Безопасность и сообщение об уязвимостях
Как Memora Keep хранит данные локально, от чего это защищает и как сообщить об уязвимости.
Обновлено:
Перевод приведён только для справки. При неоднозначности или расхождениях приоритет имеет английский оригинал, являющийся юридически обязательной версией.
Memora Keep хранит архив на вашем компьютере. Здесь описаны особенности и ограничения такого подхода, а также порядок сообщения об уязвимостях.
Кратко
Данные хранятся локально на подконтрольном вам диске, без аккаунта и промежуточного сервера. Приложение пока не шифрует хранящиеся данные; это запланировано. Порядок сообщения о проблемах приведён ниже.
Локальное хранение
Копии, медиафайлы и архив записываются в выбранную вами папку. Архив представляет собой локальную базу SQLite; файлы распределены по типу и устройству. Аккаунта и входа нет, поэтому ваш пароль не хранится на сервере и синхронизация не требуется. Одновременно работает один экземпляр приложения; для диагностики ведётся локальный журнал.
Нет аккаунта для атаки
Поскольку входа нет, отсутствуют токен сеанса, профиль на сервере и онлайн-аккаунт, данные которого можно подобрать, получить фишингом или использовать повторно. Это устраняет целый класс рисков.
От чего такой подход не защищает
Локальное хранение предотвращает сбор ваших данных, но не делает компьютер неуязвимым. Любой, кто имеет доступ к разблокированному компьютеру и вашей учётной записи, может прочитать папку. Данные потерянного, украденного или переданного диска могут быть прочитаны получившим к нему доступ человеком, если не используется полное шифрование диска средствами операционной системы. Защитите свою учётную запись и диск.
Шифрование планируется, но пока недоступно
Шифрование архива и резервных копий запланировано на будущий этап; сейчас оно не входит в приложение и полагаться на него нельзя. После выпуска документация и эта страница опишут его работу до появления каких-либо заявлений о нём.
Как сообщить об уязвимости
Если вы обнаружили возможную проблему безопасности, сообщите нам до её раскрытия другим лицам. Воспользуйтесь страницей контактов, опишите проблему и отметьте сообщение как отчёт о безопасности. Не проводите проверку на чужих данных или устройствах.
Что включить в отчёт
Чётко опишите проблему и её последствия, шаги воспроизведения, версию приложения и операционную систему. Не включайте реальные личные данные из архива и не прикладывайте настоящую резервную копию.
Чего ожидать от нас
Мы подтвердим получение и будем информировать вас в ходе проверки. Мы сообщим о доступности исправления и укажем ваше имя как автора находки, если вы этого захотите. Просим дать нам возможность исправить проблему до публичного раскрытия.
Вопросы об этом документе?
По вопросам конфиденциальности, безопасности и лицензий посетите страницы поддержки и контактов.