Sicherheit

Eine Lücke gefunden? Sag es zuerst uns.

Wenn du ein Sicherheitsproblem in Loft, dem Gateway, den Apps oder dieser Website gefunden hast, schreib bitte an hello@incremental.no, bevor du es jemand anderem erzählst.

So meldest du es

  • Beschreibe, was du gefunden hast, wie es sich nachstellen lässt und welche Version du getestet hast.
  • Bitte eröffne kein öffentliches Issue und teste nicht gegen Gateways, die dir nicht gehören.
  • Gib uns angemessen Zeit für eine Korrektur, bevor du etwas veröffentlichst.
  • Die Datei SECURITY.md im Repository sagt dasselbe, falls du uns zuerst dort gefunden hast.

Wie Loft gebaut ist

  • Apps sprechen nur mit einem Gateway, mit dem sie gekoppelt wurden. Die Schlüssel kommen mit dem Kopplungscode, sodass der ersten Verbindung nie blind vertraut wird.
  • Dein Passwort geht nur über eine Verbindung, die an dein Gateway gebunden ist, und das Gateway speichert es verschlüsselt mit einem Schlüssel, der nur auf deinem Gerät liegt.
  • Das Gateway meldet sich in deinem Namen beim NAS an, damit die Berechtigungen des NAS gelten. Es verwendet standardmäßig SMB 3 mit Verschlüsselung.
  • Im direkten Modus begrenzt das Gateway die Anmeldeversuche, weil viele NAS-Geräte das nicht tun.
  • Das Gateway aktualisiert sich nie selbst. Jede Version hat eine SHA-256-Prüfsumme.
  • Jede Änderung am Code wird vor der Übernahme nach Geheimnissen durchsucht.

Was auf welchem Weg verschlüsselt ist und wogegen wir nicht schützen können: So funktioniert’s.