medisto

[hathat2]

Γεια χαρά και απο μένα! Μπαίνω στη διαδικασία να συμμετάσχω στο topic γιατί το συζητούσα με έναν νέο ιατρό ξάδερφο, που τον απασχολεί το θέμα. Ως προγραμματιστής με κάποια εμπειρία ανάπτυξης εφαρμογών για το δημόσιο θα μπορούσα να βοηθήσω λιγάκι..
Καταρχήν το link για το ADF της ORACLE δέν έχει καμία σχέση με "μίμηση browser" είναι ένα framework της oracle. Οπότε σε καμία περίπτωση δεν αποτελεί απάντηση για το request του κυρίου tsoukase για link σε κάτι που να παραπέμπει-εξηγεί-παραδειγματίζει μια λειτουργία μίμησης browser.
Δεύτερον δεν υπάρχει η έννοια της μίμησης browser στην κοινότητα των προγραμματιστών διότι δεν είναι σαφής. Τί μίμηση είναι; Ο browser ναί είναι ένας client αλλά άλλο πράγμα είναι να συνδεθεί πάνω στον server με τα διαπιστευτήρια του ιατρού και άλλο να γράψει κατευθείαν πάνω στον server. Άν ο browser-εφαρμογή γράφει κατευθείαν στην βάση δεδομένων του server, τότε η εφαρμογή που όπως λέτε "μιμείται τον browser" έχει λάβει απο τους κυρίους που διαχειρίζονται τον server το username και password με δικαιώματα πρόσβασης στην βάση δεδομένων, και την ip και το port που ακούει ο server οπότε κύριοι σε αυτή την περίπτωση κάποιος άνοιξε την πόρτα στους κατασκευαστές αυτού του λογισμικού, και το username του γιατρού το ζητάνε απλά για να μπορούν μέσα στο χάος των εγγραφών όλων των ιατρών της Ελλάδας να δούνε σε ποιανού τον λογαριασμό θα γράψουν. (Δέν με αφορά και δεν γνωρίζω και ούτε ισχυρίζομαι οτι αυτό είναι μεμπτό ή παράνομο αυτά τα ξέρουν στην ΗΔΙΚΑ απλά λέω οτι για να γράψει κάποιος στην βάση κατευθείαν, έχει και τα credentials τα οποία πήρε απο αυτούς που διαχειρίζονται τον server της e-συνταγογράφηση).
Στην περίπτωση που η εφαρμογή για την οποία συζητάτε ΔΕΝ γράφει κατευθείαν πάνω στην βάση, αλλά χρησιμοποιώντας το cookie του γιατρού που έχει συνδεθεί στην e-συνταγογράφηση περνάει παραμέτρους μέσα απο τα URL τότε μπορείτε να το κάνετε κι εσείς αρκεί να ξέρετε όλα τα ονόματα μεταβλητών που παίζουν μπάλα με reverse engineering. Άν δέν μπορείτε να δείτε απο το firebug το wireshark ή ότι άλλο προτιμάτε, τα ονόματα των μεταβλητών όλων των πεδίων που εμπλέκονται τότε κάποιος πήγε σε μέντιουμ και τα έμαθε έγκυρα και αξιόπιστα.
Έχοντας δει προγράμματα του δημοσίου και τα υψηλά στάνταρ ασφαλείας τους, τουλάχιστον με αυτά που είχα δουλέψει εγώ στο παρελθόν (δεν είχανε σχέση με την υγεία), με πιάνει κλαψίγελος όταν σκέφτομαι οτι ένας οργανισμός του δημοσίου δέχεται να περνάνε request απο προγράμματα με το έτσι θέλω. Στην περίπτωσή σας ότι και να ισχύει θα ζητούσα απο τον αρμόδιο φορέα με τον πλέον επίσημο τρόπο να πάρει θέση πιστοποιώντας οτι ΝΑΙ αυτά τα προγράμματα δουλεύουν σωστά ή ΟΧΙ. Γιατί το προϊόν του reverse engineering είναι τόσο καλό όσο και ο δημιουργός του, και εσείς ώς ιατροί δεν πρέπει να κόβετε φάτσες για το ποιός προγραμματιστής σας γεμίζει το μάτι και ποιός όχι, αλλά να παίρνετε εγγυήσεις απο τους αρμόδιους οτι το τάδε και το τάδε δουλεύουν μια χαρά και να έχετε το κεφάλι σας ήσυχο!
Αυτά απο μένα και ελπίζω πραγματικά στο καλύτερο, γιατί απο τους φορείς του δημοσίου που γνωρίζω εγώ και που έχουν να κάνουν με ανάπτυξη λογισμικού έχω μόνο καλές εντυπώσεις.

[Δ. Κουναλάκης]

@hathat2
Δεν ξέρω τι προγραμματιστής είσαι, αλλά από το γράψιμο σου το αντικείμενο που συζητάμε δεν το γνωρίζεις ούτε στο 1%.  Θα ήθελα να το γράψω πιο ωμά και με το ζόρι κρατιέμαι. Είσαι καλοδεχούμενος στη συζήτηση όταν μάθεις κατ αρχήν τι είναι μια web εφαρμογή όπως αυτή του e-syntagografisi.gr.

@tsoukase
Η κρυπτογράφηση δεν το επηρεάζει και μπορείς να χρησιμοποιήσεις τον firefox για να κάνεις καταγραφή των https κλήσεων χωρίς να είναι απαραίτητο το wireshark.
Στο link σου έχω βάλει το ADF της Oracle καθώς όλος ο κώδικας είναι βασισμένος σε αυτό και θα σε βοηθήσει να καταλάβεις πως γίνονται πολλά από τα συνήθη όπως sessions, έλεγχος εγκυρότητας πεδίων, κλπ καθώς οι περισσότερες μεταβλητές που στέλνονται στα URL είναι κατά το ADF.
Θεωρητικά θα μπορούσες να χρησιμοποιήσεις την php για να κάνεις όλες τις κλήσεις. Πρακτικά όμως νομίζω ότι η php θα έχει προβλήματα σε κλήσεις που έγιναν timeout και γενικότερα ένα local λογισμικό με Non-blocking tcp stack θα ήταν καλύτερο για το χρήστη.
Αντίθετα το ΑΡΙ θα είναι σαφώς καλύτερο για την php καθώς εκεί ο αριθμός των https κλήσεων που γίνονται είναι ελάχιστος. Και προς τα εκεί θα πρέπει να στραφούμε.
Σε αυτή τη φάση, όμως μπορείς να υλοποιήσεις μέσω του API την άντληση συνταγής (εάν ξέρεις το barcode της), είναι δε το μόνο κομμάτι που λειτουργεί και για γιατρούς.

[hathat2]

Κύριε tsoukase η προσωπική μου άποψη είναι μην προσπαθήσετε να κάνετε reverse enginnering σε κάτι το οποίο δεν γίνεται για ακαδημαϊκούς ή ερευνητικούς σκοπούς, ή το πολύ για κάνα σπάσιμο iPhone...    Εσείς μπορεί να βλέπετε request κλπ αλλά δεν ξέρετε τί άλλα trigger, sequence και ειδικές κλήσεις καλούνται σε περιπτώσεις που δεν ανιχνεύθηκαν κατα την έρευνά σας. Εδώ προγράμματα που βγαίνουν ολοκληρωμένα, που σχεδιάζονται με πλήρη επίγνωση της ανάλυσης απαιτήσεων μέχρι και την διαδικασία του release και πρώτα βγαίνουν σε beta για να πιάσουν περιπτώσεις που δεν φαντάστηκαν οι δημιουργοί τους. Αυτό δείχνει οτι το να ισχυριστείς οτι έπιασες όλο το usecase είναι υπερφίαλο ακόμα και όταν εσύ σχεδιάζεις το σύστημα, πόσο μάλλον στο reverse engineering. Αυτή τουλάχιστον είναι η προσωπική μου άποψη σαν επαγγελματίας προγραμματιστής που έχει συνεργαστεί με την ΓΓΠΣ στην ανάπτυξη της web εφαρμογής για ανταλλαγή δεδομένων μέσω XML για την μισθοδοσία του Ελληνικού δημοσίου της Ενιαίας Αρχής Πληρωμών από την μεριά του πελάτη - οργανισμού - εκκαθαριστή.
Σε κάθε περίπτωση όπως ένας άσχετος δεν πρέπει να γίνεται ιατρός του σαββατοκύριακου και να παίρνει αράδα φάρμακα γιατί νομίζει οτι κατάλαβε τί αρρώστια έχει έτσι και ένας μη έχων την γνώση του συγκεκριμένου συστήματος δεν πρέπει να στέλνει data σε ένα σύστημα δημόσιας υγείας (το οποίο είναι εκμετάλλευση τρύπας στην ασφάλεια ότι και να λέτε δεν θα ξεχάσουμε και αυτά που ξέρουμε για να μήν παρεξηγηθούν μερικοί) επειδή παρασύρθηκε απο την γοητεία του προγραμματισμού και των εργαλείων.

[tsoukase]

@hathat2, προς το παρόν, αν και είμαι φοιτητής πληροφορικής στο Ανοικτό Πανεπιστήμιο, δεν μπορώ και δεν έχω χρόνο να ασχοληθώ με την ανάπτυξη οποιουδήποτε συστήματος διαχείρησης του e-synt. Αλλά σας βεβαιώ ότι αν είχα τη δυνατότητα θα το έπραττα, καθώς η εφαρμογή φαίνεται απλή (login και κλήσεις σε μία τεράστια βάση) και επίσης δεν υπάρχει νομικό εμπόδιο. Το αν οι κλήσεις γίνονται απευθείας, μέσα από cookies ή σε εσωτερικό στάδιο δεν είναι δύσκολο να αποκαλυφθεί και να ακολουθηθεί ανάλογα για την ανάπτυξη. Δεν είμαστε υπεύθυνοι για την ασφάλεια του συστήματος, την integrity της βάσης, την αποθήκευση των δεδομένων κτλ, παρά μόνο επικοινωνούμε με θεμιτό τρόπο αλλά πιο αυτοματοποιημένα από την original εφαρμογή. Δεν βλέπω που μπορεί να υπάρχει κίνδυνος, αν αυτά που λαμβάνουμε είναι τα αναμενόμενα από αυτά που στέλνουμε. Πχ σε μια λίστα συνταγών που έχουμε γράψει αντί να ανοίγουμε μία-μία για να δούμε το περιεχόμενό τους, μπορούμε να δημιουργήσουμε ένα button που το κάνει αυτόματα.

Δημήτρη, θα επιθυμούσα όπως όλοι μας να υπάρχει API για γιατρούς και αυτό των φαρμακείων δεν ενδιαφέρει. Οταν ανέφερα το AMP-stack εννοούσα, αν είναι δυνατόν η PHP να στέλνει ένα request για όλη τη συνταγή (πχ συνταγογράφηση) σε ένα non-blocking TCP-socket που θα είχαμε αναπτύξει και αυτό με τη σειρά του να επικοινωνεί με τον κατάλληλο τρόπο με το e-synt.
Για αρχή θα ήθελα να έχω μια ιδέα για ένα τέτοιο socket. Αν κατάλαβα καλά από το Technical του Oracle ADF, μας ενδιαφέρει το View Layer, όπου λέει: "For Web based interface Oracle ADF offers a rich set of over a 150 Ajax enabled JSF (JavaServer Faces) components that simplified the creation of dynamic and appealing user interfaces". Συνεπώς θα εντόπιζες το interface στην συνεργασία ADF-Faces και Ajax για την ανάπτυξη "Rich clients";

Ευχαριστώ και τους δύο!

[Danae]

Και με το captcha τι γίνεται; Παρακάμπτεται;

[Δ. Κουναλάκης]

Δημήτρη, θα επιθυμούσα όπως όλοι μας να υπάρχει API για γιατρούς και αυτό των φαρμακείων δεν ενδιαφέρει. Οταν ανέφερα το AMP-stack εννοούσα, αν είναι δυνατόν η PHP να στέλνει ένα request για όλη τη συνταγή (πχ συνταγογράφηση) σε ένα non-blocking TCP-socket που θα είχαμε αναπτύξει και αυτό με τη σειρά του να επικοινωνεί με τον κατάλληλο τρόπο με το e-synt.
Για αρχή θα ήθελα να έχω μια ιδέα για ένα τέτοιο socket. Αν κατάλαβα καλά από το Technical του Oracle ADF, μας ενδιαφέρει το View Layer, όπου λέει: "For Web based interface Oracle ADF offers a rich set of over a 150 Ajax enabled JSF (JavaServer Faces) components that simplified the creation of dynamic and appealing user interfaces". Συνεπώς θα εντόπιζες το interface στην συνεργασία ADF-Faces και Ajax για την ανάπτυξη "Rich clients";

Για το ADF, ναι. Για το AMP-stack, η ιδέα για ένα ξεχωριστό non-blocking κομμάτι κώδικα εκτός Αpache δεν είναι κακή και ουσιαστικά θα μπορούσε να είναι ένας ενδιάμεσος που θα αντικατασταθεί μελλοντικά από το ΑΡΙ. Για την ακρίβεια, θα μπορούσες να το κάνεις σε PHP cli εάν θέλεις, αν και κρατώ τις επιφυλάξεις μου...

@Danae
Την τελευταία φορά που είχα δει το medisto, σου παρουσίαζε το captcha να το συμπληρώσεις και απλά φρόντιζε να δημιουργεί "κίνηση" ώστε να μην κάνει timeout το session και να σε πετάει έξω. Το ΑΡΙ δεν έχει session και κάνεις authendication με τον ίδιο τρόπο που κάνουν και τα Amazon Web Services με κρυπτογράφηση HmacSHA256.

[Δ. Κουναλάκης]

Μπορείς να δεις την παρουσίαση του Σφυρόερα εδώ: Δεν είναι ορατοί οι σύνδεσμοι (links). Εγγραφή ή Είσοδος

[tsoukase]

Σηκώνουμε τα μανίκια, κλείνουμε τα τηλέφωνα, αποχαιρετάμε στο Σαββατοκύριακο και τρώμε τις Faces μας...

Δεν είναι ορατοί οι σύνδεσμοι (links). Εγγραφή ή Είσοδος

[Argirios Argiriou]

Όταν εκτυπώνεται μια συνταγή ή παραπεμπτικό μέσω του e-syntagografisi ή  e-diagnosis αντίστοιχα
είναι δυνατόν για τους διαχειριστές του e-syntagografisi ή e-diagnosis να δούνε από ποιον υπολογιστή εκτυπώθηκε αυτή η συνταγή ή παραπεμπτικό;
(με την βοήθεια του IP adress αυτού του υπολογιστή);

Σε περίπτωση που το παραπάνω είναι δυνατόν, τότε δεν νομίζω ότι θα τολμήσουν οι διαχειριστές του όποιου medisto ή med-express, να εκμεταλευτούν για κακό σκοπό το password που τους εκμυστηρεύεται κάποιος Ιατρός/πελάτης τους.

[Δ. Κουναλάκης]

Ναι είναι δυνατό αλλά δεν σημαίνει τίποτα πρακτικά εάν με εισαγγελική παραγγελία δεν πας να κάνεις έλεγχο.
Η συντριπτική πλειοψηφία των υπολογιστών δεν έχει σταθερή ΙΡ, τα ασυρματα stick δεν έχουν ΙΡ ανά περιοχή αλλά μοιράζουν σε όλη την Ελλάδα, και το σύστημα ΗΣ μόνο εντός σύζευξις μπορεί να βρεθεί εύκολα η ΙΡ του μηχανήματος του γιατρού.
προσωπικά στο ιατρείο έχω ζητήσει static IΡ για το φόβο των Ιουδαιων.

[Argirios Argiriou]

...............
προσωπικά στο ιατρείο έχω ζητήσει static IΡ για το φόβο των Ιουδαιων.

Πως ζητά κανείς static IP ;

[timex]

Αυτο με την ip γιατι γινεται; γιατι να μη μπορω να συνταγογραφησω απο οποιονδήποτε υπολογιστη;

[Δ. Κουναλάκης]

...............
προσωπικά στο ιατρείο έχω ζητήσει static IΡ για το φόβο των Ιουδαιων.

Πως ζητά κανείς static IP ;

To ζητάς από τον Internet provider σου. Συνήθως περιλαμβάνεται στα επαγγελματικά πακέτα.

Αυτο με την ip γιατι γινεται; γιατι να μη μπορω να συνταγογραφησω απο οποιονδήποτε υπολογιστη;

Δεν σε περιορίζει να μπαίνεις από διαφορετικούς υπολογιστές. Απλά, δεν αλλάζει συνεχώς η ΙΡ που χρησιμοποιείς και αυτό είναι ένα επιχείρημα για να ξεχωρίσεις σε τυχόν πρόβλημα τι έγινε από το ιατρείο σου και τι όχι. Τώρα, εάν οι τυποι του medisto ή του med-express αποφασίσουν να κάνουν παιχνίδι υπάρχει τρόπος να το κάνουν και να γίνει από τη δική σου ΙΡ.

Αυτός ήταν ο λόγος που στο ΑΡΙ είχα προτείνει στην ΗΔΙΚΑ να υπάρχει ένα μηνιαίο log που να μπορείς να δει ο κάθε χρήστης τι έχει κάνει το λογισμικό του. Αυτό φυσικά είναι εφικτό με το ΑΡΙ αλλά όχι με τα πιθηκάκια medisto & med-express

[timex]

Αυτο με την ip γιατι γινεται; γιατι να μη μπορω να συνταγογραφησω απο οποιονδήποτε υπολογιστη;

Δεν σε περιορίζει να μπαίνεις από διαφορετικούς υπολογιστές. Απλά, δεν αλλάζει συνεχώς η ΙΡ που χρησιμοποιείς και αυτό είναι ένα επιχείρημα για να ξεχωρίσεις σε τυχόν πρόβλημα τι έγινε από το ιατρείο σου και τι όχι. Τώρα, εάν οι τυποι του medisto ή του med-express αποφασίσουν να κάνουν παιχνίδι υπάρχει τρόπος να το κάνουν και να γίνει από τη δική σου ΙΡ.

Αυτός ήταν ο λόγος που στο ΑΡΙ είχα προτείνει στην ΗΔΙΚΑ να υπάρχει ένα μηνιαίο log που να μπορείς να δει ο κάθε χρήστης τι έχει κάνει το λογισμικό του. Αυτό φυσικά είναι εφικτό με το ΑΡΙ αλλά όχι με τα πιθηκάκια medisto & med-express

Κατανοητό αλλά το λέω για άλλο λόγο. Πολλοί αγροτικοί επειδή στα χωριά που καλύπτουν δεν υπάρχει ηλεκτρονική συνταγογράφηση, παίρνουν τα βιβλιάρια των ασθενών και συνταγογραφούν είτε στο ΚΥ, είτε στο νοσοκομείο, είτε σπίτι τους. Έναν γνωστό μου λοιπόν, τον πήραν τηλέφωνο (από την ΗΔΙΚΑ) και του έστειλαν και μέηλ, για να του πουν ότι η διεύθυνση από την οποία συνταγογραφεί δεν είναι "γνωστή" στο σύστημα. Κοινώς δε θα πρέπει να συνταγογραφεί από το σπίτι. Και ρωτώ, γιατί να μη μπορεί να συνταγογραφήσει από το σπίτι, τη στιγμή που πολλές φορές η εφαρμογή κατά τη διάρκεια της ημέρας δε λειτουργεί, τα χωριά δεν έχουν υπολογιστές και ιντερνετ, και στο ΚΥ οι υπολογιστές μπορεί να είναι "πιασμένοι" από τους εφημερεύοντες ή άλλους αγροτικούς που θέλουν να συνταγογραφήσουν;

[Harper]

Προσωπικα εχω συνταγογραφησει μερικες φορες απο το σπιτι.Μαλιστα σε τηλεφωνικη επικοινωνια που ειχα με την ΗΔΙΚΑ(?) πριν 4 μηνες περιπου μου ειπαν πως δεν εχει σημασια απο που συνταγογραφω.Το ειχα ρωτησει τοτε γιατι δεν ειχα κομπιουτερ στο ιατρειο και συνταγογραφησααρκετες φορες  στο κοινοτικο γραφειο
Στην τελικη εξαλλου η σφραγιδα και η υπογραφη σου θα μπουν οποτε δε νομιζω να εχει σημασια ΠΟΥ αλλα ΠΩΣ-ΤΙ-ΓΙΑΤΙ

Ενταξει, η χοντραδα θα βεβαια ειναι να  παει καποιος και να συνταγογραφησει πχ σε φαρμακειο (ξερεις ,γιατρε εχω κανα 2-3 συνταγες,ξεπλυνε τες σε παρακαλω μια και εισαι εδω!Να,γραψτες στο κομπιουτερ μου να μην τρεχεις....)