[bug] Pushbericht ontvangen gericht aan andere tweaker?

[inquestos]

Ik werd zojuist toen ik naar tweakers.net ging direct doorgenavigeerd naar een Pushmessage. Over dat ik een 'WOW: Warlords of Draenor 0101' key had ontvangen van tweakers.net. Vreemd, want ik had hier niet om gevraagd. Nog vreemder was dat het bericht gericht was aan Jurgen. Rechtsboven stond ik dan ook niet ingelogd als 'inquestos' maar als deze 'Jurgen'. Ik kan verzekeren dat ik geen Jurgen ken, of dat wie dan ook mijn laptop heeft bediend.

Natuurlijk wilde ik een printscreen maken, maar helaas zit mijn printscreen knop op mijn laptop onder mijn 'home' knop, dus helaas, foetsie bericht.

Ik weet niet of dit een serieus beveiligingslek is, of wat dan ook, maar het lijkt me in ieder geval de moeite waard te vermelden.

[Misha]

Ik gooi je topic even naar het juiste forum

[ACM]

Wat voor browser en internetverbinding gebruikte je? Zit er in die browser (Chrome wellicht) e.o.a. proxy-functie (zoals Google's optimalisatiegedoe)?

[Raven]

Is dit niet hetzelfde als Plotseling ingelogd als onbekende user ?
(Topic is paar dagen oud, recent dus.)

[ Voor 4% gewijzigd door Raven op 10-07-2014 14:05 ]

[inquestos]

Dat klinkt als een plausibele verklaring, via bedrijfsproxy? Ik zal hem eens een bericht sturen of hij onder werktijd tweakers checkt

edit: Chrome Versie 35.0.1916.153, Windows 7 64-bit

[ Voor 16% gewijzigd door inquestos op 10-07-2014 14:21 ]

[Jurgen]

Ja inderdaad ;-) Ik ben op het werk ingelogd.

Ik moet wel zeggen dat de pushmelding terug bleef komen ondanks dat ik deze als gelezen had gemarkeerd, hij ging pas weg na een move naar de trash, en een ctrl+f5. (chrome, win XP)

[inquestos]

Mooi, dat is dan opgehelderd. Als dit volledig een fout is van het netwerk, is er voor tweakers weinig aan de hand.

[Hero of Time]

Ik zou niet gelijk willen zeggen dat Tweakers geen probleem heeft. Het onbedoeld aangemeld zijn als andere gebruiker is anders niet de bedoeling, zelfs als een proxy server aan 't flippen is. Nu is het met een gewone gebruiker gebeurt en is er geen kwaad spel, maar wat als iemand opeens de sessie van een moderator krijgt? Of twee gebruikers liggen met elkaar in de clinch en worden aangesproken, of maar 1 vd twee? Het is wel een serieus probleem.

[_David_]

Tweakers kan er niet veel aan doen als een proxy veel te aggresief dingen zit te cachen.

[Verwijderd]

Behalve dat een normale proxy zoiets niet zomaar doet. Dus ofwel iemand heeft echt ernstig iets verkeerd ingesteld in de proxy, ofwel Tweakers stuurt een response waarvan de proxy onterecht denkt dat deze gecached mag worden.

Het lijkt me als de proxy daar op locatie dusdanig foutief staat ingesteld dat dit probleem daar op grote schaal voorkomt. Wellicht dat een van de heren dat ons kan vertellen?

Mogelijkerwijs kan aan de kant van Tweakers even gecontroleerd worden of daar inderdaad niet per ongeluk een rare response wordt verzonden? Je kunt het maar dubbel checken.

[Jurgen]

Het is mij nog niet overkomen dat ik spontaan als iemand anders ben ingelogd.

heel vreemd. ik moet wel zeggen dat ik vanuit mijn functie niets zinnigs kan zeggen over de proxy.

[Kees]

Verwijderd schreef op donderdag 10 juli 2014 @ 20:47:
Behalve dat een normale proxy zoiets niet zomaar doet. Dus ofwel iemand heeft echt ernstig iets verkeerd ingesteld in de proxy, ofwel Tweakers stuurt een response waarvan de proxy onterecht denkt dat deze gecached mag worden.

Het lijkt me als de proxy daar op locatie dusdanig foutief staat ingesteld dat dit probleem daar op grote schaal voorkomt. Wellicht dat een van de heren dat ons kan vertellen?

Mogelijkerwijs kan aan de kant van Tweakers even gecontroleerd worden of daar inderdaad niet per ongeluk een rare response wordt verzonden? Je kunt het maar dubbel checken.

In dit geval is de proxy bijna juist afgesteld (hij cached een 503, dat is niet helemaal correct) en gaat er aan onze kant iets fout. We gaan het zsm fixen

Overigens was je niet als die gebruiker ingelogt, je kreeg alleen zijn pushmessge te zien. Verder werd er niets van een sessieid meegegeven en ook was het niet mogelijk om buiten die pushmessage als die gebruiker ingelogt te blijven. En hij zou niet meer gecached worden zodra iemand op 'gelezen' had geclicked.

[ Voor 18% gewijzigd door Kees op 11-07-2014 11:14 ]

[Jurgen]

Kees schreef op vrijdag 11 juli 2014 @ 11:04:
[...]

In dit geval is de proxy bijna juist afgesteld (hij cached een 503, dat is niet helemaal correct) en gaat er aan onze kant iets fout. We gaan het zsm fixen

Overigens was je niet als die gebruiker ingelogt, je kreeg alleen zijn pushmessge te zien. Verder werd er niets van een sessieid meegegeven en ook was het niet mogelijk om buiten die pushmessage als die gebruiker ingelogt te blijven. En hij zou niet meer gecached worden zodra iemand op 'gelezen' had geclicked.

Dat liep ook niet helemaal lekker, ik had een keer of 5 op gelezen geklikt, maar pas toen ik hem getrashed had en een ctrl+f5 gedaan had was de pushmessage weg.

Maar goed dat zal dan ook wel weer gelinkt kunnen zijn met her originele probleem

[inquestos]

Dat laatste klopt geheel Kees. Ik kon verder geen acties ondernemen (met kwade bedoelingen of wat dan ook), ik had hooguit zijn key kunnen bemachtigen.

[ACM]

Kees schreef op vrijdag 11 juli 2014 @ 11:04:
In dit geval is de proxy bijna juist afgesteld (hij cached een 503, dat is niet helemaal correct)

Dat is niet 'niet helemaal correct', in dit geval is het gewoon fout. Hoewel het ook bij ons beter kan, geven we in dit geval een response met statuscode 503 zonder verdere expliciete informatie over hoe dat gecached mag worden.

Op responses waar geen expliciete informatie over de caching wordt meegegeven mag de proxy dat zelf bepalen. Echter is een van de criteria daarbij dat de statuscode gecached moet mogen worden. Voor de techneuten onder ons:

quote: http://tools.ietf.org/html/rfc7231#section-6.1

Responses with status codes that are defined as cacheable by default (e.g., 200, 203, 204, 206, 300, 301, 404, 405, 410, 414, and 501 in this specification) can be reused by a cache with heuristic expiration unless otherwise indicated by the method definition or explicit cache controls [RFC7234]; all other status codes are not cacheable by default.

En nog wat meer over caching zelf kan je hier vinden. Kortom, de proxy zou die specifieke 503-responses niet mogen cachen.

Dat wij er alsnog betere caching headers aan toe kunnen voegen staat natuurlijk vast en gaan we ook doen