Je n'étais pas au courant du problème de sécurité remonté par Jason Donenfeld. Il faudra que je demande à Paolo Benvenuto si c'est le cas car je n'ai rien trouvé parmi la liste des tickets sur Gitlab.
Tout comme Jason, je suis pour limiter voire retirer l'usage du PHP dans MyPhotoShare car les fonctions qui le requièrent ne me sont pas utiles:
Partage de liens sur Facebook et autres sites sociaux.
Permettre l'envoi d'un mot de passe à des utilisateurs qui voudraient accéder à des albums protégés.
Permettre à des utilisateurs de géolocaliser des photos/albums.
C'est pourquoi j'ai créé la page index.html qui peut être utilisée pour remplacer index.php et permettre à MyPhotoShare d'être 100% statique.
Concernant la sécurité de MyPhotoShare en général, elle repose principalement sur le fait que le site est statique et donc sur la sécurité de la configuration du serveur Web. L'ajout de code PHP peut apporter des failles, mais le code n'a pas donné lieu à un audit par d'autres développeurs pour valider cette partie, car MyPhotoShare n'est pas un logiciel très diffusé. Je n'ai pas trouvé de détails du problème reporté par Jason qui me permettrait de tester mon site, au moins à l'aide d'un scanner de vulnérabilités. En tout cas, l'absence de base de données ferme la porte aux vulnérabilités classiques...
Du point de la sécurité des albums/médias protégés, il ne faut pas s'attendre à de la sécurité bancaire. Il s'agit plutôt d'albums/médias qui ne sont pas publics et dont l'accès est réservé à ceux qui possèdent le mot de passe pour les afficher. Ces médias/albums sont renommés avec une fonction de hashage que le code JavaScript sait décoder. Donc quelqu'un avec beaucoup de volonté pourrait analyser le code JavaScript minifyé pour trouver où sont cachés ces fichiers...
Moi aussi, j'utilisais photofloat sous Debian et j'étais content de son interface minimale. Mais lorsqu'il a arrêté d'être supporté, j'étais content que quelqu'un continue de faire vivre ce projet et d'y ajouter des fonctions intéressantes comme le géopositionnement des médias ou les recherches par mot-clé et bine d'autres fonctions. Le projet a beaucoup grossi depuis photofloat et est devenu plus complexe. Je pense que si une communauté d'utilisateurs et éventuellement de contributeurs minimale se constituait autour de MyPhotoShare, l'évolution du projet serait plus contrôlée, par exemple pour garantir le fonctionnement sur des ordinateurs minimalistes auto-hébergés.
[^] # Re: sécurité ?
Posté par pmetras . En réponse à la dépêche MyPhotoShare, une galerie de médias pour le Web pas comme les autres. Évalué à 3.
Je n'étais pas au courant du problème de sécurité remonté par Jason Donenfeld. Il faudra que je demande à Paolo Benvenuto si c'est le cas car je n'ai rien trouvé parmi la liste des tickets sur Gitlab.
Tout comme Jason, je suis pour limiter voire retirer l'usage du PHP dans MyPhotoShare car les fonctions qui le requièrent ne me sont pas utiles:
C'est pourquoi j'ai créé la page
index.htmlqui peut être utilisée pour remplacerindex.phpet permettre à MyPhotoShare d'être 100% statique.Concernant la sécurité de MyPhotoShare en général, elle repose principalement sur le fait que le site est statique et donc sur la sécurité de la configuration du serveur Web. L'ajout de code PHP peut apporter des failles, mais le code n'a pas donné lieu à un audit par d'autres développeurs pour valider cette partie, car MyPhotoShare n'est pas un logiciel très diffusé. Je n'ai pas trouvé de détails du problème reporté par Jason qui me permettrait de tester mon site, au moins à l'aide d'un scanner de vulnérabilités. En tout cas, l'absence de base de données ferme la porte aux vulnérabilités classiques...
Du point de la sécurité des albums/médias protégés, il ne faut pas s'attendre à de la sécurité bancaire. Il s'agit plutôt d'albums/médias qui ne sont pas publics et dont l'accès est réservé à ceux qui possèdent le mot de passe pour les afficher. Ces médias/albums sont renommés avec une fonction de hashage que le code JavaScript sait décoder. Donc quelqu'un avec beaucoup de volonté pourrait analyser le code JavaScript minifyé pour trouver où sont cachés ces fichiers...
Moi aussi, j'utilisais photofloat sous Debian et j'étais content de son interface minimale. Mais lorsqu'il a arrêté d'être supporté, j'étais content que quelqu'un continue de faire vivre ce projet et d'y ajouter des fonctions intéressantes comme le géopositionnement des médias ou les recherches par mot-clé et bine d'autres fonctions. Le projet a beaucoup grossi depuis photofloat et est devenu plus complexe. Je pense que si une communauté d'utilisateurs et éventuellement de contributeurs minimale se constituait autour de MyPhotoShare, l'évolution du projet serait plus contrôlée, par exemple pour garantir le fonctionnement sur des ordinateurs minimalistes auto-hébergés.