<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class="">Servus,<div class=""><br class=""><div class=""><blockquote type="cite" class="">On 20. Jan 2018, at 11:40, Frank Richter <<a href="mailto:frank.richter83@gmail.com" class="">frank.richter83@gmail.com</a>> wrote:</blockquote><blockquote type="cite" class=""><br class=""></blockquote></div><div class=""><blockquote type="cite" class=""><div dir="auto" class="">Moin Andreas,<div dir="auto" class=""><br class=""></div><div dir="auto" class="">hab ich doofe Fragen gestellt? Sollte eigentlich eine konstruktive Diskussion werden...</div><div dir="auto" class=""><br class=""></div><div dir="auto" class="">Viele Grüße</div><div dir="auto" class="">Frank</div></div></blockquote><div class=""><br class=""></div>Da bin ich einmal nicht so schnell :O<br class=""><div><br class=""><blockquote type="cite" class=""><div class="">On 18. Jan 2018, at 13:29, Frank Richter <<a href="mailto:frank.richter83@gmail.com" class="">frank.richter83@gmail.com</a>> wrote:</div><br class="Apple-interchange-newline"><div class=""><div dir="ltr" class="">Hallo Andreas,<div class="gmail_extra"><br class=""><div class="gmail_quote">Am 18. Januar 2018 um 09:17 schrieb Andreas Goetz <span dir="ltr" class=""><<a href="mailto:cpuidle@gmail.com" target="_blank" class="">cpuidle@gmail.com</a>></span>:<br class=""><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr" class=""><div class=""><div class=""><div class="">Hallo Zusammen,<br class=""><br class=""></div>leider scheint sich das Thema mal wieder tot gelaufen zu haben. Von mir aus könnten wir mergen- das dürfte dann aber viele Anwender überfordern.<br class=""></div></div></div></blockquote><div class=""><br class=""></div><div class="">ich hatte am 25.12.2017 im ursprünglichen Thread noch einige Fragen formuliert, über die wir vor einem Merge vielleicht zumindest mal sprechen sollten (Kurzform: Umgang mit plain middlware requests, vzlogger in einem Setup mit Firewall, <a href="http://demo.vz.org/" target="_blank" class="">demo.vz.org</a>, Abschaffung public/private chnannels). Leider ist die Diskussion danach in Richtung Image abgeglitten.</div></div></div></div></div></blockquote><div><br class=""></div>Dann greifen wir die Punkte doch auf:</div><div><br class=""></div><div><div class=""><div class="gmail_extra"><div class="gmail_quote"></div></div></div><blockquote type="cite" class=""><div class=""><div class="gmail_extra"><div class="gmail_quote">Am 25.12.2017 12:43 schrieb "Andreas Goetz" <<a href="mailto:cpuidle@gmail.com" class="">cpuidle@gmail.com</a>>:<br type="attribution" class=""><blockquote class="quote" style="margin: 0px 0px 0px 0.8ex; border-left-width: 1px; border-left-style: solid; border-left-color: rgb(204, 204, 204); padding-left: 1ex;"><div style="word-wrap: break-word; line-break: after-white-space;" class="">Servus,<div class=""><br class=""></div><div class="">Der PR steht hier zur Verfügung: <a href="https://github.com/volkszaehler/volkszaehler.org/pull/659" target="_blank" class="">https://github.com/<wbr class="">volkszaehler/volkszaehler.org/<wbr class="">pull/659</a></div><div class=""><br class=""></div><div class="">Vor Merge wär unabhängiger Test gut. Für die Installation im Image sind zwei Punkte wichtig:</div><div class=""><br class=""></div><div class="">1. unbeschränkten Zugang gibts jetzt nur noch von localhost und localnet</div><div class="">2. es werden ein secretkey (salt) und user/passwort für Schreibzugriffe benötigt, ggf -secretkey im installer automatisch erzeugen</div></div></blockquote></div></div></div><div dir="auto" class=""><br class=""></div><div dir="auto" class="">da fällt mir unsere alte Diskussion um manuelle, d.h. nicht vom Frontend abgesetzte API-Requests von extern ein. Diese funktionieren dann nicht mehr, weil man keine Möglichkeit hat, dem Request das nötige Authentifizierungs-Token mitzugeben. Das könnte ein Problem sein für alle, die ihren vz extern hosten.</div><div dir="auto" class="">Auch vzlogger könnte Stand heute nicht zu einer externen, abgesicherten Installation loggen, oder? Außer man erlaubt POST standardmäßig, aber das macht ja die Absicherung irgendwie witzlos.<br class=""></div></blockquote><div><br class=""></div>Ich sehe zwei Möglichkeiten (da würde mich auch die Meinung von Justin interessieren):</div><div><br class=""></div><div>1) wir erlauben die Erstellung von long-lived Tokens und bringen vzlogger bei so einen Token als curl Header mitzuschicken. Ist trivial, hat aber einen Nachteil: kommt so ein Token abhanden kann jeder damit machen was er will. Das ließe sich noch abmildern wenn wir dem Token eingeschränkte Rechte verpassen, z.B. nur POST oder nur für einzelne Kanäle. Das Grundproblem bliebe aber- Token weg, Tür offen.</div><div><br class=""></div><div>2) Man erlaubt tatsächlich POST von außen, und zwar nur auf /data:</div><div><br class=""></div><div><div><span class="Apple-tab-span" style="white-space:pre"> </span>[<span class="Apple-tab-span" style="white-space:pre"> </span></div><div><span class="Apple-tab-span" style="white-space:pre"> </span>'path'<span class="Apple-tab-span" style="white-space:pre"> </span>=> ‘/data',</div><div><span class="Apple-tab-span" style="white-space:pre"> </span>'methods'<span class="Apple-tab-span" style="white-space:pre"> </span>=> 'POST',</div><div><span class="Apple-tab-span" style="white-space:pre"> </span>'action'<span class="Apple-tab-span" style="white-space:pre"> </span>=> 'allow'</div><div><span class="Apple-tab-span" style="white-space:pre"> </span>],</div><div class=""><br class=""></div><div class="">damit lassen sich ausschließlich Daten schreiben, aber zumindest keine Löschen (m.E. auch nicht ändern, wäre zu testen). Wenn dazu noch GET verboten wird:</div><div class=""><br class=""></div><div class=""><div class=""><span class="Apple-tab-span" style="white-space:pre"> </span>[</div><div class=""><span class="Apple-tab-span" style="white-space:pre"> </span>'methods'<span class="Apple-tab-span" style="white-space:pre"> </span>=> 'GET',</div><div class=""><span class="Apple-tab-span" style="white-space:pre"> </span>'action'<span class="Apple-tab-span" style="white-space:pre"> </span>=> ‘auth'</div><div class=""><span class="Apple-tab-span" style="white-space:pre"> </span>],</div></div><div class=""><br class=""></div><div class="">gibts auch ohne Login keine Möglichkeit mehr Daten oder Kanäle abzufragen. Das würde es mal deutlich schwieriger machen irgendwelche UUIDs rauszubekommen um dort Daten zu überschreiben.</div><div class=""><br class=""></div><div class="">Variante 2) lässt sich heute per Config machen. Reicht das? In jedem Fall wirds nicht schlimmer als heute da die Systeme aktuell ja komplett auf sind.</div><div class=""><br class=""></div><div class="">Wenn ich momentan Services ins Internet hänge stelle ich übrigens immer Traefik als Reverse Proxy davor- da lässt sich ganz einfach auch SSL und Basic Auth mit einschalten, auch das wären zusätzliche Absicherungsmöglichkeiten vor einer VZ Installation.</div></div><div><br class=""><blockquote type="cite" class=""><div dir="auto" class=""><br class=""></div><div dir="auto" class=""><div class="gmail_extra"><div class="gmail_quote"><blockquote class="quote" style="margin: 0px 0px 0px 0.8ex; border-left-width: 1px; border-left-style: solid; border-left-color: rgb(204, 204, 204); padding-left: 1ex;"><div style="word-wrap: break-word; line-break: after-white-space;" class="">Letztlich bleibt dann die Frage ob es die ganze “public” Channel Mimik noch braucht oder die weggeschmissen werden sollte. Wer keinen Zugriff will kann ja einfach die Installation privat halten und hinter U//P verstecken. <br class=""></div></blockquote></div></div></div><div dir="auto" class=""><br class=""></div><div dir="auto" class="">Du würdest also alle Kanäle so behandeln wie die die heutigen public channels? Wäre für mich okay, allerdings funktioniert damit <a href="http://demo.volkszaehler.org" class="">demo.volkszaehler.org</a> nicht mehr in der heutigen Form.</div></blockquote><div><br class=""></div>Das stimmt uns ist auch noch nicht implementiert. Für Demo müsste es dann einen automatisch eingeloggten `guest` user geben der im Falle von Demo eben mehr Rechte als normalerweise bekäme.</div><div><br class=""><blockquote type="cite" class=""><div dir="auto" class=""><br class=""></div><div dir="auto" class=""><div class="gmail_extra"><div class="gmail_quote"><blockquote class="quote" style="margin: 0px 0px 0px 0.8ex; border-left-width: 1px; border-left-style: solid; border-left-color: rgb(204, 204, 204); padding-left: 1ex;"><div style="word-wrap: break-word; line-break: after-white-space;" class="">Der letzte konsequente Schritt wäre dann eine echte Userverwaltung statt Konfigurationsdatei und damit auch “Owner” von Kanälen und Sichtbarkeitssteuerung. Aber das ist noch eine ganz andere Diskssuion und bräucht ein wenig Spec bevor losgecodet wird.<br class=""></div></blockquote></div></div></div><div dir="auto" class=""><br class=""></div><div dir="auto" class="">Das wäre zumindest eine Lösung für o.g. Problem mit demo.</div><div dir="auto" class=""><br class=""></div></blockquote><br class=""></div><div>Aktuell relevant ist egtl. nur der Punkt mit vzlogger. Also was tun- rein damit und per Config lösen?</div><div><br class=""></div><div>@justin?</div><div><br class=""></div><div>Viele Grüße, Andreas</div><div><br class=""></div><div>..snip..</div></div></div></body></html>