pkuanvil
    • 版块
    • 标签
    • 帮助
    • 注册
    • 登录

    【树洞安全性】有人发现TP树洞未登录也可以看到树洞内容

    BBS
    tp树洞
    4
    12
    1.1k
    正在加载更多帖子
    • 从旧到新
    • 从新到旧
    • 最多赞同
    回复
    • 在新帖中回复
    登录后回复
    此主题已被删除。只有拥有主题管理权限的用户可以查看。
    • ?
      游客
      最后由 编辑

      https://top2.life/##2211
      你洞有安全性？
      （2-09 14:21:18 6关注 10回复）

      [Alice] https://github.com/treehollow/treehollow-v3-encryption-doc
      [洞主] 随便打开个浏览器，输入https://tapi.top2.life/v3/contents/post/detail?pid=2188，直接所有内容弹出来
      [洞主] 正常也要验证一下token才能看吧？？？
      [Bob] 啊这

      [Bob] 其实我也有点怀疑。。未名树洞在登陆凭据过期后是不会显示任何东西的，但这个洞不一样，虽然不能互动但能看到内容
      [洞主] Re Bob: 虽然是有凭据，但根本用不到啊doge
      [Carol] 乐
      [洞主] 我只是想顺手爬一下洞，然后就发现了这，乐
      [Alice] 这个之前好像解释过，因为开了未登录也可以看的功能，但是因为ip转发没调好所以未登录加载不出来，所以是正常的，你可以看#475
      [Dave] 乐

      1 条回复 最后回复 回复 引用 0
      • ?
        游客
        最后由 编辑

        附#475洞
        https://top2.life/##475

        晚安世界 20230206

        这是TP树洞建立以来的第一个晚安洞！看到这个洞代表着你该去睡觉了（至少在UTC+8）！
        晚安世界是我个人的一个小尝试，会每天在树洞里发一些当日乐子或新闻，或者安利，或者别的什么东西！大概会争取每天睡前发，希望可以持续下去。
        今天跟大家讲讲为什么下午SMTP服务器炸了，其实原因很简单，就是我们本来用的是proton的smtp服务，它觉得我们在spam，就把我们号封了……后来切到aws，就好了！aws的限制是每天五万条，我觉得短时间内不会触碰到这个限制，除非有人在d我们的服务器并通过我们的服务器d别人家的邮箱。
        说到限制，其实每个ip每天申请验证码也是有限制的，但因为我们采用了一些和以往策略不同的缓存/cdn/alb策略，所以暂时还没调好ip转发的事情，后端拿不到真实ip，拿到的全都是内网ip，所以目前禁用掉了这个限制（指把限制调到114514），等到后端调好了，就会恢复每个ip每天十次的限制。未注册用户看不了树洞也是类似的问题：需要通过后端的地区验证才能看到树洞，但因为拿不到真实ip所以通不过地区验证……而且正如#25所说，我们专门用于提交代码的github账号被ban了，为了顾及开源协议我们也不能动后端代码，所以暂时也没法在代码层面禁用掉地区验证。
        下一步的开发计划：根据收集到的用户反馈调优，目前有三个，一个是在#25里Isabella所说，“在主页，每条树洞只有前三条回复可以左右滑动查看，其他会被隐藏，点开才能看，有点不方便。希望改为可以左右滑动查看前十条”，另一个是在#165提出的“最近回复”功能，加一个按钮显示最近回复的二十条之类的，最后一个是我个人觉得应该有的，就是复制一个评论的全文/某个发言者的全文的功能。（当然还有刚刚提到的ip转发……以及移动端推送……）什么时候能上线就不好说了，可能得等到我们搞明白为什么github账号被ban了，而且目前一共只有一个半开发，还得顾及各自的科研方面之类的事情，所以可能会鸽一段时间。远期的开发目标：#25内Olivia提出的点赞和完全cover这个功能的emoji response，以及Richard提出的对输入法的更好支持，以及Uma引发的关于更多投票选项和多选投票，但要等更久。
        计划明天修订一次社区规范，这是因为在魔改T大树洞的规范的时候没有考虑这是两校的树洞。计划严禁在两校间踩一捧一（但挂着TP树洞的名号是否属于假定两校排名捏），并对如划专业间鄙视链等类似行为做出限制，并对两校间联谊、交流课程、取长补短等行为及交流做出鼓励。
        目前把之前的意见反馈洞挂在置顶了，以及公告是不是应该写一点比较有意义的东西……
        好，今天就到这里！大家晚安！明天争取不讲树洞的事了！
        （2-07 15:29:23 18关注 12回复）

        [Alice] 感谢站长，愿TP树洞越办越好！
        [Bob] 提建议：插入图片部分加入快捷编辑功能
        [Carol] 同祝!
        [Dave] dx晚安！
        [Eve] dz晚安！
        [Francis] dz晚安！

        [Grace] 愿您长治久安！
        [Hans] dz晚安！
        [Isabella] dz晚安！
        [Jason] dz晚安，祝好！😘
        [Kate] dz晚安！
        [Louis] dz晚安！

        1 条回复 最后回复 回复 引用 0
        • A
          admin
          最后由 admin 编辑

          本站的话，有一个Secret版只对注册用户可见，但是在站长的预期中绝大多数内容应该是公开的，甚至能被搜索引擎索引

          读了一下晚安世界的发言，感觉无论是管理员的理念还是注册用户的想法都和 pkuanvil 相差甚远……祝它们办的和以前一样好吧

          J 1 条回复 最后回复 回复 引用 0
          • ?
            游客
            最后由 编辑

            估计TP树洞本就不多的活跃用户数又要再度暴跌，过于草率地推出这个树洞

            ? wumingshiW 2 条回复 最后回复 回复 引用 0
            • ?
              游客
              最后由 编辑

              https://top2.life/##2248

              晚安世界 20230209

              首先插播一条乐子，由于我时区和作息错乱，前两天的晚安洞的日期都是错的，在这里表示诚挚的歉意哈哈哈哈哈哈呜呜呜呜
              建洞三天以来，我们树洞已经有了近两千四百名用户、两千余洞和近万条回复，非常感谢大家对TP树洞的支持！可惜的是，我们没有加入统计来自学校的功能，目前（以及可见的将来）我们也没法知道两校人员的分布到底如何，但正如我们建立这个洞的初衷那样，我们成功提供了一个两校的匿名社交平台，促进了两校的深入交流！
              然后通知大家一个噩耗：北大的计算中心已经把我们的主域名列入黑名单了，这意味着以@top2.life后缀发出的邮件均无法到达北大同学们的邮箱里。我们目前的应对措施是临时又注册了一些域名，分别是……呃，还是别说了吧，我怕说了之后有一些同学把这些域名反馈到北大校方。我相信这些同学多半也是出于好心，他们可能觉得无监管或者由非校方监管的匿名社区是不合适的，或者觉得我们是抱着恶意建立的这个树洞社区，甚至可能觉得正在使用这个树洞的用户都是悲惨的受害者。我们希望没有这样的同学，但如果有的话，希望这些同学思考一下：我们从来没有像某些人一样强迫大家使用或不使用某款产品，大家是完全出于自愿来到这个社区；我们也从来没有以任何形式向任何用户索取任何个人信息（如果有的话请务必举报），与其担心我们泄密，不如想想之前某树洞的脱裤究竟是怎么发生的。当然，如果是出于“必须我监管的才是好的”这样的观点，我觉得你自己也知道你是啥比。
              不得不承认的是，目前的应对措施是不合适的，因为我们就算换一个域名，校方就可以一键屏蔽一个域名；屏蔽域名是几乎不需要付出代价的，而我们每更换一个新域名就会花掉一点钱。有洞友建议转而由用户向我们指定的邮箱发邮件来注册，但我们也没有办法确定校方会不会屏蔽从北大邮箱向特定域名发送的邮件。我们目前想到的另一个临时解决方案是，我们使用一系列如gmail、outlook这样的邮箱发送，校方不可能屏蔽这些邮箱的整个域名，唯一的代价是我们需要注册一大堆这种邮箱。这么做同样是治标不治本，而目前能想到的唯一根治方案是引入第三方验证，使用如OAuth这样的机制，通过ms或github这样的第三方账号验证其使用者是否是stu邮箱。然而，这必然要求大家额外注册账号或者在已有的账号上绑定stu邮箱，这很麻烦，而且需要一定的开发周期，说实在的，短时间内几乎没办法上线——正如之前的洞里所说的那样，我们只有一个半开发，而且各自还有各自的科研任务之类的，但我们也确实想不出更好的办法了。希望大家告诉我们你们的想法！
              （2-09 23:27:22 8关注 7回复）

              [Alice] admin如何回应#2211?
              [Bob] 是管理员吗？#2211怎么回事呢
              [Carol] 管理大大先解决一下#2211的问题吧
              [Dave] 感谢管理员!
              [Dave] #2211具体是什么问题? T大树洞也有吗?
              [洞主] 正如2211中解释的那样，那是因为这个树洞本身设计上有一个是否允许未注册用户查看树洞内容的开关，我们设置的是未注册用户可以查看树洞内容，而由于目前的一些问题未注册用户无法通过ip检测，所以看不了内容，但可以正常通过api获取。如果大家觉得未注册用户是不该看到树洞内容的，请告诉我们你们的想法和理由！
              [Eve] 或许可以考虑招募一些管理员和开发人员？

              A 1 条回复 最后回复 回复 引用 0
              • A
                admin @游客
                最后由 编辑

                好家伙，三天就超过了本站的10倍规模。。。哎，做好眼前能做好的吧

                1 条回复 最后回复 回复 引用 0
                • A
                  admin
                  最后由 编辑

                  https://top2.life/##2263 【运营】
                  针对#2211对本洞安全性问题提出的质疑，在此我们top2树洞运营团队做出如下解释。

                  1. 我们有在#475提及我们希望未注册的用户也能查看树洞内容，当时没有洞友提出反对。我们没有就这一问题做出详细的解释，这确实是我们的问题，现在已经关闭了未注册用户可以查看树洞内容的权限。
                  2. 针对#2211洞主的顾虑，我们必须要声明的是，通过调用api查询到的只有树洞内容，无法获得用户信息；即使有人得到了某一个洞的所有信息，也无从获取任何未主动公布的隐私信息。即使是管理团队需要解密某一洞，都需要半数以上的人同意，且分别对该洞的密文解密后拼凑slice才可以解密。因此并不存在所谓的“安全性”问题。
                  3. 解答#2211里部分洞友的疑虑，首先，t大树洞运营了很长时间，迭代过很多内容，大家不要担心代码本身有什么问题；其次，我们之前提到的，整个团队的github账号被ban了导致无法更新代码，指的是无法把最新的代码开源，会违背AGPLv3开源协议，不代表如果后端出了问题我们不能修改代码后以其他形式分发，开源的问题我们也在想办法解决，请大家不要焦虑自己的个人信息泄露（除非用户自己到处散布个人信息，关于这一点也已在隐私协议里建议过不要发表自己的隐私信息）
                  4. 后续我们会发布一个投票，看一下大家对“允许未注册用户围观”这件事的看法。现在树洞的注册人数已有两千余人，若若有超过80%的洞友参与投票，则将以多数人的意见作为标准执行。
                    （2-10 0:02:15 4关注 9回复）

                  [Alice] 请问半数以上管理员能获得的是什么信息呢?
                  [洞主] Re Alice: 发洞邮箱，这一点在#25中有做说明
                  [Alice] 就是
                  比如说我在这个洞是Alice 但是我曾在某个洞里自爆过隐私(比如说热榜第一洞)
                  那么 谁有权限知道这件事情?
                  [Bob] 建议把这条置顶到公告里。毕竟很多用户保护个人隐私的意识和能力都不强。
                  爬下来的P大树洞的公开资料充斥大量个人联系方式和校园卡无码图片
                  [洞主] Re Alice: 首先，我们强烈建议各位不要在树洞中发布所有人都可获取的个人隐私信息。
                  其次，目前我们已经关闭了未登录可见选项，所以你的问题的答案是看得见这条洞的人都能知道你的信息
                  最后，我们还是得再次强调，不要主动泄漏个人隐私信息，不要给自己和别人惹上麻烦

                  如若已经不小心泄漏或发布涉及隐私信息的树洞，且担心会对自己造成影响，可以及时向树洞团队发邮件说明
                  [Alice] Re 洞主: 抱歉 我的意思是 什么情况下能跨洞获取隐私
                  [Alice] Re Alice: 我其实很习惯半匿名论坛 比如说我有一个用户名叫 "abc" 我在哪儿发帖都叫"abc"
                  [Alice] 看起来按照#25所说, 没有全局定时重置 那么是不是在管理员眼底 可以知晓我在所有洞的发言?
                  [洞主] 在此，我们再次建议各位读一下隐私条款。按之前提到的，只有涉及到负面自杀倾向时，出于人道主义精神，我们团队会召集半数以上的管理员对该树洞进行解密，从而获取发洞人邮箱并及时通知校方。除此之外，不会解密任何洞，任何方式（任何！任何！任何！）都不能获取用户未主动公开的个人信息！

                  A 1 条回复 最后回复 回复 引用 0
                  • A
                    admin @admin
                    最后由 admin 编辑

                    尝试了一下 TP树洞的 API 路由，已经无法查看了，看来未登陆访问的权限已经被管理员关闭了

                    1 条回复 最后回复 回复 引用 0
                    • ?
                      游客 @游客
                      最后由 编辑

                      @Guest 在 【树洞安全性】有人发现TP树洞未登录也可以看到树洞内容 中说：

                      估计TP树洞本就不多的活跃用户数又要再度暴跌，过于草率地推出这个树洞

                      肉眼可见的活跃度暴跌。

                      1 条回复 最后回复 回复 引用 0
                      • J
                        Jupiter
                        最后由 编辑

                        tp洞本质上是p大难民营，都是qy洞逃难的。隔壁有闭社和新t，用的好好的没有急切的需求。这下pku邮箱被ban，新用户的新鲜感过了，活跃度暴跌也算是合理吧。唉，希望能早日和隔壁一样接入类似Github这种验证方式，这样可以逃过学校的魔爪

                        1 条回复 最后回复 回复 引用 0
                        • J
                          Jupiter @admin
                          最后由 编辑

                          @admin 论坛的黄金时代已经过去了，大家会更倾向于树洞这种碎片化的匿名平台，很多人不太习惯论坛的交互方式。tp洞人数暴增其实类似逃难吧，大家发现了一个没有qy的树洞，肯定就都去注册了。我是支持论坛和树洞都要发展，也希望anvil越办越好

                          1 条回复 最后回复 回复 引用 0
                          • wumingshiW
                            wumingshi @游客
                            最后由 编辑

                            不是草率，运营后续有个洞解释是之前在一个400多号的洞里问过大家是否愿意让未注册的人也能看到树洞内容，结果没几个人反对，所以实际上运营团队是故意留了这么个口子的

                            1 条回复 最后回复 回复 引用 0
                            • 1 / 1
                            • 第一个帖子
                              最后一个帖子