Segnalazioni errori del nuovo forum

Ma così non si può modificare il titolo aggiungendo [Risolto] al primo post del topic... A meno che non venga risolto in meno di 2 giorni...

Provvederanno i mod (a quanto pare)

Su Firefox, i combobox in basso non vengono visualizzati correttamente; confrontateli con altri combobox...

[steff]

Davideddu: Modifica per favore la tua firma non consono al regolamento, il forum non ospita offerte di lavoro.

Secondo me è inutile... piuttosto si dovrebbe conservare, con qualche mod, una cronologia delle modifiche in modo simile ai wiki...

Occuperebbe tantissimo spazio per il forum...


Si potrebbe aggiungere la possibilità per il primo messaggio di modificare solo il titolo...

Ma così non si può modificare il titolo aggiungendo [Risolto] al primo post del topic... A meno che non venga risolto in meno di 2 giorni...

Provvederanno i mod (a quanto pare)

Andrebbe allora aggiunta alle motivazioni della segnalazione una riga apposita per i topic risolti (ma i mod non hanno già abbastanza da fare?! Devono anche mettersi lì a modificare tutti i topic risolti!?).

[Zoff]

Verrà inserito un link che applicherà il [Risolto] in automatico.

Verrà inserito un link che applicherà il [Risolto] in automatico.

Questa è la SOLUZIONE (...che, se non ricordo male, qualcuno tanto tempo fa propose).

[Zoff]

Verrà inserito un link che applicherà il [Risolto] in automatico.

Questa è la SOLUZIONE (...che, se non ricordo male, qualcuno tanto tempo fa propose).

Lo script è già pronto, lo stiamo testando.

[Janvitus]

Su Firefox, i combobox in basso non vengono visualizzati correttamente; confrontateli con altri combobox...

Tipo?

Oggi sbagliando i dati di login ho notato che il messaggio che compare indica esplicitamente che si è sbagliata solo la password (non genericamente il login). Quindi, conoscendo uno username si potrebbe tentare un attacco mirato sulle password. Non so se ci siano meccanismi che limitino il numero dei tentativi, ma comunque questa condizione mi sembra una piccola debolezza nella sicurezza.

password_errata.png (7.36 KiB) Visualizzato 146 volte

Beh... Il nome corretto degli utenti lo vedi anche solo aprendo un qualsiasi topic in realtà...

Il punto è proprio questo: posso conoscere senza problemi gli username ed attaccare direttamente le password. Tempo fa lo stesso tipo di problema fu segnalato e modificato nel login di un servizio di posta (tipo Libero, adesso non ricordo precisamente) proprio perchè "dimezzava" la sicurezza del login.

In questo caso al login dovrebbe chiederti al posto del nome utente l'email ...

Ma poi a che pro attaccare le pass ?

Dopo X tentativi (decisi dall'amministrazione, compare il codice captcha da inserire, per evitare attacchi brute force, se utilizzi una password robusta non ci dovrebbero comunque essere problemi di sicurezza.

[steff]

Se poi non erro dopo troppi tentativi (successo nella fase di test del forum nouvo a me) c'è il blocco totale solo risolvibile contattando un amministratore.

Beh... Il nome corretto degli utenti lo vedi anche solo aprendo un qualsiasi topic in realtà...

Non è vero: molti utenti, specialmente quelli che si erano già iscritti prima del passaggio a phpBB, hanno un nome visualizzato diverso dall'username che usano per il login (come me); se scrivi "Davideddu" e la mia password giusta nel login, ti esce il messaggio di errore.

Comunque penso anch'io che questo bug andrebbe segnalato direttamente a phpBB.

Vorrei segnalare inoltre un bug del tema: con 4 citazioni annidate, la quarta appare dello stesso colore della terza invece di essere più chiara:

Prima

Seconda

Terza

Quarta dello stesso colore della terza

Ma poi a che pro attaccare le pass ?

Per "rubare" un accesso privilegiato come admin o moderatore, ad esempio. O per qualunque altro motivo un hacker della domenica provi ad esercitarsi in questo tipo di attacco. È vero che il forum non è la banca, ma mi sembra uno spiraglio di sicurezza che va chiuso.

Se poi non erro dopo troppi tentativi (successo nella fase di test del forum nouvo a me) c'è il blocco totale solo risolvibile contattando un amministratore.

Meglio così. Almeno è una "pezza" al problema.

[Zoff]

Non mi sembra una minaccia seria.
Il bruteforcing non è praticabile se "ad inzecco" trovano la password non è di sicuro il login la vulnerabilità.

Mi pare che le voci "Messaggi recenti" e "Discussioni attive" presentino le medesime discussioni nel medesimo ordine, quindi, a meno che io mi sbagli, una delle due voci è del tutto inutile, oppure fornisce un output diverso da quello previsto.

Anche io ottengo due liste identiche

[Janvitus]

Non è vero: molti utenti, specialmente quelli che si erano già iscritti prima del passaggio a phpBB, hanno un nome visualizzato diverso dall'username che usano per il login (come me); se scrivi "Davideddu" e la mia password giusta nel login, ti esce il messaggio di errore.

Comunque penso anch'io che questo bug andrebbe segnalato direttamente a phpBB.

Non è un bug, in SMF era abilitata la possibilita di cambiare il nome utente che appariva nel forum, quello per accedere rimaneva l'originale. Con phpBB si è deciso di cambiare questa politica e di non far cambiare il nome, quindi nell'importazione da SMF qualche utente utente è rimasto con nomi diversi, ma si è detto che se si vuole cambiarlo, basta chiedere a noi.