安全与漏洞披露

Memora Keep 将你的归档存储在你自己的电脑上。本页说明这种设计、它能防范和不能防范哪些风险，以及如何向我们告知漏洞。

简要说明

你的数据存储在本地、存储在你掌控的磁盘上，不涉及账号，也没有服务器介入其中。本应用目前尚未使用静态数据加密。这项工作已在计划之中，下文对此有所说明。如果你发现了安全问题，披露流程也在下文。

设计上采用本地存储

备份、媒体文件和归档都会写入你选定的文件夹。该归档是一个本地 SQLite 数据库，其中的文件按类型和按设备存放。由于不存在账号，也无需登录，因此服务器上不会存储你的任何密码，也没有任何需要同步的内容。本应用一次只运行一个实例，并保留一份本地日志用于诊断问题。

没有可供攻击的账号

由于无需登录，因此既没有会话令牌，也没有服务器端配置文件，更没有可能被猜出、钓鱼或复用的在线账号。这消除了一整类风险，而不仅仅是减轻它。

这种设计不能防范哪些风险

本地优先可以防止你的数据被收集，但并不能让电脑变得无懈可击。任何能够访问你已解锁的电脑和你的用户账号的人，都能读取该文件夹。一块丢失、被盗或被转交的磁盘，任何获得其访问权限的人都能读取，除非你使用操作系统提供的全盘加密。请相应地保护好你的电脑账号和磁盘。

加密尚在计划之中，尚未发布

对归档和备份的加密已被列入后续阶段的路线图，因此它目前并不属于本应用的一部分，你不应依赖它。当它发布时，产品文档和本页会在作出任何相关声明之前，先说明其工作方式。

报告漏洞

如果你认为发现了安全问题，请先告知我们，再告知任何人。请使用联系页面描述该问题，并将其标记为安全报告，以便它送达正确的地方。请不要针对他人的数据或设备进行测试。

报告中应包含哪些内容

对问题及其影响的清晰描述、复现该问题所需的步骤，以及你所运行的应用版本和你的操作系统。请不要在报告中包含来自归档的真实个人数据，也不要附带真实备份。

你可以期待我们如何回应

我们会确认收到你的报告，并在调查期间向你通报进展。我们会在修复可用时告知你，如果你愿意，我们也会就该发现向你致谢。我们请求你在公开披露该问题之前，先给我们一个修复它的机会。