pkuanvil
    • 版块
    • 标签
    • 帮助
    • 注册
    • 登录

    【树洞安全性】有人发现TP树洞未登录也可以看到树洞内容

    BBS
    tp树洞
    4
    12
    1.0k
    正在加载更多帖子
    • 从旧到新
    • 从新到旧
    • 最多赞同
    回复
    • 在新帖中回复
    登录后回复
    此主题已被删除。只有拥有主题管理权限的用户可以查看。
    • A
      admin
      最后由 admin 编辑

      本站的话，有一个Secret版只对注册用户可见，但是在站长的预期中绝大多数内容应该是公开的，甚至能被搜索引擎索引

      读了一下晚安世界的发言，感觉无论是管理员的理念还是注册用户的想法都和 pkuanvil 相差甚远……祝它们办的和以前一样好吧

      J 1 条回复 最后回复 回复 引用 0
      • ?
        游客
        最后由 编辑

        估计TP树洞本就不多的活跃用户数又要再度暴跌，过于草率地推出这个树洞

        ? wumingshiW 2 条回复 最后回复 回复 引用 0
        • ?
          游客
          最后由 编辑

          https://top2.life/##2248

          晚安世界 20230209

          首先插播一条乐子，由于我时区和作息错乱，前两天的晚安洞的日期都是错的，在这里表示诚挚的歉意哈哈哈哈哈哈呜呜呜呜
          建洞三天以来，我们树洞已经有了近两千四百名用户、两千余洞和近万条回复，非常感谢大家对TP树洞的支持！可惜的是，我们没有加入统计来自学校的功能，目前（以及可见的将来）我们也没法知道两校人员的分布到底如何，但正如我们建立这个洞的初衷那样，我们成功提供了一个两校的匿名社交平台，促进了两校的深入交流！
          然后通知大家一个噩耗：北大的计算中心已经把我们的主域名列入黑名单了，这意味着以@top2.life后缀发出的邮件均无法到达北大同学们的邮箱里。我们目前的应对措施是临时又注册了一些域名，分别是……呃，还是别说了吧，我怕说了之后有一些同学把这些域名反馈到北大校方。我相信这些同学多半也是出于好心，他们可能觉得无监管或者由非校方监管的匿名社区是不合适的，或者觉得我们是抱着恶意建立的这个树洞社区，甚至可能觉得正在使用这个树洞的用户都是悲惨的受害者。我们希望没有这样的同学，但如果有的话，希望这些同学思考一下：我们从来没有像某些人一样强迫大家使用或不使用某款产品，大家是完全出于自愿来到这个社区；我们也从来没有以任何形式向任何用户索取任何个人信息（如果有的话请务必举报），与其担心我们泄密，不如想想之前某树洞的脱裤究竟是怎么发生的。当然，如果是出于“必须我监管的才是好的”这样的观点，我觉得你自己也知道你是啥比。
          不得不承认的是，目前的应对措施是不合适的，因为我们就算换一个域名，校方就可以一键屏蔽一个域名；屏蔽域名是几乎不需要付出代价的，而我们每更换一个新域名就会花掉一点钱。有洞友建议转而由用户向我们指定的邮箱发邮件来注册，但我们也没有办法确定校方会不会屏蔽从北大邮箱向特定域名发送的邮件。我们目前想到的另一个临时解决方案是，我们使用一系列如gmail、outlook这样的邮箱发送，校方不可能屏蔽这些邮箱的整个域名，唯一的代价是我们需要注册一大堆这种邮箱。这么做同样是治标不治本，而目前能想到的唯一根治方案是引入第三方验证，使用如OAuth这样的机制，通过ms或github这样的第三方账号验证其使用者是否是stu邮箱。然而，这必然要求大家额外注册账号或者在已有的账号上绑定stu邮箱，这很麻烦，而且需要一定的开发周期，说实在的，短时间内几乎没办法上线——正如之前的洞里所说的那样，我们只有一个半开发，而且各自还有各自的科研任务之类的，但我们也确实想不出更好的办法了。希望大家告诉我们你们的想法！
          （2-09 23:27:22 8关注 7回复）

          [Alice] admin如何回应#2211?
          [Bob] 是管理员吗？#2211怎么回事呢
          [Carol] 管理大大先解决一下#2211的问题吧
          [Dave] 感谢管理员!
          [Dave] #2211具体是什么问题? T大树洞也有吗?
          [洞主] 正如2211中解释的那样，那是因为这个树洞本身设计上有一个是否允许未注册用户查看树洞内容的开关，我们设置的是未注册用户可以查看树洞内容，而由于目前的一些问题未注册用户无法通过ip检测，所以看不了内容，但可以正常通过api获取。如果大家觉得未注册用户是不该看到树洞内容的，请告诉我们你们的想法和理由！
          [Eve] 或许可以考虑招募一些管理员和开发人员？

          A 1 条回复 最后回复 回复 引用 0
          • A
            admin @游客
            最后由 编辑

            好家伙，三天就超过了本站的10倍规模。。。哎，做好眼前能做好的吧

            1 条回复 最后回复 回复 引用 0
            • A
              admin
              最后由 编辑

              https://top2.life/##2263 【运营】
              针对#2211对本洞安全性问题提出的质疑，在此我们top2树洞运营团队做出如下解释。

              1. 我们有在#475提及我们希望未注册的用户也能查看树洞内容，当时没有洞友提出反对。我们没有就这一问题做出详细的解释，这确实是我们的问题，现在已经关闭了未注册用户可以查看树洞内容的权限。
              2. 针对#2211洞主的顾虑，我们必须要声明的是，通过调用api查询到的只有树洞内容，无法获得用户信息；即使有人得到了某一个洞的所有信息，也无从获取任何未主动公布的隐私信息。即使是管理团队需要解密某一洞，都需要半数以上的人同意，且分别对该洞的密文解密后拼凑slice才可以解密。因此并不存在所谓的“安全性”问题。
              3. 解答#2211里部分洞友的疑虑，首先，t大树洞运营了很长时间，迭代过很多内容，大家不要担心代码本身有什么问题；其次，我们之前提到的，整个团队的github账号被ban了导致无法更新代码，指的是无法把最新的代码开源，会违背AGPLv3开源协议，不代表如果后端出了问题我们不能修改代码后以其他形式分发，开源的问题我们也在想办法解决，请大家不要焦虑自己的个人信息泄露（除非用户自己到处散布个人信息，关于这一点也已在隐私协议里建议过不要发表自己的隐私信息）
              4. 后续我们会发布一个投票，看一下大家对“允许未注册用户围观”这件事的看法。现在树洞的注册人数已有两千余人，若若有超过80%的洞友参与投票，则将以多数人的意见作为标准执行。
                （2-10 0:02:15 4关注 9回复）

              [Alice] 请问半数以上管理员能获得的是什么信息呢?
              [洞主] Re Alice: 发洞邮箱，这一点在#25中有做说明
              [Alice] 就是
              比如说我在这个洞是Alice 但是我曾在某个洞里自爆过隐私(比如说热榜第一洞)
              那么 谁有权限知道这件事情?
              [Bob] 建议把这条置顶到公告里。毕竟很多用户保护个人隐私的意识和能力都不强。
              爬下来的P大树洞的公开资料充斥大量个人联系方式和校园卡无码图片
              [洞主] Re Alice: 首先，我们强烈建议各位不要在树洞中发布所有人都可获取的个人隐私信息。
              其次，目前我们已经关闭了未登录可见选项，所以你的问题的答案是看得见这条洞的人都能知道你的信息
              最后，我们还是得再次强调，不要主动泄漏个人隐私信息，不要给自己和别人惹上麻烦

              如若已经不小心泄漏或发布涉及隐私信息的树洞，且担心会对自己造成影响，可以及时向树洞团队发邮件说明
              [Alice] Re 洞主: 抱歉 我的意思是 什么情况下能跨洞获取隐私
              [Alice] Re Alice: 我其实很习惯半匿名论坛 比如说我有一个用户名叫 "abc" 我在哪儿发帖都叫"abc"
              [Alice] 看起来按照#25所说, 没有全局定时重置 那么是不是在管理员眼底 可以知晓我在所有洞的发言?
              [洞主] 在此，我们再次建议各位读一下隐私条款。按之前提到的，只有涉及到负面自杀倾向时，出于人道主义精神，我们团队会召集半数以上的管理员对该树洞进行解密，从而获取发洞人邮箱并及时通知校方。除此之外，不会解密任何洞，任何方式（任何！任何！任何！）都不能获取用户未主动公开的个人信息！

              A 1 条回复 最后回复 回复 引用 0
              • A
                admin @admin
                最后由 admin 编辑

                尝试了一下 TP树洞的 API 路由，已经无法查看了，看来未登陆访问的权限已经被管理员关闭了

                1 条回复 最后回复 回复 引用 0
                • ?
                  游客 @游客
                  最后由 编辑

                  @Guest 在 【树洞安全性】有人发现TP树洞未登录也可以看到树洞内容 中说：

                  估计TP树洞本就不多的活跃用户数又要再度暴跌，过于草率地推出这个树洞

                  肉眼可见的活跃度暴跌。

                  1 条回复 最后回复 回复 引用 0
                  • J
                    Jupiter
                    最后由 编辑

                    tp洞本质上是p大难民营，都是qy洞逃难的。隔壁有闭社和新t，用的好好的没有急切的需求。这下pku邮箱被ban，新用户的新鲜感过了，活跃度暴跌也算是合理吧。唉，希望能早日和隔壁一样接入类似Github这种验证方式，这样可以逃过学校的魔爪

                    1 条回复 最后回复 回复 引用 0
                    • J
                      Jupiter @admin
                      最后由 编辑

                      @admin 论坛的黄金时代已经过去了，大家会更倾向于树洞这种碎片化的匿名平台，很多人不太习惯论坛的交互方式。tp洞人数暴增其实类似逃难吧，大家发现了一个没有qy的树洞，肯定就都去注册了。我是支持论坛和树洞都要发展，也希望anvil越办越好

                      1 条回复 最后回复 回复 引用 0
                      • wumingshiW
                        wumingshi @游客
                        最后由 编辑

                        不是草率，运营后续有个洞解释是之前在一个400多号的洞里问过大家是否愿意让未注册的人也能看到树洞内容，结果没几个人反对，所以实际上运营团队是故意留了这么个口子的

                        1 条回复 最后回复 回复 引用 0
                        • 1 / 1
                        • 第一个帖子
                          最后一个帖子