Edge-home-orchestration-go: [चर्चा] क्या हमें SecurityMgr को सुधारने की आवश्यकता है? (संवेदनशील डेटा हैंडलिंग)

@tdrozdovsky Plus, अगर हमारे प्लेटफॉर्म में err का उपयोग किया जाता है, तो क्या आप इसे ठीक कर सकते हैं?

https://github.com/lf-edge/edge-home-orchestration-go/blob/22ce49b4b76ae78dfb75e14ef64399e5805c7d02/src/orchestrationapi/orchestration_api.go#L180

@tdrozdovsky यह टूल lgtm साथ मेरे चल रहे विश्लेषण के कारण है।

https://lgtm.com/projects/g/lf-edge/edge-home-orchestration-go/alerts/?mode=list

मैं व्यक्तिगत रूप से सोचता हूं कि संवेदनशील डेटा passPhraseJWTPath तक पहुंच द्वारा वापस किया जाता है। तुम क्या सोचते हो? @tdrozdovsky

https://github.com/lf-edge/edge-home-orchestration-go/blob/22ce49b4b76ae78dfb75e14ef64399e5805c7d02/src/controller/securemgr/authenticator/authenticator.go#L70

यह अनुसरण के समान संभावित सुरक्षा जोखिम हो सकता है।

https://github.com/lf-edge/edge-home-orchestration-go/blob/22ce49b4b76ae78dfb75e14ef64399e5805c7d02/src/controller/securemgr/authenticator/authenticator.go#L84

अच्छा बिंदु, मैं इस सुरक्षा मुद्दे को जानता और याद रखता हूं।

ये केवल passPhraseJWTFilePath फ़ाइल बनाने के असफल प्रयास के बारे में सूचित करते हैं।
लेकिन निश्चित रूप से, फाइलों (पासफ्रेज, एज-ऑर्केस्ट्रेशन.की, आदि) में ऐसी जानकारी संग्रहीत करना एक सुरक्षा जोखिम है।
मुझे लगता है कि भविष्य में इसे सुरक्षित भंडारण या एक्सेस कंट्रोल सिस्टम जैसे: SeLinux, SMACK, आदि के साथ हल किया जाना चाहिए।

याद दिलाने के लिए धन्यवाद

@tdrozdovsky मेरे सुझाव को स्वीकार करने के लिए धन्यवाद। मैंने अभी यह मामला आपको सौंपा है। हम जल्द ही आपका एक और मूल्यवान योगदान देखने के लिए उत्सुक हैं!

@tdrozdovsky Plus, अगर हमारे प्लेटफॉर्म में err का उपयोग किया जाता है, तो क्या आप इसे ठीक कर सकते हैं?

https://github.com/lf-edge/edge-home-orchestration-go/blob/22ce49b4b76ae78dfb75e14ef64399e5805c7d02/src/orchestrationapi/orchestration_api.go#L180

मैंने err चर का उपयोग करके शोध किया। त्रुटि प्रबंधन नीचे किया गया है।

if len(deviceScores) <= 0 {
        return errorResp
} else if deviceScores[0].score == scoringmgr.INVALID_SCORE {
    return errorResp
}

अतिरिक्त प्रसंस्करण कोड को और अधिक जटिल बना देगा।

इसलिए, मैं err चर को अनदेखा करने का सुझाव देता हूं।

    deviceResources[i].score, _ = orcheEngine.GetScoreWithResource(dev.resource)

@tdrozdovsky Plus, अगर हमारे प्लेटफॉर्म में err का उपयोग किया जाता है, तो क्या आप इसे ठीक कर सकते हैं?
https://github.com/lf-edge/edge-home-orchestration-go/blob/22ce49b4b76ae78dfb75e14ef64399e5805c7d02/src/orchestrationapi/orchestration_api.go#L180

मैंने err चर का उपयोग करके शोध किया। त्रुटि प्रबंधन नीचे किया गया है।

if len(deviceScores) <= 0 {
      return errorResp
} else if deviceScores[0].score == scoringmgr.INVALID_SCORE {
  return errorResp
}

अतिरिक्त प्रसंस्करण कोड को और अधिक जटिल बना देगा।

इसलिए, मैं err चर को अनदेखा करने का सुझाव देता हूं।

  deviceResources[i].score, _ = orcheEngine.GetScoreWithResource(dev.resource)

@tdrozdovsky यह उचित है। ^^ क्या आप इसके लिए संबंधित पीआर का सुझाव दे सकते हैं?