Удаленный контент, PII и хотлинкинг

Поддержка
1

Всем привет! Мне очень нравится эта платформа, но мне нужна помощь в настройке контроля удалённых ресурсов.

Например, я хочу запретить загрузку непроверенных ресурсов. В качестве примера: вот такая ссылка на изображение " " на самом деле указывает не на JPG-файл, но при её открытии все просмотрщики раскрывают свой IP-адрес и, что менее важно, свой user-agent.

Я хотел бы разрешить загрузку только тех ресурсов, которые предназначены для отображения, за исключением некоторых доменов, таких как YouTube или популярные платформы облачного хранения.

Возможно ли это в текущей версии Discourse? Я планирую использовать форум для интернет-форензики, и он идеально подойдёт для этой цели, если удастся предотвратить утечку ПДН (PII) подобным образом, в том числе в профилях пользователей.

Спасибо!

Я использовал canary-токены, чтобы “подделать” JPEG: http://canarytokens.com/, и обернул его в markdown-разметку для изображения.

2

Мы избегаем прямых ссылок (hotlinking), скачивая копии удалённого контента; окно, в течение которого кто-то может использовать прямую ссылку на JPG, очень мало.

Тем не менее, я не против наличия в Discourse какой-либо опции, которая позволяла бы заменять изображения на надпись «Скачивание изображения», пока мы загружаем картинку с прямой ссылкой.

3

Привет, Сэм! Спасибо за уделённое время. Я вижу в логах пользовательский агент Ruby, но если кто-то просматривает мой профиль, я получаю IP-адрес зрителя. Возможно, механизм получения данных или промежуточное ПО не работают глобально во всех разделах приложения?

Думаю, политика безопасности контента (CSP) могла бы решить это в краткосрочной перспективе, но при этом создаст ужасный пользовательский опыт, пока они разбираются, что происходит, ха-ха.

Спасибо за ваше время и мысли по этому поводу!

4

Ты имеешь в виду, что ты вставил ссылку на изображение в разделе «О себе»?

Мы точно не должны этого позволять, думаю, это баг.

7

Привет, Сэм, всё верно: в данном случае я использую команду Markdown ![]() для вставки удалённого изображения. Я ещё не продвинутый пользователь, поэтому не уверен, есть ли другие поддерживаемые способы вставки удалённого контента, но попробуй, думаю, я разместил своё в разделе «О себе» в своём профиле.

Кажется, ограничение «новые пользователи не могут X» к этому разделу не применяется.