Безопасность

Исправления безопасности выпускаются для последней версии. Перед отчётом проверьте версию приложения и сервера.

Сообщить об уязвимости#

Не публикуйте уязвимость в обычном issue или pull request. Откройте Security репозитория и выберите Report a vulnerability.

Укажите компонент и версию, влияние проблемы, шаги воспроизведения или proof of concept. Если есть предложенное исправление, приложите его. Порядок ответа и раскрытия описан в политике безопасности.

Проверка выпусков#

Файлы выпуска и образ сервера собирает GitHub Actions в этом репозитории и публикует для каждого подписанное свидетельство о сборке. Проверить его можно через GitHub CLI:

gh attestation verify TolkTak-Setup-0.1.4.exe --repo D4eNst/tolktak
gh attestation verify oci://ghcr.io/d4enst/tolktak-server:0.1.4 --repo D4eNst/tolktak

Границы защиты#

На данный момент в TolkTak нет сквозного шифрования. Владелец сервера имеет доступ к сообщениям и файлам, а скачивание файла по случайной ссылке пока не требует авторизации. Эти ограничения текущей версии описаны в модели безопасности (на английском).

HTTPS защищает соединение с сервером. Работа по обычному HTTP оставляет пароли, переписку и файлы открытыми для наблюдателя в сети. Для сервера в интернете настройте HTTPS.