Bảo mật

Dữ liệu của bạn được bảo vệ như thế nào, nói một cách dễ hiểu

Việc ghép nối bắt đầu bằng một mã QR trên máy tính. Mã này chứa một bí mật dùng một lần, hết hạn sau hai phút, nên chỉ thiết bị thực sự nhìn thấy màn hình của bạn mới ghép nối được. Sau đó cả hai màn hình hiển thị cùng một mã 6 chữ số và bạn xác nhận rằng chúng khớp nhau.

• Mọi kết nối đều được mã hóa đầu cuối bằng giao thức Noise (X25519, ChaCha20-Poly1305, BLAKE2s). Mỗi thiết bị có khóa riêng không bao giờ rời khỏi thiết bị, và các thiết bị nhận ra nhau bằng khóa đó — không phải bằng địa chỉ IP, tên hay tài khoản.
• Mỗi kết nối và mỗi luồng dữ liệu dùng khóa mới (bí mật chuyển tiếp): khóa bị đánh cắp về sau cũng không giải mã được lưu lượng đã ghi lại trước đó.
• Lớp mã hóa nằm phía trên mạng, nên bảo vệ bạn như nhau trên Wi-Fi, qua internet (QUIC, TCP hoặc WebRTC) và qua dịch vụ điểm hẹn của chúng tôi — dịch vụ này chỉ chuyển tiếp các tin nhắn đã niêm phong mà nó không đọc được.
• Đã ghép nối không có nghĩa là được làm mọi thứ: mỗi thiết bị chỉ có những quyền bạn cấp, còn nhập liệu từ xa và camera sẽ xin sự đồng ý của bạn trong mỗi phiên.
• Tệp, liên kết và dữ liệu bộ nhớ tạm bạn nhận được đều được kiểm tra trước khi dùng: không thể thoát ra ngoài thư mục tải về, các loại liên kết nguy hiểm bị từ chối và kích thước có giới hạn.

Đặc tả kỹ thuật đầy đủ và mô hình mối đe dọa nằm trong tài liệu bảo mật của chúng tôi, được cung cấp cho các nhà nghiên cứu và kiểm toán viên.

Tình trạng kiểm toán

Chúng tôi chọn nói chính xác thay vì nói cho ấn tượng:

• Rà soát bảo mật nội bộ: đã hoàn thành. Thiết kế, ghép nối, mã hóa phiên, phân quyền và kiểm tra dữ liệu đầu vào đã được rà soát theo một mô hình mối đe dọa bằng văn bản, và các quy tắc bảo mật được bao phủ bởi kiểm thử tự động chạy ở mỗi thay đổi.
• Kiểm tra tự động: cảnh báo bảo mật và giấy phép của các thư viện phụ thuộc được kiểm tra ở mỗi thay đổi, và những phần đọc dữ liệu không đáng tin cậy được fuzzing hằng tuần.
• Kiểm toán độc lập bên ngoài: dự kiến thực hiện trước phiên bản 1.0 và hiện chưa thực hiện. Khi hoàn tất, chúng tôi sẽ công bố tại đây đơn vị kiểm toán, phạm vi và bản tóm tắt các phát hiện.

Cho đến lúc đó, Personal Device Bridge vẫn là bản xem trước. Hãy cân nhắc điều này trước khi dùng cho dữ liệu cực kỳ nhạy cảm.

Xác minh những gì bạn tải về

Bạn không cần chỉ tin lời chúng tôi để biết một bản tải về là thật:

• Mã băm kiểm tra: mỗi bản phát hành đều có tệp SHA256SUMS bao gồm mọi tệp, để bạn xác nhận bản của mình giống hệt bản chúng tôi đã công bố.
• Bản dựng tái lập được: công cụ dòng lệnh cho Linux được dựng một cách tất định. Bất kỳ ai có mã nguồn tại thẻ phát hành đều có thể dựng lại và nhận được tệp giống hệt đến từng bit; một bước kiểm tra tự động dựng hai lần trong hai môi trường khác nhau và báo lỗi nếu chỉ cần một byte khác biệt.
• Chứng thực nguồn gốc bản dựng: quy trình phát hành của chúng tôi đã được thiết lập để đính kèm vào mỗi tệp một chứng thực nguồn gốc SLSA có chữ ký (Sigstore), ghi lại quy trình và commit nào đã tạo ra tệp; bạn có thể kiểm tra bằng lệnh “gh attestation verify”. GitHub bật tính năng này khi kho mã nguồn được công khai, và chúng tôi sẽ thông báo tại đây khi tính năng hoạt động.
• Ký mã: quy trình phát hành của chúng tôi ký các chương trình và trình cài đặt Windows bằng Authenticode (Azure Artifact Signing); trước khi chạy một tệp, bạn có thể xem nhà phát hành trong Properties → Digital Signatures.

Bản dựng cho Windows và Android hiện chưa tái lập được; việc này đã nằm trong kế hoạch. Hướng dẫn xác minh từng bước cho bash và PowerShell có trong tài liệu về bản dựng tái lập được, cung cấp khi có yêu cầu.

Kiểm thử liên tục

Mọi bộ giải mã đọc dữ liệu từ thiết bị khác hoặc từ mạng — phong bì tin nhắn, liên kết ghép nối, tín hiệu dò tìm thiết bị, tên tệp và tin nhắn của từng tính năng — đều được fuzzing hằng tuần bằng libFuzzer, công cụ đưa vào hàng triệu dữ liệu sai định dạng để tìm lỗi treo và các bước kiểm tra an toàn bị hỏng.

Ngoài ra, kiểm thử đơn vị, tích hợp và đầu cuối chạy trên Windows và Linux ở mỗi thay đổi, trong đó có các bài kiểm thử hai tiến trình thật ghép nối và truyền tệp qua mạng.

Cách báo cáo

Gửi email tới projectteamforyou@gmail.com với tiêu đề “[SECURITY] tiêu đề ngắn”, bằng tiếng Hàn hoặc tiếng Anh. Vui lòng nêu:

• ứng dụng hoặc thành phần bị ảnh hưởng và phiên bản;
• vấn đề là gì và kẻ tấn công có thể làm gì với nó (hoan nghênh kèm vectơ CVSS);
• các bước tái hiện hoặc bằng chứng khái niệm, và nền tảng bạn đã thử nghiệm.

Vui lòng không báo cáo lỗ hổng qua issue công khai hoặc mạng xã hội.

Mã hóa: chúng tôi chưa công bố khóa PGP. Khi công bố, khóa sẽ được đặt trong thư mục /.well-known/ của trang web này và được ghi trong personaldevicebridge.com/.well-known/security.txt. Trong thời gian đó, nếu báo cáo của bạn chứa chi tiết khai thác nhạy cảm, hãy gửi trước một email ngắn không kèm các chi tiết đó và chúng tôi sẽ cùng bạn thống nhất một kênh an toàn.

Mã nguồn của chúng tôi là phần mềm độc quyền. Nếu bạn cần truy cập mã nguồn để nghiên cứu hoặc xác nhận một phát hiện, hãy đề nghị với chúng tôi; mỗi yêu cầu sẽ được xem xét riêng.

Điều gì xảy ra sau khi bạn báo cáo

• Chúng tôi xác nhận đã nhận báo cáo trong vòng 72 giờ.
• Chúng tôi phân loại báo cáo — tính hợp lệ, mức độ nghiêm trọng và các phiên bản bị ảnh hưởng — trong vòng 7 ngày, và cập nhật cho bạn ít nhất 14 ngày một lần cho đến khi xử lý xong.
• Mục tiêu khắc phục tính từ khi phân loại: Nghiêm trọng trong 30 ngày (có biện pháp giảm thiểu trong 7 ngày nếu có thể), Cao trong 60 ngày, Trung bình trong 90 ngày, Thấp trong một bản phát hành định kỳ sau đó.

Chúng tôi là một nhóm nhỏ. Nếu không kịp một mục tiêu, chúng tôi sẽ cho bạn biết lý do và thời điểm dự kiến có bản sửa.

Thông tin liên hệ cho công cụ

Thông tin liên hệ của chúng tôi cũng được công bố theo định dạng chuẩn máy đọc được (RFC 9116) tại personaldevicebridge.com/.well-known/security.txt, trỏ về trang này. Chúng tôi trả lời bằng tiếng Hàn hoặc tiếng Anh.