Sécurité

Vous avez trouvé une faille ? Dites-le-nous d’abord.

Si vous avez trouvé un problème de sécurité dans Loft, la passerelle, les apps ou ce site, merci d’écrire à hello@incremental.no avant d’en parler à qui que ce soit.

Comment signaler

  • Décrivez ce que vous avez trouvé, comment le reproduire et quelle version vous avez testée.
  • Merci de ne pas ouvrir de ticket public, et de ne pas faire de tests sur des passerelles qui ne vous appartiennent pas.
  • Laissez-nous un délai raisonnable pour corriger le problème avant de le publier.
  • Le fichier SECURITY.md du dépôt dit la même chose, au cas où vous nous auriez d’abord trouvés là.

Comment Loft est conçu

  • Les apps ne parlent qu’à une passerelle à laquelle elles ont été associées. Les clés arrivent dans le code d’association : nul besoin de faire aveuglément confiance à la première connexion.
  • Votre mot de passe ne circule que par une connexion épinglée sur votre passerelle, et la passerelle le stocke chiffré avec une clé qui se trouve uniquement sur votre appareil.
  • La passerelle se connecte au NAS en votre nom : les autorisations du NAS lui-même s’appliquent donc. Elle utilise par défaut SMB 3 avec chiffrement.
  • En mode direct, la passerelle limite les tentatives de connexion, car beaucoup de boîtiers NAS ne le font pas.
  • La passerelle ne se met jamais à jour toute seule. Chaque version a une somme de contrôle SHA-256.
  • Chaque modification du code est analysée à la recherche de secrets avant d’être acceptée.

Ce qui est chiffré selon le mode d’accès, et ce contre quoi nous ne pouvons pas vous protéger : Fonctionnement.