Bezpieczeństwo

Zgłoś lukę w zabezpieczeniach

Użyj prywatnego formularza Zgłoś lukę w zabezpieczeniach na GitHubie. Tylko opiekunowie mogą go przeczytać. Opisz, co znalazłeś, jak to odtworzyć i której wersji użyłeś (Pomoc → Informacje pokazuje ją). Prosimy nie otwierać publicznego zgłoszenia dla problemów z bezpieczeństwem.

Otrzymasz odpowiedź tak szybko, jak to możliwe. Poprawka zostanie wydana, zanim szczegóły zostaną upublicznione, a Ty zostaniesz wymieniony w komunikacie i informacjach o wydaniu, chyba że wolisz tego nie robić. W wersjach 0.x tylko najnowsze wydanie otrzymuje poprawki bezpieczeństwa.

Jak powstają wydania

• Każde wydanie jest budowane z publicznego kodu źródłowego przez GitHub Actions na serwerach GitHub; dzienniki kompilacji są publiczne.
• Każde wydanie zawiera sumę kontrolną SHA-256 każdego pliku w SHA256SUMS.txt. Sprawdź swoje pobieranie z nią: zobacz Pobierz.
• Pobieraj MDM tylko z tej witryny lub wydań projektu na GitHubie. Kopie w innych miejscach mogą być zmienione.
• Instalator Windows nie jest jeszcze podpisany cyfrowo, więc Windows SmartScreen może ostrzec przed pierwszym uruchomieniem. Podpisywanie kodu zostanie dodane.

Co Cię chroni

• Pomocnicy są weryfikowani przed uruchomieniem. yt-dlp jest sprawdzany pod kątem klucza podpisywania jego twórców, a ffmpeg pod kątem opublikowanych sum kontrolnych.
• Nic nie nasłuchuje w sieci. API automatyzacji jest domyślnie wyłączone, a gdy jest włączone, odpowiada tylko na 127.0.0.1 z tajnym tokenem. Pomocnik przeglądarki odpowiada tylko na własne rozszerzenie MDM.
• Nazwy pobranych plików są czyszczone zanim staną się ścieżkami, więc serwer nie może zapisywać poza wybranym folderem.
• Dane uwierzytelniające pozostają przy swojej witrynie. Loginy i pliki cookie są wysyłane tylko do hosta, do którego należą, nawet w przypadku przekierowań.
• Brak telemetrii: zobacz politykę prywatności.

Polityka techniczna, wraz z kodem, do którego odnosi się każdy punkt, znajduje się w SECURITY.md.