- Home
- Sicurezza
Sicurezza
Hai trovato un problema di sicurezza? Per favore, comunicacelo prima in privato, così potremo risolverlo prima che diventi di dominio pubblico.
Segnala una vulnerabilità
Usa il modulo privato di GitHub Segnala una vulnerabilità. Solo i manutentori possono leggerlo. Descrivi cosa hai trovato, come riprodurlo e quale versione hai usato (la trovi in Guida → Informazioni). Per favore, non aprire un "issue" pubblico per problemi di sicurezza.
Riceverai una risposta il prima possibile. Una correzione viene rilasciata prima che i dettagli siano resi pubblici, e sarai menzionato nell'avviso e nelle note di rilascio, a meno che tu non preferisca il contrario. Durante le versioni 0.x, solo l'ultima versione riceve correzioni di sicurezza.
Come vengono create le versioni
- Ogni versione è creata dal codice sorgente pubblico tramite GitHub Actions, sui server di GitHub; i log di compilazione sono pubblici.
- Ogni versione elenca il checksum SHA-256 di ogni file in
SHA256SUMS.txt. Controlla il tuo download confrontandolo: vedi Scarica. - Scarica MDM solo da questo sito o dalle release GitHub del progetto. Copie altrove potrebbero essere alterate.
- L'installer per Windows non è ancora firmato digitalmente, quindi Windows SmartScreen potrebbe avvisare prima del primo avvio. La firma del codice verrà aggiunta.
Cosa ti protegge
- Gli helper vengono verificati prima di essere eseguiti. yt-dlp è controllato rispetto alla chiave di firma dei suoi sviluppatori, e ffmpeg rispetto ai suoi checksum pubblicati.
- Nessun processo è in ascolto sulla rete. L'API di automazione è disattivata per impostazione predefinita e, quando attiva, risponde solo su
127.0.0.1con un token segreto. L'helper del browser risponde solo all'estensione di MDM. - I nomi dei file scaricati vengono puliti prima di diventare percorsi, in modo che un server non possa scrivere al di fuori della cartella scelta.
- Le credenziali rimangono associate al loro sito. Login e cookie vengono inviati solo all'host a cui appartengono, anche in caso di reindirizzamenti.
- Nessuna telemetria: vedi l'informativa sulla privacy.
La politica tecnica, con il codice a cui ogni punto si riferisce, si trova in SECURITY.md.