Beveiliging
Een lek gevonden? Vertel het ons eerst.
Heb je een beveiligingsprobleem gevonden in Loft, de gateway, de apps of deze website, schrijf dan naar hello@incremental.no voordat je het aan iemand anders vertelt.
Zo meld je het
- Beschrijf wat je hebt gevonden, hoe het te reproduceren is en welke versie je hebt getest.
- Open geen openbaar issue, en test niet tegen gateways die niet van jou zijn.
- Geef ons redelijk de tijd om het op te lossen voordat je het publiceert.
- In
SECURITY.mdin de repository staat hetzelfde, voor als je ons daar eerder tegenkwam.
Hoe Loft is gebouwd
- Apps praten alleen met een gateway waaraan ze gekoppeld zijn. De sleutels zitten in de koppelcode, dus de eerste verbinding hoeft niet blind te worden vertrouwd.
- Je wachtwoord gaat alleen via een verbinding die aan de sleutel van je gateway gebonden is, en de gateway bewaart het versleuteld met een sleutel die alleen op je apparaat staat.
- De gateway logt als jou in op de NAS, zodat de eigen rechten van de NAS gelden. Standaard gebruikt hij SMB 3 met versleuteling.
- In de directe modus beperkt de gateway het aantal inlogpogingen, omdat veel NAS-apparaten dat niet doen.
- De gateway werkt zichzelf nooit bij. Elke release heeft een SHA-256-controlegetal.
- Elke wijziging in de code wordt op geheimen gescand voordat ze wordt geaccepteerd.
Wat er op elke route versleuteld is, en waar we je niet tegen kunnen beschermen: Hoe het werkt.