こんにちは:wave:
今日、私は嫌な機会を見ました。管理者は管理パネルから離れることなく、ユーザーのプライベートメッセージを読むことができます。
また、管理者はユーザーアカウントでログインを非表示にし、パスワードと2FAをバイパスして暗号化されたメッセージ（Discourse Encrypt）を読むことができます。
管理者の権限に恐怖を感じているのは私だけではないと思います。そして、Developers Discourseの立場は変わらず、ユーザーのプライバシーは何も価値がないということです。
管理者の機能をより透明にし、管理者がアカウントに承認されたこと、またはPMを読んだことをユーザーに通知する解決策を見つけた人はいないか、お尋ねしたいと思います。
いいえ、ログのこのアクションは管理者/モデレーターのみが表示できます。
管理者/モデレーターがユーザーアカウントにサインインした場合、またはプライベートユーザーメッセージを読んだ場合にユーザーに通知したいと思います。
システムボット経由でPMに通知するか、ユーザープロファイルにこれらのログアクションを表示します。たとえば、ユーザーアカウント設定に「ログ」メニューを作成し、ユーザーがこのアクション（管理者/モデレーターからのサインイン/PMの読み取り）を表示できるようにします。
私が記憶している限り、PMアクセシビリティ機能は管理者のみが利用できます。モデレーターは他のユーザーのメッセージを開くことはできません。したがって、簡単な答えは、Discourseインスタンス自体を特別にサービスおよび管理する担当者にのみ管理者アクセス権を付与することです。技術的な観点から、インスタンスを管理する担当者は、ログエントリを生成せずにデータベース自体からPMにアクセスできます。サイトおよびそのサーバーの管理者として、管理者がそのレベルのアクセス権を取得するのを最終的に防ぐ唯一の方法は、それらが行方不明のキーでコンテンツを暗号化することです。
求めているセキュリティレベルについては、基本的にこれが必要です。
まだ使用していませんが、キーがクライアントサイドで生成および保存され、なりすまし機能ではアクセスできないようになっていると信じています。キーはローカルに保存されたままで、なりすましによってアクセスできなくなるはずです（私の知る限り）。これは、データベース自体のデータを保護する唯一の方法です。
Discourseの「オープンソース」は、管理者の機会を非常に制限しており、このフォーラムの微妙な設定において非常に限定的です。私は以下を行うことができません。
しかし、Discourseはユーザーのスパイやユーザーアクティビティに関するより多くの情報をログに記録するには非常に優れた製品です。
はい、このプラグインを使用しましたが、管理パネルから暗号化されたメッセージを読むことができます。非常に悲しいことです。
実際には、そうではありません。他のユーザーの暗号化されたメッセージは、復号するためのキーを持っていない限り、読むことはできません。暗号化/復号はサーバーではなくクライアント側で行われ、暗号化されたメッセージはサーバーに暗号化された状態で保存されます。
管理者が個人メッセージを読むことができるかどうかは、しばしば議論される問題であり、変更されることはありません。プライバシーとセキュリティが懸念される場合は、管理者のアクセス権限を厳しく制限し、サイトの設定を変更したりバックアップをダウンロードしたりする必要がある場合にのみ、管理者としてログインしてください。
あなたはDiscourseにかなり不満を持っているようです。オープンソースなので、別のソフトウェアを使用することを歓迎します。
おい、今日テストしてみるよ。
はい、セキュリティとプライバシーはどのソフトウェアでも非常に重要です。
したがって、お申し出を受け入れ、スパイ行為をするDiscourseの使用を拒否します。
暗号化されたメッセージを見ていたか確かめてください。ユーザーは実際に設定してメッセージを送受信し始めなければなりません。そうする前に作成された既存のメッセージは暗号化されませんし、暗号化されていないメッセージを送信することを選択することもできます。
残念ですが、幸運を祈ります！
はい。
このプラグインを新規インストールで全ユーザーにデフォルトで有効にしました。
チャオ！
おそらく暗号化されていないメッセージを見ているのでしょう。管理者はメッセージを復号化するためにユーザーのパスワードを知る必要がありますが、パスワードはハッシュ化されたPBKDF2で保存されているため、ハッシュを総当たりで解読するにはコストと時間がかかるプロセスになります。追加のプライバシーが必要な場合は、暗号化されたPMプラグインに有効期限機能があります。いずれにしても、管理UIにPM読み取りオプションがない場合でも、暗号化プラグインを使用しない限り、データベースには平文で保存されます。
オープンソースはプライバシーを意味するわけではありません。用語を混同していると思います。
This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.
