Mince, j'ai une régression que je n'avais pas vu venir sur le plugin de tchat Peertube... (depuis la v8.3.1)
La liste de tous les modos/admins de l'instance Peertube est maintenant visible pour toute personne qui créé un tchat (ie, qui a le droit de créer un live).
Ce qui est visible: leur identifiant de compte (ce n'est pas une info secrète en soit, si la personne publie des vidéos ou des commentaires), et leur avatar.
Est ce que vous pensez que c'est grave ?
(plus d'info plus bas)
À ma connaissance, il n'y a pas d'API publique qui permette d'avoir la liste des modos/admins de l'instance.
Avant, on pouvait déjà voir qu'un⋅e modo/admin de l'instance était sur le tchat (car iel était proprio du salon).
Ce qui change là, c'est que la personne qui a créé le salon peut voir la liste des modos/admins, même si celleux-ci ne sont pas connecté⋅es au tchat.
Sur la capture d'écran ci-dessous, on peut voir plusieurs lignes marquées «propriétaire». Ce sont les modos/admins de l'instance.
En dehors du premier qui est connecté au tchat, les autres n'ont jamais rejoins le tchat.
Avant la v8.3.1 du plugin, il n'y avait que les modos/admins de l'instance qui voyaient cette infos.
Maintenant, n'importe quel user qui créé un live le peut.
On n'a pas accès à plus d'info que ce qui est à l'écran.
Cela fait donc aussi leaker indirectement le nombre de modos/admins de l'instance.
ping @Chocobozzz : peut-être as-tu un avis sur la question ?
La liste des modos d'une instance, c'est fait pour être une info privée ou publique ?
- replies
- 2
- announces
- 0
- likes
- 0
@elzen
Tu n'as rien manqué.
C'est juste que, il me semble, aujourd'hui Peertube ne fournit pas cette info publiquement. Je ne sais pas si c'est un choix réfléchi ou pas (perso, j'aurais tendance à dire plutôt privé... pour éviter notamment du harcèlement de modo, ou du social engineering)
C'est vraiment une question de point de vue....
Autre conséquence indirecte: ça donne une liste d'identifiants avec des droits spéciaux que les pirates pourraient ciblé en priorité (en plus du compte "root" qui existe sur toutes les instances).
Note: si cela pose problème sur votre instance, vous pouvez toujours installer manuellement la version 8.3.0 du plugin.
Le seul changement de la v8.3.1, c'est de donner les droits "owner" au lieu de "admin" sur les salons aux streameur⋅euses. Ce qui leur permet de changer le paramètre du mode lent (et d'autres paramètres qu'avant iels ne pouvaient pas modifier - contrairement à ce que la doc disait d'ailleurs).
Mais qui entraîne aussi cette régression.
@John_Livingston
Le seul problème que je vois en plus c'est que ça remplit le chat de plein de pseudos pour rien. Et tu ne sais pas qui est vraiment là ou pas.
Après tu peux aussi te dire que ça dissuadera peut-être certains comportements de voir d'office 4 modos dans le chat. 😁
@Zekovski
Haha.
Y'a la petite pastille verte ou grise qui indique la présence. Mais c'est juste ce que tu dis.
Perso j'envisage essentiellement un fonctionnement communautaire, donc une situation où les gens qui créent des vidéos ont peu de chances de vouloir pirater l'instance, mais c'est vrai qu'il peut y avoir des organisations différentes.
@elzen
C'est toute la difficulté de tous les choix que j'ai à faire: quel(s) cas d'usage(s).
Je ne peux pas ignorer le cas des instances ouvertes et modérées à postériori.
@John_Livingston Après à choisir je préfèrerai ne mettre que les gens qui sont là. Mais c'est juste parce que je préfère qu'il n'y ai pas d'infos superflues. Ça fait "plus propre".
@Zekovski
Oui.
J'ai une solution qui permettrait ça, mais elle re-créérait un bug que je viens à peine de corriger lol.
@Zekovski
(et je peux aussi faire un masquage purement front-end, mais bon, ça ne résoud pas le soucis de sécurité)
Après réflexion, je vais publier une version 8.3.2 qui va rollback la modification qui pose problème.
Ce bug me pose problème sur une des instances que je gère.
Je chercherais un moyen plus propre de faire ce que je voulais faire avec la v8.3.1 dans les jours qui viennent.
(mais je suis toujours intéressé par les réponses au sondage, et les commentaires/avis sur la question).
@John_Livingston Hello, j'avoue je ne sais pas je ne me suis pas posé la question
Par contre dans la prochaine version on ajoute dans les stats le nombre de modos/admins de l'instance (désactivable dans la conf) ce qui nous permettra d'améliorer notre outil pour proposer une instance "sérieuse" ouverte à l'enregistrement
@Chocobozzz
Ok, merci pour l'info.
Je pense que ça dépend vraiment des instances. Ce qui me fait dire qu'il vaut mieux éviter de leaker la liste.
J'ai rollback, et j'ai commencé à chercher une solution propre.
@John_Livingston @Chocobozzz je pense que ce n’est pas une bonne idée d’exposer les modérateurs (en tout cas leurs vraies identifiants). Je pense qu’un pseudonyme randomisé ou choisi pourrait permettre de protéger d’éventuels harcèlements collatéraux.
Je viens d'avoir une idée !
J'ai dans ma TODO list le fait de pouvoir se connecter au compte du Bot de modération, pour les modos peertube...
Et bah, j'arrête de mettre les modos en owner des salons de discution, je ne met que le bot. Et si un·e modo de l'instance veut intervenir, bah il passe sur le compte du bot.
Comme ça, iel n'expose pas son identité (ce qu'on m'a aussi demandé comme fonctionnalité).
(Et faudra peut-être renommer "bot" en "modération").
@stubbornphoenix @Chocobozzz
Et je peux éventuellement ajouter une option pour choisir entre l'ancien et le nouveau mode.