プライベートカテゴリを誤って全員に公開(実用的なセキュリティ問題)

こんにちは!Discourse インスタンスの管理者ですが、カテゴリーの権限設定を何度も誤って設定してしまいました(誤って権限を緩くしてしまう)。

この件について詳しく説明し、私だけの問題なのか、それとも他の人にも同様のことが起きているのかを知りたいと考えています。もしそうであれば、どのような対策が取れるか教えていただければ幸いです。

注記: もしこれが私に複数回(合計4回)起こっていなければ、あまり気にしなかったかもしれません。しかし、これらは私にとって記憶に留めるほど重要な出来事でした。

問題の概要

新しいカテゴリーを作成すると、デフォルトで everyone(全員)に対して 作成 / 返信 / 閲覧 の権限が設定されます。

ある理由で、私がこのミスを犯すときは、まずアクセスを許可するグループを選択するためにドロップダウンメニューをクリックし、その後で権限を選択します。しかし、 everyone の権限を削除するために、 + をクリックしてから x をクリックするのを忘れてしまいます。

セキュリティへの影響

このミスが発生した際、カテゴリーは作成されたばかりであるため、実際に情報が漏洩するわけではないので、影響は軽微だと考える人もいるかもしれません。しかし、ある状況では、ユーザーに(今後発表される予定の)カテゴリーの存在を知らせるだけで、サプライズが台無しになったり、まだドラフト段階の将来の計画が明らかになったりすることがあります。

「いいね!」 2

ご報告ありがとうございます!ユーザーが UI でどこでつまずいているかが分かると助かります。カテゴリの権限設定でミスするとセキュリティ上の問題を引き起こす可能性があることに同意します。同様に、より深刻な問題としては、サイトの login required 設定を誤って設定してしまうことが挙げられます。

セキュリティ関連の設定が更新される前に、Discourse がそれらが正しいか確認する手段があるかどうかは確信が持てません。

「いいね!」 5

一つの解決策としては、ユーザーがドロップダウンボタンを変更した場合、ユーザーが何らかの操作を試みているとみなし、以下のような確認メッセージボックスを表示するというものがあります。ただし、テキストは次のように変更します:

権限を変更しましたが、適用していません。本当にこのカテゴリを全員に見せることを確定しますか?

「いいね!」 1