Seguridad

¿Un agujero de seguridad? Avísanos primero.

Si has encontrado un problema de seguridad en Loft, el gateway, las apps o este sitio web, escribe a hello@incremental.no antes de contárselo a nadie más.

Cómo informar

  • Describe lo que encontraste, cómo reproducirlo y qué versión probaste.
  • Por favor, no abras una incidencia pública, y no hagas pruebas contra gateways que no sean tuyos.
  • Danos un plazo razonable para corregirlo antes de publicarlo.
  • El SECURITY.md del repositorio dice lo mismo, por si nos encontraste allí primero.

Cómo está hecho Loft

  • Las apps solo se comunican con un gateway con el que se han vinculado. Las claves vienen en el código de vinculación, así que no hay que fiarse a ciegas de la primera conexión.
  • Tu contraseña solo viaja por una conexión anclada a tu gateway, y el gateway la guarda cifrada con una clave que solo está en tu dispositivo.
  • El gateway inicia sesión en el NAS como tú, así que se aplican los permisos del propio NAS. Usa SMB 3 con cifrado de forma predeterminada.
  • En modo directo, el gateway limita los intentos de inicio de sesión, porque muchos NAS no lo hacen.
  • El gateway nunca se actualiza solo. Cada versión tiene una suma de comprobación SHA-256.
  • Cada cambio en el código se analiza en busca de secretos antes de aceptarse.

Qué se cifra en cada ruta, y contra qué no podemos protegerte: Cómo funciona.