セキュリティホールを見つけたら、まず私たちに。

報告の方法

• 見つけた内容、再現手順、テストしたバージョンを書いてください。
• 公開のIssueは作成しないでください。また、自分のものではないゲートウェイに対してテストしないでください。
• 公表する前に、修正のための妥当な時間をください。
• リポジトリのSECURITY.mdにも同じことが書いてあります。先にそちらを見た方のために。

Loftの設計

• アプリが通信するのは、ペアリングしたゲートウェイだけです。鍵はペアリングコードで渡されるので、最初の接続をやみくもに信頼する必要はありません。
• パスワードはゲートウェイの鍵に固定された接続でのみ送られ、ゲートウェイはあなたのデバイスにしかない鍵でパスワードを暗号化して保存します。
• ゲートウェイはあなたのアカウントでNASにサインインするので、NAS自体のアクセス権がそのまま適用されます。デフォルトでは暗号化を有効にしたSMB 3を使います。
• 直接接続では、ゲートウェイがサインインの試行回数を制限します。多くのNAS機はそうしないからです。
• ゲートウェイが自分でアップデートすることはありません。すべてのリリースにSHA-256チェックサムがあります。
• コードへの変更はすべて、受け入れる前に機密情報が含まれていないかスキャンされます。

経路ごとに何が暗号化されるか、そして何を防げないか：仕組み