Feeld flört uygulamasındaki güvenlik açığı

[GN⁺]

Hacker News görüşleri

• Görünüşe göre yetki kontrolleri yalnızca frontend'de uygulanmış

  • Tüm yetki kontrollerinin backend'de yapılması gerekir
  • Tıpkı buffer overflow sorunlarını çözmek gibi, her yerde sınır kontrolleri eklenmelidir

• Doğru kişisel veriler girilmemeli

  • Doğum tarihi gibi bilgiler yaklaşık değerlerle girilmeli
  • Özellikle flört uygulamaları hassas bilgiler talep eder

• Bu uygulama çeşitli yönelim ve tercihlere sahip kişileri hedefliyor

  • BDSM, grup seks, queer vb. çeşitli tercihlere sahip kişiler için bir uygulama

• Son dönemde medyada sıkça yer aldı

  • Çok gelir elde ettiği haberleştirildi
  • İlgili haber bağlantısı

• Suç teşkil edecek düzeyde ihmal sayılabilecek bir başarısızlık

  • Uygulamanın kategorisi düşünüldüğünde bu çok ciddi bir sorun

• Çevrimiçi flört pazarı berbat durumda

  • Faydalı hizmet sunan şirket sayısı sadece 2-3
  • Açık kaynaklı, federatif bir flört hizmetine ihtiyaç var

• Görünüşe göre güvenliğe hiç önem verilmemiş

  • Ben bir oyun geliştiricisiyim ve oyunun adil kalmasını sağlamak için bundan daha fazla çaba harcıyorum
  • Bu şirket kullanıcı güvenliğini hiç umursamıyor

• GraphQL'in sorunu

  • Frontend'in verileri sorgulamasına olanak tanıyor
  • Backend tarafında sorguları anlayıp erişim kontrolü uygulamak zor
  • GraphQL bu tür hataları daha kolay hâle getirebilir

• Sorumlu ve empatik bir ifşa

  • Araştırmacıların ifşayı geciktirmesine şaşırdım
  • Startup'lar kişisel bilgileri kötüye kullanmasın diye sorunların 2 ay içinde çözülmesi gerekir