Sicurezza

Hai trovato una falla? Dillo prima a noi.

Se hai trovato un problema di sicurezza in Loft, nel gateway, nelle app o in questo sito, scrivi a hello@incremental.no prima di dirlo a chiunque altro.

Come segnalare

  • Descrivi cosa hai trovato, come riprodurlo e quale versione hai testato.
  • Per favore non aprire una segnalazione pubblica, e non fare test su gateway che non sono tuoi.
  • Dacci un tempo ragionevole per correggerlo prima di pubblicare.
  • Il file SECURITY.md del repository dice la stessa cosa, nel caso ci avessi trovato prima lì.

Come è fatto Loft

  • Le app parlano solo con un gateway a cui sono state abbinate. Le chiavi arrivano con il codice di abbinamento, quindi la prima connessione non è mai accettata alla cieca.
  • La tua password passa solo tramite una connessione vincolata alla chiave del tuo gateway, e il gateway la conserva crittografata con una chiave che si trova solo sul tuo dispositivo.
  • Il gateway accede al NAS come te, quindi valgono i permessi del NAS stesso. Per impostazione predefinita usa SMB 3 con crittografia.
  • In modalità diretta il gateway limita i tentativi di accesso, perché molti NAS non lo fanno.
  • Il gateway non si aggiorna mai da solo. Ogni versione ha un checksum SHA-256.
  • Ogni modifica al codice viene analizzata alla ricerca di segreti prima di essere accettata.

Cosa è crittografato su ogni percorso, e cosa non possiamo proteggere: Come funziona.