Beveiliging

Een kwetsbaarheid melden

Gebruik het privé Meld een kwetsbaarheid-formulier van GitHub. Alleen de beheerders kunnen het lezen. Vermeld wat u hebt gevonden, hoe het te reproduceren is en welke versie u hebt gebruikt (Help → Over toont dit). Open alstublieft geen openbare melding voor beveiligingsproblemen.

U krijgt zo snel mogelijk antwoord. Een oplossing wordt vrijgegeven voordat de details openbaar worden gemaakt, en u wordt vermeld in het advies en de release-opmerkingen, tenzij u dat liever niet wilt. Tijdens de 0.x-versies ontvangen alleen de nieuwste releases beveiligingsupdates.

Hoe releases worden gemaakt

• Elke release wordt gebouwd vanuit de openbare broncode door GitHub Actions, op de servers van GitHub; de buildlogs zijn openbaar.
• Elke release vermeldt de SHA-256-checksum van elk bestand in SHA256SUMS.txt. Controleer uw download hiermee: zie Downloaden.
• Haal MDM alleen van deze site of de GitHub-releases van het project. Kopieën elders kunnen zijn gewijzigd.
• Het Windows-installatieprogramma is nog niet ondertekend met een code, dus Windows SmartScreen kan waarschuwen voor de eerste start. Code-ondertekening zal worden toegevoegd.

Wat u beschermt

• Hulpprogramma's worden geverifieerd voordat ze worden uitgevoerd. yt-dlp wordt gecontroleerd aan de hand van de ondertekeningssleutel van de ontwikkelaars, en ffmpeg aan de hand van de gepubliceerde checksums.
• Niets luistert op het netwerk. De automatiserings-API is standaard uitgeschakeld en, indien ingeschakeld, antwoordt alleen op 127.0.0.1 met een geheime token. De browserhelper antwoordt alleen op de eigen extensie van MDM.
• Gedownloade bestandsnamen worden opgeschoond voordat ze paden worden, zodat een server niet buiten de door u gekozen map kan schrijven.
• Inloggegevens blijven bij hun site. Logins en cookies worden alleen naar de host gestuurd waartoe ze behoren, zelfs bij omleidingen.
• Geen telemetrie: zie het privacybeleid.

Het technische beleid, met de code waarnaar elk punt verwijst, staat in SECURITY.md.