Zobrazení fotek z tagu http

[spm]

Počítám, že obsah [ img ] se akorát nacpe do <img src="...">, takže potřebuješ pořád ještě nějakou díru v browseru uživatele, aby to něco udělalo... Což sice nereálný, ale když to bude něco dost rozšířenýho, tak to ten uživatel stejně chytne odjinud...

Jako nevim, kdyby to ovládalo Temelín, tak to samozřejmě smysl má. Ale počítám, že phpBB při vstupu do administrace (u uživatelů, co mají práva), chce stejně znova login, takže očekávám, že nejpravděpodobnější zneužití bude, že ten uživatel bude nevědomky spamovat...

edit: jo, už chápu, ono to tu URL stejně načte... ale pořád - může ten uživatel opravdu napáchat tolik škody?

[HonzaCZ]

To je právě to zaslepení... nebo nevědomost... Ten útok nemusí vůbec mířit tady na fórum. Když tam bude https://muj-super-mail.com/inbox/?actio ... l_my_mails... ? Tak mi chceš říct, že to ten prohlížeč nezavolá, když tam čeká obsah obrázku?

[spm]

Jasně, zavolá. Ale když to nahradíš za Fotka, tak si na to stejně každej klikne. Respektive klikne na to podle mě tim spíš, když to tu potká v každym třetim příspěvku a přestane řešit, kam to vede (ikdyby to byl zrovna erudovaný uživatel ).

[HonzaCZ]

To je už jeho problém. Ale nezavolá se to všem, co to jenom zobrazí, kdekoliv, v mobilu, někde za rohem, kam vůbec nedočetli atd. Prostě musíš kliknout, aby se něco stalo, navíc si ten link můžeš ověřit. Já koukám, kam takovej link vede.

Kua já fakt nechápu, proč všichni tu bezpečnost tak bagatelizujou. Ono je to 100x vysvětlený, 100x dokázaný, že takový útoky je možný víst a 100x se to stalo a stejně prostě bude někdo brblat, že to je zbytečný...

Jak s tím HTTPS... nejsme banka, tak na co...

Všude, kde se zobrazuje nějakej uživatelsky zadávanej vstup, tak je to nutný řešit, hodně řešit...

[spm]

Tak ono víš co, na jedný straně máš bezpečnost, na druhý použitelnost toho fóra Když vynutíš načítání jen přes HTTPS, jako je to teď, tak ta šance, že to tam někdo injectne po síti je dost minimální. Že to někdo vloží naschvál je taky relativně malá šance (stávající uživatel ti to asi dělá, příspěvky nových uživatelů se schvalují). A když to dáš do linku, tak hromada lidí ti na to stejně klikne. Naproti tomu když odsud zmizí většina obrázků a nepůjde ani jednoduše vkládat jiný (musíš stáhnout, nahrát, ...), tak to vyprudí spoustu lidí. A pak je otázka, jestli to riziko za to pruzení lidí stojí...

Sám si to viděl včera - BT3 dveře, kde když otevíráš třetí po sobě, tak začínáš cítit silné bolesti rukou a je to ve výsledku úplně k ničemu, protože pokud záškodník dokáže překonat ty první, tak dá ostraze po tlamě, sebere jí univerzální kartu a pokračuje dál. Ale musejí být všude, protože norma říká

[HonzaCZ]

Proto taky říkám, že to má být cíl a nezavádím to hned... Ono ve chvíli, kdy půjde vložit obrázek přetažením, nebo zadáním linku, nebo jakkoliv jinak snadno, tak to pak pruda už nebude. Nebo by se dalo udělat, že to při vložení do tagu [ img ] server stáhne, zkontroluje, zda je to fakt obrázek a pak ho to bude linkovat už lokálně. Jako možností je spousta. Ale rozjela se diskuze, tak popisuju problematiku obecněji.

Jinak dveře tam u vás dobrý, sice bolesti rukou jsem necítil, ale musí člověk při jejich otevírání už dost pracovat s těžištěm.

[HonzaCZ]

Spíš teď, co s těma starejma. Jestli je jednorázově převíst na odkaz nebo stáhnout a nahrát lokálně. Jako ono obecně to linkování externích obrázků je blbost právě z důvodů jejich zachování do budoucnosti. Kolik webů, kde ty obrázky jsou, zmizí? Nebo se změní struktura a obrázky jsou pod jinou url? Pokud je to vtip, tak fajn, ale jakmile je to věcnej doplněk nějakýho textu, tak by to měla bejt prostě lokální příloha, kterou máme pod kontrolou, zálohovanou, bezpečně přístupnou, zkontrolovanou její platnost atd. A jsme tam, kde jsme byli. Stačilo by [ img ] zakázat...

[spm]

Já právě externě většinou linkoval ty vtipy, protože mi přišlo dost zbytečný tim zasírat místo na serveru Což když to stáhneš, tak je tam stejně všechny budeš mít

[HonzaCZ]

Já právě externě většinou linkoval ty vtipy, protože mi přišlo dost zbytečný tim zasírat místo na serveru Což když to stáhneš, tak je tam stejně všechny budeš mít

Jo, ale zachováš konzistentní stav. A promazat se to může vždycky...

[VDC]

Honzo já to vůbec nekritizuju, protože tomu nerozumim. Jsem rád, že to řešíš. To byl spíš jen povzdech. Dřív jsem hodně používal pro sdílení obrázků photobucket a vkládání obrázků pomocí [img] Tak tyhle obrázky už vidět nebudou. V plkacích vláknech je to fuk. Ale třeba ve vlákně o Justy Buggy, které dočasně spí, teď není ani jeden obrázek. No holt až projekt oživím, fotky postupně nahraju na web a bude to. Není toho moc, jen asi tak 170 fotek...

[HonzaCZ]

To se dá určitě řešit nějak systémově a ne manuálním naklikáním. Určitě to neřeš ručně. Buďto do tý doby vymyslíme nějaký trvalý řešení, nebo to pak uděláme jenom pro konkrétní vlákna, ale rozhodně to fakt nedělej ručně.

[HonzaCZ]

Jinak mě teda aktuálně photobucket.com nejede vůbec... Ani ty původní HTTP odkazy.

[VDC]

Oni photobucket úplně zmrvili. Asi před dvěma lety vymysleli, že chceš-li sdílet obrázky 3. stranám, tak si máš zaplatit asi 500$ ročně, magoři. Úplně to zabili. Přestal jsem to používat.
Až to bude aktuální, tak se ozvu, nějak to vymyslíme.

[spm]

No 500$ / rok je teda dost nepříčetná částka... kdyby to bylo alespoň trochu normální, tak by asi stálo za to to na chvíli zaplatit alespoň na to, aby se to automatizovaně postahovalo, ale tohle je na hlavu teda dost...

[VDC]

No úplný magoři.