Skip to content

Audit secu

Nathan Pang requested to merge November304/flop-edt-secu:audit-secu into vue-vite

Liste des choses à vérifier

Merci de vérifier is votre Merge Request (MR) satisfait bien aux conditions suivantes (mettre un 'x' pour cocher la case) :

  • Le code et les commentaires sont en anglais
  • Nous avons ajouté nos noms dans le fichier AUTHORS.md
  • Nous avons ajouté quelques mots d'anglais dans le CHANGELOG.md pour résumer notre travail
  • Si nous avons utilisé de nouveaux modules python, nous les avons ajoutés dans le fichier requirements.txt
  • Nous avons effectué quelques tests
    • et les avons ajoutés au dépôt
    • rapidement, en local
  • L'intégration continue reste satisfaite
  • Nous avons ajouté, modifié et revu la documentation, si nécessaire. On peut effectuer une MR sur la page wiki de FlOpEDT, comme expliqué ici : https://stackoverflow.com/a/38537453
  • Nous n'avons pas ajouté d'affichage dans les consoles (ni dans celle de django (avec print), ni dans celle du navigateur (avec des console.log))

Nouvelles dépendances

Des dépendances nouvelles ont-elles été ajoutées ?

  • Côté back
    • Oui
    • Non
  • Côté front
    • Oui
    • Non

Si oui, lesquelles ?

Les modules hmac,hashlib et time qui font partie des modules de bases python

Licences

Si de nouvelles dépendances ont été ajoutées, leurs licences sont compatibles avec une inclusion dans un logiciel sous AGPL version 3.0 ou ultérieure.

  • Tout à fait
  • J'ai regardé, mais j'ai un doute. Franchement, les licences, c'est compliqué.
  • Non, mais il existe une alternative.

Si non, quelle(s) alternative(s) ?

Type de Merge Request

Merci d'indiquer le type de votre MR (mettre un 'x' pour cocher la case) :

  • Réparation de bug
  • Fonctionnalité
  • Passage de la v0 à la v1
  • Mise à jour de style sur le code (formatage, renommage)
  • Refactoring (pas de changement fonctionnel, ni de changement d'API)
  • Autre (à décrire) :

Changement du code existant pour floppybird, et des configurations

Quel est le comportement actuel ?

On peut facilement accéder à floppy bird et mettre la limite d'entier en score, ce qui n'est pas très securisé, le site n'est pas sécurisé contre les attaques ddos

Quel est le nouveau comportement ?

  • En utilisant des timestamps on vérifie si le joueur envoie des données qui sont vraisembables, pour le sécuriser totalement nous pourrions mettre la logique coté serveur, mais ce serait un gachis des ressources du serveur juste pour un easter egg
  • Le changement de la config nginx permet de bannir temporairement une ip qui effectue un trop grand nombre de requetes

Est-ce que cette MR casse une autre fonctionnalité ?

  • Oui
  • Non

Est-ce que cette MR contient de nouvelles migrations de base ?

  • Oui
  • Non

Informations supplémentaires ?

Il faudrait effacer les scores actuels de la base de données, la logique pour le faire est dans le fichier secu.md.

Merge request reports