docs/known_issues.txt

   1 = Known Issues =
   2
   3 Below is a list of known issues in recent releases of Tahoe-LAFS, and how to
   4 manage them.  The current version of this file can be found at
   5
   6 http://allmydata.org/source/tahoe/trunk/docs/known_issues.txt
   7
   8 If you've been using Tahoe-LAFS since v1.1, released 2008-06-11, or if you're
   9 just curious about what sort of mistakes we've made in the past, then you might
  10 want to read the "historical known issues" document:
  11
  12 http://allmydata.org/source/tahoe/trunk/docs/historical/historical_known_issues.txt
  13
  14 == issues in Tahoe v1.5.0, released 2009-07-22 ==
  15
  16 === potential unauthorized access by JavaScript in unrelated files ===
  17
  18 If you view a file stored in Tahoe through a web user interface,
  19 JavaScript embedded in that file might be able to access other files or
  20 directories stored in Tahoe which you view through the same web user
  21 interface.  Such a script would be able to send the contents of those
  22 other files or directories to the author of the script, and if you have
  23 the ability to modify the contents of those files or directories, then
  24 that script could modify or delete those files or directories.
  25
  26 ==== how to manage it ====
  27
  28 For future versions of Tahoe, we are considering ways to close off
  29 this leakage of authority while preserving ease of use -- the
  30 discussion of this issue is ticket #615.
  31
  32 For the present, either do not view files stored in Tahoe through a web
  33 user interface, or turn off JavaScript in your web browser before doing
  34 so, or limit your viewing to files which you know don't contain
  35 malicious JavaScript.
  36
  37
  38 === potential disclosure of file through embedded
  39 hyperlinks or JavaScript in that file ===
  40
  41 If there is a file stored on a Tahoe storage grid, and that file gets
  42 downloaded and displayed in a web browser, then JavaScript or
  43 hyperlinks within that file can leak the capability to that file to a
  44 third party, which means that third party gets access to the file.
  45
  46 If there is JavaScript in the file, then it could deliberately leak
  47 the capability to the file out to some remote listener.
  48
  49 If there are hyperlinks in the file, and they get followed, then
  50 whichever server they point to receives the capability to the
  51 file. Note that IMG tags are typically followed automatically by web
  52 browsers, so being careful which hyperlinks you click on is not
  53 sufficient to prevent this from happening.
  54
  55 ==== how to manage it ====
  56
  57 For future versions of Tahoe, we are considering ways to close off
  58 this leakage of authority while preserving ease of use -- the
  59 discussion of this issue is ticket #127.
  60
  61 For the present, a good work-around is that if you want to store and
  62 view a file on Tahoe and you want that file to remain private, then
  63 remove from that file any hyperlinks pointing to other people's
  64 servers and remove any JavaScript unless you are sure that the
  65 JavaScript is not written to maliciously leak access.
  66
  67
  68 === command-line arguments are leaked to other local users ===
  69
  70 Remember that command-line arguments are visible to other users
  71 (through the 'ps' command, or the windows Process Explorer tool), so
  72 if you are using a Tahoe node on a shared host, other users on that
  73 host will be able to see (and capture) any directory caps that you set
  74 up with the "tahoe add-alias" command.  Use "tahoe create-alias" instead.
  75
  76 ==== how to manage it ====
  77
  78 Bypass add-alias and edit the NODEDIR/private/aliases file directly,
  79 by adding a line like this:
  80
  81 fun: URI:DIR2:ovjy4yhylqlfoqg2vcze36dhde:4d4f47qko2xm5g7osgo2yyidi5m4muyo2vjjy53q4vjju2u55mfa
  82
  83 By entering the dircap through the editor, the command-line arguments are
  84 bypassed, and other users will not be able to see them. Once you've added the
  85 alias, no other secrets are passed through the command line, so this
  86 vulnerability becomes less significant: they can still see your filenames and
  87 other arguments you type there, but not the caps that Tahoe uses to permit
  88 access to your files and directories.  Starting in Tahoe-LAFS v1.3.0, there is
  89 a "tahoe create-alias" command that does this for you.