ParadoxAlarmInterface/pai

Use user code from panel to validate partition control messages

Ouverte

#142 ouverte le 5 mars 2020

Voir sur GitHub
 (19 commentaires) (0 réaction) (0 personne assignée)Python (113 forks)auto 404
enhancementhelp wantedprotocol

Métriques du dépôt

Stars
 (414 étoiles)
Métriques de merge PR
 (Métriques PR en attente)

Description

With current implementation any of the client can send a partition control message to pai and easily disarm the system. From the overall system perspective it can lead to a vulnerability.

Disarming should be only possible if a user code is sent back as part of the payload. The sent user code should be validated against the user code(s) in the alarm panel. If the user code is found in the alarm panel the system should make the state change on behalf of the found user. In every other cases the request should be rejected.

Guide contributeur

Direction de recherche
Examinez le traitement actuel des messages de contrôle de partition et localisez où le désarmement est autorisé. Comprenez comment les codes utilisateur sont stockés et validés dans le panneau d'alarme, puis concevez un contrôle qui exige un code utilisateur valide dans la charge utile.
Stack technique
python
Domaine
backend
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-2 jours
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
PythonGit
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
55