Piwigo.org

deheme · 2016-01-27 19:28:17

Bonsoir,

Le mécanisme d'autologin permet d'échanger avec la famille/amis sans qu'ils aient besoin de se connecter manuellement, il répond à mon besoin de lien codé (à la manière de...), mais j'aimerai partager un peu plus sur un point qui me chagrine.

Si l'utilisateur qui reçoit la notification, partage le lien (et ça arrivera, en quelque échanges le lien sera connu de quelques dizaines voire quelques centaines de personnes) ce qui n'est pas l'objet initial du partage.
Ensuite, tel que c'est actuellement, ni l'utilisateur, ni l'admin ne peuvent supprimer ce lien, l'admin ne le connait même pas.
Sauf erreur de ma part, en changeant le mot de passe, le lien reste valide, ça n'est donc pas vraiment un autologin.

La durée est adaptable par conf mais on n'a aucune liste des liens envoyés ni de leur validité (pour ma part, je mettrai la durée infinie, en tout cas >>> 3 jours.) ce qui n'arrange pas la question de la dissémination.

On a donc un lien permettant à quiconque d'accéder à tous les albums/photos qui non seulement étaient accessibles avant la notification mais aussi tous ceux qui le sont devenus après la notification. Avec ce lien, on accède au compte du destinataire initial et on peut même changer son mot de passe (lorsqu'il n'est pas générique).

J'ai pensé à créer un utlisateur "famille" qui lui serait générique, mais comment expliquer à tata Ginette que parfois elle est "famille" mais que pour voir les photos d'elle un peu éméchée il faut qu'elle se connecte avec son propre compte?

Qu'en pensez vous?

DéHème
Ne me dites pas qu'il faut que tata Ginette arrête de boire, je lui ai déjà dit ;-)

Dernière modification par deheme (2016-01-27 19:30:30)

plg · 2016-01-27 20:06:14

Bonjour deheme,

deheme a écrit:
Si l'utilisateur qui reçoit la notification, partage le lien (et ça arrivera, en quelque échanges le lien sera connu de quelques dizaines voire quelques centaines de personnes) ce qui n'est pas l'objet initial du partage.

Oui c'est sûr que ça arrivera et l'email peut aussi être compromis (un pirate qui s'infiltre dans une boîte mail c'est malheureusement assez courant). D'où l'intérêt de limiter la clef dans le temps.

deheme a écrit:
Ensuite, tel que c'est actuellement, ni l'utilisateur, ni l'admin ne peuvent supprimer ce lien, l'admin ne le connait même pas.

En effet, il n'y a pas de "gestionnaire des clefs d'identification". J'ai prévu de l'implémenter avec un plugin. Il y a ce qu'il faut niveau base de données.

deheme a écrit:
Sauf erreur de ma part, en changeant le mot de passe, le lien reste valide, ça n'est donc pas vraiment un autologin.

Je ne comprends pas le rapport entre le début de la phrase et sa conclusion. Cependant, si je comprends bien tu voudrais un moyen pour désactiver toutes les clefs. Tu suggères que le changement de mot de passe invalide les clefs. Pourquoi pas. Ou bien une action "désactiver les clefs d'identification". Ca me paraît plus "évident" comme action.

deheme a écrit:
Qu'en pensez vous?

J'en pense que c'est sans doute pour ces raisons que ces clefs n'ont pas été implémentées dans Piwigo en 14 ans. Seulement voilà, parfois la facilité d'utilisation s'oppose à la sécurité. La difficulté étant de positionner correctement le curseur pour obtenir un compromis acceptable. Dans mon implémentation initiale (qu'on va faire évoluer évidemment), j'ai jugé que le compromis se trouvait dans la durée limitée de la clef. Un webmaster qui "craint" que ses données privées soient "compromises" pourra simplement désactiver la fonctionnalité ou passer la durée à 1 heure par exemple.

deheme · 2016-01-27 21:49:49

Je précise ma pensée :

deheme a écrit:
Sauf erreur de ma part, en changeant le mot de passe, le lien reste valide, ça n'est donc pas vraiment un autologin.

Dans mon esprit le login est un couple "nom de user/mot de passe" (credentials).
Ici on se connecte même quand le mot de passe n'est plus valide (parce que par exemple changé par l'utilisateur lui même), c'est pour cela que je dis que ça n'est pas vraiment un autologin.

Ceci étant le résultat est le même, un malfaisant ou tout simplement un blagueur qui aurait reçu le lien pourrait changer le mot de passe via "personnaliser".

La durée de validité de la clé est difficile à régler, certains vérifient leurs mails toutes les 5min (suivez mon regard), d'autres toutes les semaines.

Si je comprends bien il s'agit d'une durée unique pour toutes les clés (?).

DéHème

Dernière modification par deheme (2016-01-27 21:50:36)

plg · 2016-01-27 22:11:25

deheme a écrit:
Dans mon esprit le login est un couple "nom de user/mot de passe" (credentials).

OK, mais ce serait vraiment pas secure (enfin, ce serait "inconscient") de donner un lien avec un nom d'utilisateur + mot de passe dans l'URL (et c'est impossible dans la mesure où Piwigo n'a pas le mot de passe en clair).

deheme a écrit:
Si je comprends bien il s'agit d'une durée unique pour toutes les clés (?).

Oui, la durée de validité est décidé à la création de la clef et c'est la même pour toutes les clefs. Après on peut très bien changer la durée juste avant un envoi, et ensuite remodifier la durée.

deheme · 2016-01-27 22:30:18

Je n'ai pas dit qu'il fallait donner le mot de passe dans le lien, seulement que le terme autologin n'était pas le bon.

Cela dit , ici on donne un lien de "connexion" qui permet de changer le mot de passe, que le vrai user ne connaitra pas...

Si j'ai envoyé 50 notifications, je peux changer la durée pour chaque, je ne pense pas?

DéHème

Dernière modification par deheme (2016-01-27 22:31:57)

plg · 2016-01-28 11:11:12

deheme a écrit:
Je n'ai pas dit qu'il fallait donner le mot de passe dans le lien, seulement que le terme autologin n'était pas le bon.

Dans l'annonce de la 2.8.0RC1 je parle de "clefs d'identification automatique", mais j'aurais pu aussi bien écrire "auto log in" (et pas auto-login, légère nuance qu'on m'a expliqué récemment). L'idée c'est bien que l'utilisateur soit identifié automatiquement sans avoir à se souvenir de son mot de passe.

deheme a écrit:
Cela dit , ici on donne un lien de "connexion" qui permet de changer le mot de passe, que le vrai user ne connaitra pas...

Je rappelle quand même que pour changer son mot de passe, il faut donner l'ancien. Ca limite le risque, non ?

deheme a écrit:
Si j'ai envoyé 50 notifications, je peux changer la durée pour chaque, je ne pense pas?

Actuellement non, mais le futur plugin de gestion des clefs permettra de désactiver une clef quand on veut.

deheme · 2016-01-28 13:47:00

Bonjour,

plg a écrit:
Je rappelle quand même que pour changer son mot de passe, il faut donner l'ancien. Ca limite le risque, non ?

Merci du rappel, il m'avait échappé qu'il fallait donner l'ancien mot de passe pour en changer, ma remarque tombe du coup.

Ça ne gêne pas de permettre l' "authentification automatique" même si entre temps, l'utilisateur a changé son mot de passe ?
Cela dit, ça n'arrive pas souvent, on pourrait imaginer invalider les clefs de cet utilisateur quand il change son mot de passe ?

(Pour ma part j'ai du mal à voir l'utilité d'une clé qui ne serait valide que quelques heures)

DéHème

plg · 2016-01-28 14:13:49

deheme a écrit:
Ça ne gêne pas de permettre l' "authentification automatique" même si entre temps, l'utilisateur a changé son mot de passe ?

Là comme ça, je ne suis pas trop choqué. Mais bon, invalider les clefs de l'utilisateur quand il change de mot de passe c'est faisable assez facilement.

deheme a écrit:
(Pour ma part j'ai du mal à voir l'utilité d'une clé qui ne serait valide que quelques heures)

A chaque fois que tu vas notifier tes utilisateurs, une nouvelle clef sera générée pour chacun d'eux. Il n'y a pas qu'une clef par utilisateur. Donc à la prochaine notification, tata Paulette clique sur le lien et elle est identifiée automatiquement, sauf si elle attend plus de 3 jours (par défaut) pour cliquer.

Pour moi la "durée limitée" est un garde-fou. OK ces clefs vont à l'encontre de la sécurité, mais elles périment assez vite.

La grande majorité des gens qui reçoivent un mail de ce genre, soit ils cliquent tout de suite, soit ils ne cliquent jamais. Dès lors, garder ces clefs valident 1 an me paraît inutile.

deheme · 2016-01-28 22:03:08

Merci plg :-)

Adopté.

Ça ressemble aux "invitations" que j'utilisais avec le service de blogs de G.
Dans le message d'invitation, on était invité à se connecter sous son nom, éventuellement après avoir créé le compte si on n'en a pas ou accepter l'invitation. Dans ce dernier cas, la durée de validité était indiquée dans le genre :
Cette invitation arrive à expiration le ../../.... (dans x jours).

Précabler une mention de ce type dans le mail envoyé, tant qu'à faire dans la langue respective de chaque destinataire, serait un plus.

DéHème

PS: Je garde l'espoir que le plugin "user collection" évoluera pour permettre de populer les collections de façon plus aisée voire directement via des albums.

Piwigo.org

Annonce

#1 2016-01-27 19:28:17

2.8 RC1 - Partage du lien de notification "auto loging"

#2 2016-01-27 20:06:14

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

deheme a écrit:

deheme a écrit:

deheme a écrit:

deheme a écrit:

#3 2016-01-27 21:49:49

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

deheme a écrit:

#4 2016-01-27 22:11:25

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

deheme a écrit:

deheme a écrit:

#5 2016-01-27 22:30:18

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

#6 2016-01-28 11:11:12

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

deheme a écrit:

deheme a écrit:

deheme a écrit:

#7 2016-01-28 13:47:00

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

plg a écrit:

#8 2016-01-28 14:13:49

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

deheme a écrit:

deheme a écrit:

#9 2016-01-28 22:03:08

Re: 2.8 RC1 - Partage du lien de notification "auto loging"

Pied de page des forums