허점을 발견했나요? 저희에게 먼저 알려 주세요.

신고 방법

• 발견한 내용, 재현 방법, 테스트한 버전을 설명해 주세요.
• 공개 이슈는 등록하지 마시고, 본인 소유가 아닌 게이트웨이를 대상으로 테스트하지 마세요.
• 공개하기 전에 저희가 문제를 고칠 수 있도록 충분한 시간을 주세요.
• 저장소의 SECURITY.md에도 같은 내용이 있어요. 그곳에서 저희를 먼저 찾으셨을 경우를 위해서요.

Loft의 설계 방식

• 앱은 페어링한 게이트웨이하고만 통신해요. 키가 페어링 코드에 담겨 오므로, 첫 연결을 무작정 신뢰할 일이 없어요.
• 비밀번호는 내 게이트웨이의 키에 고정된 연결로만 전송되며, 게이트웨이는 내 기기에만 있는 키로 비밀번호를 암호화해서 저장해요.
• 게이트웨이는 사용자 본인의 계정으로 NAS에 로그인하므로 NAS 자체의 권한이 그대로 적용돼요. 기본적으로 암호화된 SMB 3을 사용해요.
• 직접 모드에서는 게이트웨이가 로그인 시도 횟수를 제한해요. 많은 NAS 장비가 이를 제한하지 않기 때문이에요.
• 게이트웨이는 절대 스스로 업데이트하지 않아요. 모든 릴리스에는 SHA-256 체크섬이 있어요.
• 코드의 모든 변경 사항은 반영되기 전에 비밀 정보가 들어 있지 않은지 검사해요.

경로별로 암호화되는 것과 저희가 막을 수 없는 것: 작동 방식.