasonlókról beszélni, de valahogy ezt a sorrendet olyan mértékben sikerül elcseszni, hogy nagyobb helikopter az, aki a tököm tudja melyik módszertannak már dolgozott, meg látott már verziókövető rendszert, mint aki tud programozni.

0x400. Ha valaki nem örök vesztes, akkor azért utánalapozott olyannak is, ami az egyetemen nem kötelező tananyag. Vagy esetleg éppen az egyetem helyett tanult valami használhatót, amiről előre látható volt, hogy előbb vagy utóbb, de megkerülhetetlen része lesz annak, amit csinál. Nem kell mindent tudó atyaúristennek lenni a projektmenedzsment területén vagy éppen részletekbe menően tudni, hogy az üzleti elvárásokra milyen informatikai megoldásokat kínál a piac, ezek hogyan változtak időben, hogyan kapcsolódtak egymáshoz, az viszont elvárható kellene, hogy legyen, hogy legalább valami szemléletes képe legyen már róla játékosunknak. Ha nincs, az sokkal súlyosabb jelzés annál, hogy az adott területen éppen nem tanult semmit, azaz szimplán kimaradt neki: alighanem csak azt tanulta meg, amit lepofoztak rajta a vizsgán, az önképzéssel kapcsolatos szokások pedig nem igazán változnak. És akkor még nem is ejtettem szót azokról a fogalmatlan gyökerekről, szakirányú végzettség ide vagy oda, akik meg tényleg csak a buzzwordöket fossák és többször telepítettek Drupalt lopott skinnel pofátlan pénzekért, mint amennyiszer komolyan vehető szakkönyvet vettek a kezükbe.

0x500. Seggfejekkel dolgozni senki sem szeret. Ebben nagy meglepi nincs, teljesen érthető és indokolt, ha professzionális szempontokon túl értékelik azt is, hogy mennyire tud csapatban gondolkozni és dolgozni a játékos, na meg kommunikálni, amennyire kell. Viszont vegyük észre, hogy miközben valaki értelmesen választ ad egy kérdésre, abból azért ez leszűrhető. A kitűnő kommunikációs skillekkel meg el lehet menni egy olyan mesevilágba, ahol a kitűnő kommunikációs skillekkel írják a kódot, finomhangolják a szervereket, ütemeznek be egy projektet vagy matekozzák ki, hogy ilyen-olyan komponensek cseréje adott ráfordítás mellett az érintett szervezet produktivitását hogyan befolyásolja majd.

És akkor most feldobom a kínzó kérdést: kik vannak ezen a terepen igazságtalanul előnybe azokhoz képest, akik tényleg tudnak? Igen, nagyon sokszor a hülyébbek, hatalmas egóval.

Egy ideális világban egy komoly játékost nem a cég választ ki, hanem a cég felvételizik nála, aztán ha megfelelt, majd lehet tárgyalni a továbbiakról. Ennek pedig van néhány igen kellemetlen sajátossága, ami a torzult piacból frappánsan levezethető. Ha valaki az egész életét végigtanulta és a fülébe jut, hogy valamiféle kutyaütő kontár mennyit keres főállásban, amint szóba kerül, hogy milyen bérre gondolt a játékos, nagyon nem szivesen fog alálicitálni annak, amennyit egy féltudású prosztó keres. Ha a jól képzett informatikus olyan összeget köhögne be az interjún, amennyit a tudása ténylegesen ér, a legelitebb helyeket nem számítva nem fizetnék meg belföldön, ebben biztos vagyok. Azaz ha valaki tud is, nincs mese, kénytelen újra beárazni magát, különben a szervezet inkább azt fogja választani, aki nyilván sokkal silányabb munkát ad ki a kezéből, de legalább olcsón vállalja.

És akkor el is érkeztünk egy remek dilemmához, nevezetesen, hogy milyen stratégia mentén mondjon intervallumot a pályázó bért illetően, ha tudja, hogy ha túl alacsonyat mond, esetleg nem fogja komolyan venni a cég, ha viszont átlépi azt a lélektani határt, amit már nem fizetnének meg neki, ugyancsak elvágja magát.

Egy kezemen meg tudom számolni, hogy életemben mennyiszer voltam állásinterjún, ezek közül egyszer olyan helyen, ahova nem hívtak, hanem én magam pályáztam meg. Az interjú végén felmerült, hogy van-e kérdésem, amire ugye az elképzelhető legrosszabb válasz, hogy nincs. Szóval ki is facsartam magamból valamit. Viszont akárhogy is töröm a fejem, egyszerűen nem tudtam volna olyat kérdezni, amire tényleg kíváncsi vagyok, de a kérdés alapján biztosan nem gondolta volna azt az interjúztató, hogy alá akarok kérdezni vagy amire kíváncsi lettem volna, bőven olyan információt, amit csak belsősnek mondanak el. Egyszerűen azért, mert alaposan utánanéztem előzetesen, hogy hova is pályázok. Ez meg ugye a másik dilemma. Feltételezzük, hogy az ember nem tömegesen jelentkezik a cégekhez - pontosabban ahogy előbb tisztáztam, a cégek felvételiznek nála akár a fejvadásza ajánl valamit, akár magától pályázik - ha pedig valaki nem totálisan gyökér, alaposan felkészül abból a cégből, ahova bemegy interjúzni. Viszont magamból kiindulva tényleg csak olyan kérdés marad, amit vagy ilyen vagy olyan okból nagyon nem praktikus a végén feltenni. De akkor mégis mit kérdezzek?

A jelenlegi környezetnek ha van valami előnye, az biztosan, hogy ilyen problémák a hülyéket nem érintik. Más pedig oldja meg, ahogy tudja, ha főállásban szeretne informatikai területen elhelyezkedni.

kép: imgflip

Valaki jópár évvel ezelőtt elkezdte mondani, hogy a fiatalabb generáció - jelentsen ez bármit is - már nem nagyon olvas könyveket, ebbe bele kell törődni, a web megzabálja az ifjúság agyát uzsonnára, armageddon, ezer ördög és pokol, bunkó lesz a következő nemzedék, úgyis mind meghalunk, satöbbi. Eztán ezt a baromságot szépen átvették egy sokan, de még olyanok is, akiknek mondjuk hivatásukból adódóan illene rálátniuk a középiskolás és fiatalabb korosztály életére. Viszont a magát a jelenséget téves tapasztalati adatok mellett totálisan fals mérésekkel próbálták igazolni, amiket szándékosan nem fogok hivatkozni, de azért van ezzel kapcsolatban néhány gondolatom.

Szóval valamiféle alaptézisként kezelik már nem kevés ideje, hogy az a generáció, amelyik gyakorlatilag együtt szocializálódott az okosmobil korszakkal, már nem nagyon olvas semmit, könyveket, ezen belül meg szépirodalmat pedig aztán pláne nem. Mindezt pedig részben a tanárok azon tapasztalatára alapozták, hogy a kötelező olvasmányokat szinte senki sem olvassa el, másrészt online (!!) felmérésekre.

Emlékszem, általános iskolás ötödikes lehettem, amikor feladták kötelező olvasmányként a Kőszívű ember fiait. Nem vitatom Jókai irodalomtörténeti jelentőségét, nem is tehetném, mert nem értek hozzá, abban viszont már itt most megállapodhatunk, hogy Jókai irodalma mai aggyal totálisan emészthetetlen a többség számára, általános iskolás gyereknek kötelező olvasmányként meg csak akkor adnék ilyen félezer oldalas szart, ha meg akarnám utáltatni vele a szépirodalmat. Ami a magyar irodalmat illeti, na, az körülbelül a 20. századtól emészthető egyáltalán, de egy laikus számára alighanem nem más a helyzet akkor sem, ha a nemzetközi szépirodalomban nézünk körül. Magyar szakos ismerős az egyik egyetemen mesélte, hogy már nincs kötelező olvasmány ezer éve, mert tudják, hogy úgysem olvassa el senki, amit teljesen megértek. Ebből viszont totális tévedés azt a következtetést levonni, hogy semmit ne olvasnának az általános- és középiskolások, azt viszont biztosan, hogy a kötelezőket teljesen idióta módon sikerült kiválogatni egyszer, valamikor valakinek, akinek esetleg az volt a becsípődése, hogy irodalmárokat képeznek, nem pedig diákokat.

Többek közt szinte az összes online marketinges, na meg önmagát annak hazudó cég arról ugat, hogy a fiatalok olvasási szokásai olyan módon változtak meg, hogy az Instához, a Snapchathez meg hasonló szarokhoz kell a teljes piacnak igazodnia, mivel ezeken a csatornákon érhető el a fiatalabb nemzedék, jelentsen ez bármit is. Na de ők mire alapozzák mindezt? Nagyrészt online felületeken felvett közvéleménykutatási adatokra! Nem kell nagy kutatásmódszertani rutin hozzá, hogy észleljünk itt egy iszonyú ellentmondást. Nevezetesen azt, hogy online közvéleménykutatást az tölt ki, aki olyan eszelősen értelmetlenül cseszi el a saját szabadidejét, hogy mindössze annyival meg lehet etetni, hogy a kitöltők közt kisorsolnak mondjuk egy okoskütyüt vagy valami olyasmit, ami minimálisan is sikeres ember a mai világban megvesz magának, ha szeretne, de hogy nincs fölösleges 15-20 perce, az teljesen biztos. Mondjuk azért, mert helyette olvas. Az egész több sebből is vérzik és mindez senkit sem érdekel, de magyarázom.

Az online közvélemény kutatásokkal nem hogy torzított mintán dolgoznak, annyira hülyék, hogy nem veszik észre, hogy önkényesen választanak mintát. Eleve olyan előtt fog megjelenni a kérdőívre mutató link, akiről feltételezik egy-egy szolgáltatáson belül töltött idő és aktivitás alapján, hogy ki is tölti. Azaz miután valaki megetette a kecskéit a Farmville-ben meg a bánat tudja, hogy miben, dobott pár lájkok a világbékéért, megjelenik előtte a kérdőívre mutató link, ami nyereményjáték is egyben. Emberünk kitölti, aztán megy a plázabudiba pózolni a napi Insta-fotóhoz, miközben azon agyal, hogy hogyan tegyen a többiekétől menőbb effektet a saját szelfijére. Na már most, ha ez a csoport úgy nyilatkozik, hogy az elmúlt ezer évben nem olvasott szépirodalmat, meg úgy egyáltalán könyvet sem, abban aztán tényleg semmi meglepő nincs.

Azok az idióta cégek, akik mondjuk az ilyen adatforrásokból dolgoznak, valamiért teljes demográfiai csoportokra vetítik ki azt, amit tehát totálisan félremért adatként kaptak. És nem csak extrapolálják, ebből látszólagos tendenciát állapítanak meg, hanem úgy gondolják, hogy akkor azoknak a szolgáltatásoknak a hirdetési felületeire kellene fókuszálni, amit tehát a totál bugris plázasuttyó réteg használ a legtöbbet, mert aktuálisan az a trendi, fancy. Ami pedig még értelmezhetetlenebb, valami miatt azt hiszik, hogy ők komolyan fizetőképes célcsoportot jelenthetnek. Ha pedig nem a diákok hülyébb feléről, hanem a felnőttek hülyébb feléről van szó, a lényegen nem változtat. Aztán meg a magyar nyelvterületre vagy Magyarországra fókuszáló online marketinges néz ki a fejéből bután, hogy miért nem hirdetnek szivesen azok a piaci szereplők, amik azért nem két kézzel szórják a zsét. Amikor pedig előkerül egy-egy gyalázatos adat azzal kapcsolatban, hogy milyen csapnivalóan rossz a magyar online marketing hatásfoka, azzal nyugtatják meg magukat, hogy szarul teljesítenek ugyan, de a másik ügynökség sem teljesít jobban.

És akkor akik a mintából kimaradtak! Többen mesélték, hogy a 4-5-6-7 éves gyerekeik nem, hogy korábban tanulnak meg olvasni, hanem eleve több különböző idegen nyelvű tartalmat is fogyasztanak online-t és printet egyaránt, aztán esetleg elpicsázzák nyelvből az angoltanárt már általános iskolában. Itt most nem csodagyerekekről írok! Korábban is volt ilyen, de kevésbé volt jellemző, mint a manapság, ahol az információáramlás jellege változott meg, nem csak a sebessége, ez kellene már felfogni végre. Nem, egyszerűen olyan gyerekekről van szó, akik otthon a szülőktől nem azt látják, hogy Farmville-n etetik a lovakat és minden céges zabálást agyondokumentálnak az Instán, hanem azt, hogy a szülő is értelmesen használja ki az információszerzés új lehetőségeit. Ami meg a sültbunkókat illeti, ők nyilván léteztek a webkettő előtt is és nem, akkor sem olvastak többet vagy töltötték ki értelmesen az időt, tehát szó sincs arról, hogy tendenciózusan agyilag lefszulnának összességében az emberek a közösségi web miatt, a 80-as években meg a videókazettákra mondták ugyanezt.

Kis közbevetésként, milyen apropóból írom ezt a posztot éppen most, amikor ezeket a témákat már érintettem? Mondjuk azért, mert eleve a koromból adódóan nyilván ritkábban csevegek tőlem fiatalabbakkal, a napokban pedig egy 20 körüli, amúgy a közösségi webet is igencsak aktívan használó tag véletlenül köpte el, hogy a hétvégén elolvasott egy laza párszáz oldalas regényt, amit talán karácsonyra kapott. Aztán kiderült, hogy nem kivételes eseményről van szó, hanem egyszerűen rendszeresen olvas, ami neki teljesen természetes. De korábban is találkoztam már olyannal, aki mondta, hogy olvas mindent, mondjuk éppen azt nem, amit az iskolába kellene, ráadásul olyan forma volt, akiből ki nem néztem volna. A nagyon fiatal generációról meg egyszerűen onnan tudok, hogy ismerősök mesélték, akiknek most megy vagy ment a fiuk vagy lányuk általános iskolába.

Valami miatt van egy olyan idióta prekoncepciója a többségnek, hogy a webkettő és a mobilhasználat, na meg a print és az újságolvasás kizárná egymást. Nincs okunk feltételezni, hogy az intelligenciával egyébként eléggé jól korreláló információéhség jelentősen változott volna időben. Nem, hogy az elmúlt pár évtizedben, de még az elmúlt párszáz évben sem, de ezt a témát korábban már túltárgyaltam. A középkorban, de már a könyvnyomtatás elterjedésével az iskolákban egy halom nyelven nem csak olvastak, hanem beszéltek is egymással a diákok, az szegényebb sorban lévők pedig igencsak jelentős népmesét, népdalt, meg még ki tudja, hogy milyen népi bölcsességet halmoztak fel, persze mindkét blokkban voltak értelmesebbek és hülyébbek egyaránt.

Szóval, nem, nem és nem. Igaz, hogy a tartalomfogyasztó ideje véges, amit szokás a felhasználók idejéért folytatott küzdelemnek is nevezni, attól még, hogy valaki rendszeresen tömi az Insta fiókját és szórja a híreket a Twitteren vagy vitatkozik a Redditen - amiket hála a jó égnek még nem annyira fedezett fel a magyar átlag felhasználó - ha értelmes emberről van szó, akkor igenis olvas mellette. Szóval ez az a réteg, amelyik pont láthatatlan a közvéleménykutatók többsége előtt és persze az a felnövekvő réteg, amelyik tényleg fizetőképes.

Azokat a sudribunkókat meg alighanem senkinek sem kell bemutatni, akiknek a figyelme legfeljebb néhány másodpercre köthető le valamilyen idióta képi viccel, na meg töménytelen mennyiségű álhírrel, könyvet meg még életükbe nem vettek a kezükbe maguktól, de letöltenek minden szart a mobil alkalmazásboltjából, amivel aztán égtelen sok időt lehet eltölteni, egészen elképesztően értelmetlenül.

A másik érdekesség, amibe jobban belegondolva semmi meglepő nincs, hogy a két kaszt közt nemhogy átfedés alig van, hanem gyakorlatilag nem is tudnak egymásról. Honnan is tudnának, ha az emberek a hozzájuk hasonló intellektusú és szociális státuszúakkal tartják az erős kapcsolatokat, amit egyébként a webkettő erősített fel, ami egy készülő nagypubli témája lesz.

Ahogy szoktam mondani, a jövő nyertesei azok lesznek, akik egyaránt használják az okoseszközöket és a net vívmányait, emellett rendszeresen olvasnak is. Ez utóbbinak többek közt az az oka egyszerűsítve, hogy egy-egy hosszabb mű megértése a figyelem folyamatos fenntartását igényli, ami pedig elengedhetetlen, ha valaki valami értelmes dolgot akar csinálni majd később, amivel keres is.

Még csak azt sem mondanám, hogy kevesebb információ éri a rendszeresen olvasó ember és az idejét hülyeségekkel elcsesző ember agyát, az információ minőségében teljesen más, hiszen olvasás közben a korábbi ismerethalmazba kell beilleszteni azt, amit olvasunk, például az Insta-függőknek meg csak egy-egy pillanatra kell fenntartaniuk a figyelmüket, mondjuk arra, hogy milyen pofát vágjanak, azt hogyan effektezzék, koronát vagy csillámfaszlámát illesszenek a szelfijük tetejére és így tovább, ami szigorúan nézve nem biztos, hogy kevesebb információ, mint amennyit befogadunk egy vaskosabb cikk vagy könyv olvasásakor. Nem kevesebb, csak nyilván egyrészt teljesen más, másrészt éppen azokat a képességeket nem fejleszti, amivel a munka világában igazán labdába lehet rúgni. Aztán azzal, hogy a két réteg közti szakadék milyen folyamatokat indukál majd a jövőben, foglalkozzanak a szociológusok.

Egyébként ez a fajta fura kettősség totál eltérő területeken megmutatkozik még akkor is, ha csak a szellemi munkát végzőket nézem. Sokan mondják, hogy könyvből nem lehet megtanulni programozni, amire rá szoktam vágni, hogy könyv nélkül meg aztán pláne nem. És tényleg. Meg lehet nézni, hogy milyen fost adnak ki a kezükből sokszor azok, akik kizárólag trial-and-error alapon tanultak meg programozni, de hasonló a helyzet akkor is, amikor valaki ezt még azzal fejeli meg, hogy egy keretrendszert, technológiát, akármit akar megtanulni ugyanígy később. Vagy éppen, hogy mennyit szörnyülködnek sokan azokon az újságírókon, akiknek az írásain világosan látszik, hogy tényleg csak írnak, olvasni már nem nagyon szoktak, ami ugye alap kellene, hogy legyen, ha valaki nem trágyalevet akar kiadni a kezéből.

Nemrég a fejemhez vágták, hogy gyakran térek vissza azokhoz a témákhoz, amikről már írtam, nos, én legalább tudok róla és próbálom nem nagyon ismételni önmagam. Amire viszont nagyon, talán túlságosan is ügyelek, hogy ne a levegőbe rizsázzak, mert azt bárki tud. Viszont ha esetleg ismét megírom közel ugyanazt, csak máshogy, nem jelenti azt, hogy ne lenne értelme az egésznek, hiszen a két poszt megírása közti időben azért elolvasok jópár cikket és könyvet, ami ideális esetben meg is mutatkozik az írásokon.

kép: Wikipedia - World literacy rate, Projectliteracy