Tietoturvaongelma Psykopatologia-foorumilla

[Psykopatologia]

Psykopatologia-foorumilla http://psykopatologia.foorumi.eu/viewto ... 31#p319031 tietoturva-ongelma: rivikirjoittaja pääsee ylläpitäjän alueelle ym. (Tarkemmat tiedot privaattiviestillä Pettikselle.) YP pertti_luukkonen@kolumbus.fi

[Pettis]

Ylläpidon login perusteella sähköpostissasi mainitsemallesi käyttäjälle on annettu ylläpitäjän toimesta pääsy ja valvojan oikeudet kyseiselle alueelle. Koska kyseisellä henkilöllä on valvojan oikeuksia, näkyy hänelle myös valvojan hallintapaneeli.

Tässä ei ole kyse mistää viasta tai laajemmasta tietoturvaongelmasta. Foorumi toimii määriteltyjen oikeuksien mukaan.

Oikeudet voi tarkistaa esim. käyttäjien oikeudet alueittain -toiminnolla, jossa voi listausnäkymässä vaihtaa tyypiksi "valvojan oikeudet" normaalisti näkyvän "alueen oikeudet" valinnan sijaan.

Valvojan oikeudet näyttää valinnan mukaan valvojan oikeudet ja alueen oikeudet näyttää käyttäjän oikeudet alueella.

Näitä kannattaa tällaisissa tilanteissa avata klikkaamalla erikoisoikeudet -linkkiä, jolloin näkee tarkemmin että millaiset oikeudet ovat. Suosittelen kuitenkin oikeusmäärittelyt tekemään ryhmien avulla eikä käyttäjäkohtaisesti, jotta näiltä vältyttäisiin.

EDIT: Käyttäjien oikeuksiin pääsee vaikuttamaan vain ylläpitäjät / ylläpidon hallintapaneeliin pääsevät.

[sivullinen]

Pitäisi vakavasti harkita, että Psykopatologia- foorumi suljettaisiin vähäksi aikaa jatkuvien vakavien ongelmien vuoksi. Vähän aikaa sitten kaikkien päiväkirjat olivat yleisesti luettavissa vaikka yleensä ne ovat vain kirjautuneiden luettavissa. Silloin syypää oli moderaattori. Nyt ties kuinka monen kirjoittajan tiedot näkyvät muillekin kuin ylläpitäjälle ja moderaattorille eikä kukaan osaa vikaa korjata.

[Psykopatologia]

Psykopatologia-foorumilla http://psykopatologia.foorumi.eu/viewto ... 31#p319031 tietoturva-ongelma: rivikirjoittaja pääsee ylläpitäjän alueelle ym. (Tarkemmat tiedot privaattiviestillä Pettikselle.) YP pertti_luukkonen@kolumbus.fi

YP (Psykopatologia) eikä Valvoja (Kyllästynyt) ole pystynyt ratkaisemaan ko. "tietovuotoa"; voitko sinä, joka olet jo käynyt dataa läpi, korjata asian (eli vibekeltä yp-oikeudet vek)?

[Pettis]

Teillä on rekisteröityneille käyttäjille asetettu normaali pääsy, eli kuka tahansa rekisteröitynyt pystyi lukemaan ylläpidon palstaa.

normaali-paasy.png (51.56 KiB) Katsottu 8046 kertaa

Vaihdoin arvoon "Ei pääsyä".

Lisäksi kyseiselle käyttäjälle oli vielä erikseen laitettu oikeudet joilla pääsee kyseiselle alueelle.

Jatkossa olette sitten huolellisempia näiden oikeuksien kanssa. Näiden säätäminen jokaiselle foorumille foorumin ylläpidon oikeudet sotkettuaan ei kuulu ilmaisen ylläpidon piiriin.

[Psykopatologia]

Jes sir, ja paljon kiitoksia!

[Pettis]

Teillä näköjään foorumillanne on jostain syystä käsitys, että tämä olisi ollut laajempikin ongelma MunFoorumissa. Sanon tämän vielä kerran:

Tämä on täysin teidän foorumin asetuksiin rajoittunut ongelma ja koskee ainoastaan tätä yksittäistä foorumia. Jos haluatte käyttäjille sallia oikeudet tuolle ylläpitäjän palstalle, niin käykää muuttamassa kyseinen asetus takaisin.

rivikirjoittaja pääsee ylläpitäjän alueelle ym.

Rivikirjoittajahan ei ole päässyt ylläpidon alueelle. Ilmeisesti foorumianne lukiessa kyseessä on ollut valvojan hallintapaneeli. Lähin ylläpitäjän alue jonka foorumiltanne löysin oli tuo kyseinen "Ylläpitäjän palsta".

Älkää säätäkö foorumeiden asetuksia käyttäjäkohtaisesti koska jokaiselle käyttäjälle erikseen asetettujen oikeuksien pitäminen ajantasalla ja toimivina on vaikeaa.

Lainaus foorumeiltanne:

Pettis höpötti, että hänelle ei oikein kuuluisi tällainen muiden virheiden ilmainen korjaaminen. - Mutta eipä tuo itse kiittänyt siitä, että vibeken huomioiden pohjalta munfooruminen yleinen systeemi-virhe tuli esiin.

Mitään MunFoorumin systeemi-virhettä ei ole tähän tapaukseen liittyen ollut olemassa. Kyse on väärin / huonosti asetetuista oikeuksista tällä yksittäisellä foorumilla.

[jokunikki]

"Ylläpidon login perusteella sähköpostissasi mainitsemallesi käyttäjälle on annettu ylläpitäjän toimesta pääsy ja valvojan oikeudet kyseiselle alueelle."

Milloin on annettu?

"Lisäksi kyseiselle käyttäjälle oli vielä erikseen laitettu oikeudet joilla pääsee kyseiselle alueelle."

Milloin oli laitettu?

[Pettis]

En ala näitä tietoja enää uudelleen kaivamaan sivullisten pyyntöjen vuoksi, koska tämä tieto ei vaikuta tapahtuneeseen mitenkään. Se vain ruokkisi kinastelua kyseisellä foorumilla.

Kyseisen foorumin ylläpito voi hallintapaneelista halutessaan tarkastaa ylläpidon login ja hakea esimerkiksi nimimerkin perusteella kyseisestä logista.

[jokunikki]

Onpa hyvä, että kieltäydyit kertomasta. Olisi ollut tosi ikävää, jos olisi tullut kinastelua.