सुरक्षा

कमज़ोरी की रिपोर्ट करें

GitHub के निजी कमज़ोरी की रिपोर्ट करें फ़ॉर्म का उपयोग करें। इसे केवल रखरखाव करने वाले ही पढ़ सकते हैं। बताएं कि आपको क्या मिला, इसे कैसे दोहराया जाए, और आपने कौन सा संस्करण इस्तेमाल किया (सहायता → के बारे में इसे दिखाता है)। कृपया सुरक्षा समस्याओं के लिए सार्वजनिक समस्या न खोलें।

आपको जल्द से जल्द जवाब मिलेगा। विवरण सार्वजनिक होने से पहले एक सुधार जारी किया जाता है, और आपको सलाह और रिलीज़ नोट्स में श्रेय दिया जाता है, जब तक कि आप ऐसा न चाहें। 0.x संस्करणों के दौरान, केवल नवीनतम रिलीज़ को सुरक्षा सुधार मिलते हैं।

रिलीज़ कैसे बनाए जाते हैं

• प्रत्येक रिलीज़ GitHub के सर्वर पर GitHub Actions द्वारा सार्वजनिक स्रोत कोड से बनाई जाती है; बिल्ड लॉग सार्वजनिक होते हैं।
• प्रत्येक रिलीज़ में SHA256SUMS.txt में हर फ़ाइल का SHA-256 चेकसम सूचीबद्ध होता है। इसके खिलाफ अपने डाउनलोड की जांच करें: डाउनलोड करें देखें।
• MDM केवल इस साइट या प्रोजेक्ट के GitHub रिलीज़ से प्राप्त करें। कहीं और की प्रतियां बदली हुई हो सकती हैं।
• Windows इंस्टॉलर अभी तक कोड-साइन नहीं किया गया है, इसलिए Windows SmartScreen पहली शुरुआत से पहले चेतावनी दे सकता है। कोड साइनिंग जोड़ी जाएगी।

आपको क्या बचाता है

• सहायकों को चलाने से पहले सत्यापित किया जाता है। yt-dlp को उसके डेवलपर्स की साइनिंग कुंजी के खिलाफ जांचा जाता है, और ffmpeg को उसके प्रकाशित चेकसम के खिलाफ जांचा जाता है।
• नेटवर्क पर कुछ भी नहीं सुनता है। ऑटोमेशन API डिफ़ॉल्ट रूप से बंद होता है और, जब चालू होता है, तो केवल 127.0.0.1 पर एक गुप्त टोकन के साथ जवाब देता है। ब्राउज़र सहायक केवल MDM के अपने एक्सटेंशन का जवाब देता है।
• डाउनलोड की गई फ़ाइल के नाम साफ किए जाते हैं इससे पहले कि वे पथ बनें, ताकि एक सर्वर आपके चुने हुए फ़ोल्डर के बाहर न लिख सके।
• क्रेडेंशियल अपनी साइट के साथ रहते हैं। लॉगिन और कुकीज़ केवल उस होस्ट को भेजे जाते हैं जिससे वे संबंधित हैं, यहां तक कि रीडायरेक्ट के पार भी।
• कोई टेलीमेट्री नहीं: गोपनीयता नीति देखें।

तकनीकी नीति, जिसमें प्रत्येक बिंदु जिस कोड को संदर्भित करता है, वह SECURITY.md में है।