From 22abcd13ca563d59f7b7e2ef1d0ae9d22e8ee8c6 Mon Sep 17 00:00:00 2001 From: evgeny Date: Tue, 3 Nov 2026 19:20:19 +0100 Subject: [PATCH] Record remaining cross-group authorization audit gaps --- doc/tasks.md | 9 +++++++++ 1 file changed, 9 insertions(+) diff --git a/doc/tasks.md b/doc/tasks.md index a9a75093f..73ee41cc4 100644 --- a/doc/tasks.md +++ b/doc/tasks.md @@ -5,6 +5,15 @@ ## Текущие задачи +[ ] **Завершить аудит межгруппового доступа всех сетевых сервисов** — 03.11.2026. + MEDIA_DELIVERY закрыт отдельной политикой router и негативными сетевыми тестами; это не гарантия для остальных сервисов. + По чтению кода: RADIO/BROADCAST выбирают группу из wire без проверки членства входящего пира; + CONN_MGR разрешает диспетчеризацию по существованию группы, DIRECT_REQ использует общий node_registry; + TCP/UDP/ICMP proxy на приёме не проверяют router group. MEMBER_FILES/GROUP_AVATAR проверяют данные в обработчиках, + но не задают обязательную подпись control-пакетов в router. Нужны отдельные воспроизведения на общем ETCP, + проверка подмены источника, отзыва доступа и соседней группы; правила JOIN/invite и личных DM учитывать отдельно. + На этом этапе перечисленные дополнительные сценарии проверены чтением кода, сетевые регрессии ещё не добавлены. + [+] **Панель устройств групповой лички: свои и собеседника** — 03.11.2026. Общий снимок текущего состава закреплённых сторон, включая offline и fallback-устройство. Qt: два раздела панели мемберов; Android: кнопка участников в заголовке PM.