Achou uma brecha? Conte primeiro para nós.

Como relatar

• Descreva o que você encontrou, como reproduzir e qual versão você testou.
• Por favor, não abra uma issue pública e não faça testes em gateways que não são seus.
• Dê-nos um prazo razoável para corrigir o problema antes de publicá-lo.
• O SECURITY.md do repositório diz o mesmo, caso você tenha nos encontrado lá primeiro.

Como o Loft é feito

• Os apps só falam com um gateway com o qual foram pareados. As chaves vêm no código de pareamento, então não é preciso confiar às cegas na primeira conexão.
• Sua senha só trafega por uma conexão vinculada à chave do seu gateway, e o gateway a guarda criptografada com uma chave que só existe no seu dispositivo.
• O gateway entra no NAS como você, então valem as próprias permissões do NAS. Por padrão, ele usa SMB 3 com criptografia.
• No modo direto, o gateway limita as tentativas de login, porque muitos NAS não fazem isso.
• O gateway nunca se atualiza sozinho. Cada versão tem um checksum SHA-256.
• Toda alteração no código passa por uma varredura em busca de segredos antes de ser aceita.

O que é criptografado em cada caminho, e contra o que não conseguimos proteger: Como funciona.