개인정보 보호 우려

지원
1

안녕하세요. 몇 가지 보안 취약점에 대해 보고를 받았는데, 이에 대해 이해하고 싶습니다.

사용자 목록:
인증 없이 플랫폼의 모든 사용자를 볼 수 있습니다.
https://*domain*/directory_items.json?period=daily&order=posts_read

사용자 정보:
인증 없이 모든 사용자의 상세 정보를 조회할 수 있습니다.
https://*domain*/users/*user*.json

이러한 상황을 제한하거나 공개적으로 접근 가능한 사용자 정보의 수준을 낮추는 방법이 있을까요?
로그인한 사용자만 허용하면 이 모든 정보가 차단된다는 점은 알고 있습니다.
일부 공개 정보를 유지하면서 다음을 어떻게 할 수 있을까요?

  • 사용자 목록 조회(데이터베이스 전체) 가능성을 제한하는 것
2

위 커밋 이후, 설정 → 인터페이스에서 “공개 프로필 및 존재감 기능 숨기기” 옵션을 체크하면 개별 사용자의 RSS 및 JSON 라우트가 차단됩니다.

image
image612×354 23.8 KB

enable user directory 사이트 설정의 체크도 해제할 수 있습니다 :arrow_down:

image
image734×199 13 KB

도움이 되나요?

3

매우 빠른 답변 감사합니다. @rishabh.
RSS/JSON 전문가가 아니므로 첫 번째 항목에 대해 좀 더 자세히 설명해 주시면 좋겠습니다:

  • 이 수정 사항을 적용하려면 단순히 다시 빌드(rebuild)하면 되는 건가요?
  • "개별 사용자의 RSS 및 JSON 라우트를 차단한다"는 것이 무슨 의미인가요?

그리고 추가 질문이 있습니다.

  • 기본적으로 “공개 프로필 및 접속 상태 표시 기능을 숨김” 옵션을 활성화할 수 있는 방법이 있나요?
  • 디렉토리를 비활성화하면 관리자도 접근할 수 없게 됩니다. 사용자 디렉토리 접근 권한을 더 세밀하게 제어할 수 있어야 한다고 생각합니다(관리자와 모더레이터는 항상 접근할 수 있어야 한다고 생각합니다).
  • “사용자 프로필을 공개에서 숨김” 옵션을 체크했지만, 익명 사용자도 여전히 제한적이긴 하지만 사용자 목록을 볼 수 있습니다. 모든 익명 사용자의 개인 정보 및 목록 열람을 차단할 수 있는 옵션이 있어야 합니다.(이것이 제가 놓치고 있는 수정 사항의 일부일 수도 있나요?)