- Startseite
- Sicherheit
Sicherheit
Ein Sicherheitsproblem gefunden? Bitte teilen Sie es uns zuerst vertraulich mit, damit es behoben werden kann, bevor es öffentlich wird.
Eine Schwachstelle melden
Nutzen Sie das private Formular zum Melden einer Schwachstelle von GitHub. Nur die Betreuer können es lesen. Beschreiben Sie, was Sie gefunden haben, wie es zu reproduzieren ist und welche Version Sie verwendet haben (unter Hilfe → Über wird sie angezeigt). Bitte öffnen Sie kein öffentliches Issue für Sicherheitsprobleme.
Sie erhalten so schnell wie möglich eine Antwort. Eine Korrektur wird veröffentlicht, bevor die Details öffentlich gemacht werden, und Sie werden in der Empfehlung und den Versionshinweisen genannt, es sei denn, Sie möchten dies nicht. Während der 0.x-Versionen erhalten nur die neuesten Releases Sicherheitskorrekturen.
Wie Releases erstellt werden
- Jedes Release wird aus dem öffentlichen Quellcode von GitHub Actions auf den Servern von GitHub erstellt; die Build-Protokolle sind öffentlich.
- Jedes Release listet die SHA-256-Prüfsumme jeder Datei in
SHA256SUMS.txtauf. Überprüfen Sie Ihren Download damit: siehe Herunterladen. - Beziehen Sie MDM nur von dieser Website oder den GitHub-Releases des Projekts. Kopien an anderer Stelle können verändert sein.
- Der Windows-Installer ist noch nicht code-signiert, daher kann Windows SmartScreen vor dem ersten Start eine Warnung anzeigen. Die Code-Signierung wird hinzugefügt.
Was Sie schützt
- Helfer werden vor der Ausführung überprüft. yt-dlp wird anhand des Signaturschlüssels seiner Entwickler überprüft und ffmpeg anhand seiner veröffentlichten Prüfsummen.
- Nichts lauscht im Netzwerk. Die Automatisierungs-API ist standardmäßig deaktiviert und antwortet, wenn aktiviert, nur auf
127.0.0.1mit einem geheimen Token. Der Browser-Helfer antwortet nur der eigenen Erweiterung von MDM. - Heruntergeladene Dateinamen werden bereinigt, bevor sie zu Pfaden werden, sodass ein Server nicht außerhalb des von Ihnen gewählten Ordners schreiben kann.
- Anmeldeinformationen bleiben bei ihrer Website. Logins und Cookies werden nur an den Host gesendet, zu dem sie gehören, auch bei Weiterleitungen.
- Keine Telemetrie: siehe die Datenschutzrichtlinie.
Die technische Richtlinie mit dem Code, auf den sich jeder Punkt bezieht, finden Sie in SECURITY.md.