Kristian WindandClaude Opus 5
78891bae6f
Spørgsmålet er ét: hvor mange bruger det her. Svaret er to værdier én gang i døgnet — et tilfældigt id, installationen selv fandt på, og versionen. Ikke andet. Beskeden er lille nok til at stå i fuld længde på indstillingssiden, og den gør det, fordi et løfte om telemetri er præcis så meget værd som læserens mulighed for at efterprøve det. **Ikke obligatorisk, og grunden er praktisk frem for principiel:** det kan ikke håndhæves. Domænet kan blokeres, binæren kan patches, og en fork fjerner den i første commit — så obligatorisk køber intet over slået-til-som-udgangspunkt og koster den tillid, resten af programmet arbejder for. Hemmeligheder forsegles her, nøglen holdes uden for databasen, og sikkerhedskopisiden advarer om, hvad en kopi indeholder. Telemetri, man ikke må sige nej til, er den ene sætning i den historie, der ikke passer. Uenigheden med `config.UpdateCheck`, som er slået fra med den modsatte begrundelse, står skrevet i pakkens egen dokumentation frem for at blive glattet ud. Den er reel, og læseren fortjener at se begge halvdele. Id'et findes på og gemmes ved første brug frem for at blive udledt af værtsnavn eller adresse. En hash af noget om maskinen ville være stabil, bekvem og samtidig en værdi, modtageren kunne holde op mod et gæt — og det er forskellen mellem anonym og pseudonym. Modtagerens side er den samme binary med en kontakt: `POST /api/v1/beacon` uden login, fordi den, der ringer, er en fremmed installation. Den svarer 404, når instansen ikke er tælleren, så en almindelig installation ikke er en spamspand, der svarer 200 på alt. Ratebegrænset som login-ruterne, og tabellen har et loft: endepunktet indsætter en række på et id, den, der ringer, har fundet på, og uden et loft kunne enhver fylde disken. Tallet er "set inden for tredive dage" og ikke et løbende total. Et total stiger kun og holder op med at betyde "hvor mange bruger det" og begynder at betyde "hvor mange har prøvet det". `internal/safedial` kom til undervejs: modtagerens adresse kan skrives i fladen, og en adresse, en bruger angiver, må ikke kunne pege indad. Kontrollen ligger på den opslåede adresse og ikke på URL'en, fordi et navn kan svare 127.0.0.1 — og svare noget andet anden gang, efter en kontrol ved parsning er gået godt. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
56 lines
1.5 KiB
Go
56 lines
1.5 KiB
Go
package safedial
|
|
|
|
import (
|
|
"net"
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"testing"
|
|
"time"
|
|
)
|
|
|
|
func TestBlockedCoversTheInside(t *testing.T) {
|
|
blocked := []string{
|
|
"127.0.0.1", "::1", "0.0.0.0",
|
|
// Skyens metadata-endepunkt. Den ene adresse, enhver SSRF sigter efter.
|
|
"169.254.169.254",
|
|
"10.0.0.5", "172.16.0.1", "192.168.1.10", "fd00::1", "fe80::1",
|
|
}
|
|
for _, s := range blocked {
|
|
if !Blocked(net.ParseIP(s)) {
|
|
t.Errorf("Blocked(%s) = false", s)
|
|
}
|
|
}
|
|
for _, s := range []string{"93.184.216.34", "8.8.8.8", "2606:2800:220:1:248:1893:25c8:1946"} {
|
|
if Blocked(net.ParseIP(s)) {
|
|
t.Errorf("Blocked(%s) = true, men det er en almindelig adresse", s)
|
|
}
|
|
}
|
|
}
|
|
|
|
// En httptest-server lytter på loopback, hvilket gør den til den perfekte prøve:
|
|
// den findes, den svarer, og den må ikke kunne nås.
|
|
func TestClientRefusesLoopback(t *testing.T) {
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
t.Error("forbindelsen blev oprettet; den skulle være afvist")
|
|
}))
|
|
defer srv.Close()
|
|
|
|
_, err := Client(3 * time.Second).Get(srv.URL)
|
|
if err == nil {
|
|
t.Fatal("en forespørgsel til loopback skal afvises")
|
|
}
|
|
}
|
|
|
|
func TestAllowPrivateStillReaches(t *testing.T) {
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
w.WriteHeader(http.StatusNoContent)
|
|
}))
|
|
defer srv.Close()
|
|
|
|
resp, err := AllowPrivate(3 * time.Second).Get(srv.URL)
|
|
if err != nil {
|
|
t.Fatalf("den skal kunne nå det, operatøren selv har peget på: %v", err)
|
|
}
|
|
resp.Body.Close()
|
|
}
|