Teslafi.com

[Kirre]

Jag får väl bli den första som skapar en tråd här, men det här är mer en generell Teslafråga så därför

Har nu testkört teslafi.com ett tag och måste säga att det är by far den bästa körjournals-tjänsten jag har stött på hittills. Saknar egentligt bara två (förvisso rätt så viktiga) funktioner för att vara, i mitt tycke fulländad; Möjlighet att tagga en körning som privat eller jobb samt exportera ut valda delar av loggen som .csv

Utvecklaren bakom sajten, James Decker är än så länge riktigt entusiastisk och mottaglig för input och idéer. Bla har han nu anpassat allt till både imperial och metric och det fungerar riktigt bra.
Dock känner jag mig rätt ensam som nordbo med mina förslag till ändringar och funktioner, så om några andra skulle vilja testa denna utmärkta lösning och delar mina synpunkter får ni gärna hjälpa till att stöta på nu medans utvecklarglädjen finns kvar, och innan användarbasen har ökat för mycket och 150% av tiden går åt att administrera hackerattacker, borttappade användar-id och lösenord
De nås antingen via twitter @TeslaFi eller james@teslafi.com samt via sajten när man väl har registrerat sig.

[kangru]

Verkar riktigt bra. Har reggat mig nu och skall testa lite.

[grenhall]

Jag förstår inte hur ni inte kan vara mer rädda om era inloggningsuppgifter. Missade ni gubben i Tyskland som blivit bestulen på sin bil eller?

[kangru]

Jag förstår inte hur ni inte kan vara mer rädda om era inloggningsuppgifter. Missade ni gubben i Tyskland som blivit bestulen på sin bil eller?

Jag anser risken vara låg, tillräckligt låg.

[Kirre]

Så länger tredjeparts-appar och sajter bara skickar vidare id och lösen krypterat till teslas eget oauth-api ser jag inga större säkerhetsissues, men jag kanske är naiv

[danni]

Jag förstår inte hur ni inte kan vara mer rädda om era inloggningsuppgifter. Missade ni gubben i Tyskland som blivit bestulen på sin bil eller?

Jag är inte supernojig med sånt generellt, men just när det gäller uppgifter som kan användas både till att lokalisera och stjäla en pryl för över en miljon så blir jag faktiskt det. Det vore att göra det lite för lätt för dem.

Så länger tredjeparts-appar och sajter bara skickar vidare id och lösen krypterat till teslas eget oauth-api ser jag inga större säkerhetsissues, men jag kanske är naiv

Teslas API stödjer ju inte egentligen tokenbaserad autentisering för tredjeparter på det sätt som är brukligt. I just fallet Teslafi så har han ju tänkt lite längre och sparar bara ett inloggningstoken i sin databas, men det krävs ju fortfarande att användarnamnet och lösenordet passerar igenom den tjänsten dels när man först reggar sig, dels varje gång detta token går ut. Skulle siten bli kompromissad kodmässigt så går det ju väldigt lätt att helt enkelt snappa upp dessa och lagra eller skicka vidare, och man skulle även t.ex. kunna provocera fram att siten måste fråga efter användarnamn och lösenord igen för alla för att harvesta in dem. Sen finns ju även risken att det gjorts missar som t.ex. att man inte tvättar alla uppgifter ordentligt från vad servern loggar, etc. Så visst finns det potentiella säkerhetsissues, även om de inte är lika stora som om han hade valt att spara användarnamn och lösenord i sin databas (som jag är rätt säker på att många andra tjänster gör).

[Kirre]

Jag förstår inte hur ni inte kan vara mer rädda om era inloggningsuppgifter. Missade ni gubben i Tyskland som blivit bestulen på sin bil eller?

Jag är inte supernojig med sånt generellt, men just när det gäller uppgifter som kan användas både till att lokalisera och stjäla en pryl för över en miljon så blir jag faktiskt det. Det vore att göra det lite för lätt för dem.

Så länger tredjeparts-appar och sajter bara skickar vidare id och lösen krypterat till teslas eget oauth-api ser jag inga större säkerhetsissues, men jag kanske är naiv

Teslas API stödjer ju inte egentligen tokenbaserad autentisering för tredjeparter på det sätt som är brukligt. I just fallet Teslafi så har han ju tänkt lite längre och sparar bara ett inloggningstoken i sin databas, men det krävs ju fortfarande att användarnamnet och lösenordet passerar igenom den tjänsten dels när man först reggar sig, dels varje gång detta token går ut. Skulle siten bli kompromissad kodmässigt så går det ju väldigt lätt att helt enkelt snappa upp dessa och lagra eller skicka vidare, och man skulle även t.ex. kunna provocera fram att siten måste fråga efter användarnamn och lösenord igen för alla för att harvesta in dem. Sen finns ju även risken att det gjorts missar som t.ex. att man inte tvättar alla uppgifter ordentligt från vad servern loggar, etc. Så visst finns det potentiella säkerhetsissues, även om de inte är lika stora som om han hade valt att spara användarnamn och lösenord i sin databas (som jag är rätt säker på att många andra tjänster gör).

Ok, bra info. Du verkar ju vara mer kunnig/läst på mer än mig. Har du några exempel på tjänster som du tror sparar logindata?

[danni]

Jag brukar utgå från att de som inte uttryckligen skriver att de inte sparar username/password gör det.

Det hade varit grymt om Tesla kunde göra ett riktigt API. Då kunde de ha ordentligt tredjepartsautentisering, och man kunde även själv få välja vilka förmågor varje tredjepart skulle få. Så att man t.ex. kunde godkänna att Teslafi fick lokalisera bilen när de vill, men inte låsa upp och starta den osv.

[thomas76]

Ni som kör med Teslafi vad har ni ställt in på "Polling Time While Idle:" ? tänker på Vampire Battery Loss då jag har den default på 1min.

[morrhugg]

Angående TeslaFi och ett eventuellt hack mot dom, alla tokens dom har kan man ju rakt av använda till alldeles för mycket. Vad det ser ut som är att den gäller 45 dagar vid inloggning via Teslas API ( "expires_in": 3888000 ). Är det någon som hittat i APIt eller någon annanstans om man kan invalidera sin token? I så fall hade man ju kunnat göra det vid en eventuell hackning. Med största sannolikhet verkar det inte gå, eller jag hittar inget.

[e5m1r]

Du nollar den befintliga genom att skapa ny eller ?

[lobbin]

Som jag fattat det så invalideras alla tokens om man byter sitt Telsa-lösenord.

[danni]

Angående TeslaFi och ett eventuellt hack mot dom, alla tokens dom har kan man ju rakt av använda till alldeles för mycket. Vad det ser ut som är att den gäller 45 dagar vid inloggning via Teslas API ( "expires_in": 3888000 ). Är det någon som hittat i APIt eller någon annanstans om man kan invalidera sin token? I så fall hade man ju kunnat göra det vid en eventuell hackning. Med största sannolikhet verkar det inte gå, eller jag hittar inget.

Det är brukligt men inte självklart att servern invaliderar alla befintliga inloggningstokens när man byter sitt lösenord. Men det hänger helt på hur Tesla valt att hantera det på serversidan.

Att skapa ett nytt token invaliderar absolut inte de gamla. Om det var sant så hade det inte gått att logga in på Tesla-kontot på en ny enhet eller app utan att logga ut alla andra.

[morrhugg]

Bra teori. Det går ju testa lätt om en gammal token invalideras vid nytt lösenord, återkommer