Bảo mật

Báo cáo lỗ hổng bảo mật

Sử dụng biểu mẫu Báo cáo lỗ hổng bảo mật riêng tư của GitHub. Chỉ những người duy trì mới có thể đọc được. Hãy cho biết bạn đã tìm thấy gì, cách tái tạo lỗi và phiên bản bạn đã sử dụng (Trợ giúp → Giới thiệu sẽ hiển thị). Vui lòng không mở một vấn đề công khai cho các vấn đề bảo mật.

Bạn sẽ nhận được câu trả lời sớm nhất có thể. Bản sửa lỗi sẽ được phát hành trước khi chi tiết được công khai và bạn sẽ được ghi công trong thông báo và ghi chú phát hành trừ khi bạn không muốn. Trong các phiên bản 0.x, chỉ bản phát hành mới nhất mới nhận được các bản sửa lỗi bảo mật.

Cách phát hành

• Mọi bản phát hành đều được xây dựng từ mã nguồn công khai bởi GitHub Actions, trên máy chủ của GitHub; nhật ký xây dựng là công khai.
• Mỗi bản phát hành liệt kê tổng kiểm SHA-256 của mọi tệp trong SHA256SUMS.txt. Hãy kiểm tra bản tải xuống của bạn với tổng kiểm này: xem Tải xuống.
• Chỉ tải MDM từ trang web này hoặc các bản phát hành GitHub của dự án. Các bản sao ở nơi khác có thể đã bị thay đổi.
• Trình cài đặt Windows chưa được ký mã, vì vậy Windows SmartScreen có thể cảnh báo trước khi khởi động lần đầu. Ký mã sẽ được thêm vào.

Những gì bảo vệ bạn

• Các trình hỗ trợ được xác minh trước khi chạy. yt-dlp được kiểm tra bằng khóa ký của nhà phát triển, và ffmpeg được kiểm tra bằng tổng kiểm đã công bố.
• Không có gì lắng nghe trên mạng. API tự động hóa bị tắt theo mặc định và, khi bật, chỉ trả lời trên 127.0.0.1 với một mã thông báo bí mật. Trình hỗ trợ trình duyệt chỉ trả lời tiện ích mở rộng của MDM.
• Tên tệp đã tải xuống được làm sạch trước khi trở thành đường dẫn, để máy chủ không thể ghi ra ngoài thư mục bạn đã chọn.
• Thông tin đăng nhập vẫn ở lại với trang web của chúng. Đăng nhập và cookie chỉ được gửi đến máy chủ mà chúng thuộc về, ngay cả khi chuyển hướng.
• Không có dữ liệu đo từ xa: xem chính sách quyền riêng tư.

Chính sách kỹ thuật, với mã mà mỗi điểm đề cập đến, nằm trong SECURITY.md.