Keamanan
Ke mana melapor
Tulis ke support@verdettoqr.com dengan "Security" pada subjek. Alamat yang sama ada di security.txt situs ini. Sebutkan apa yang kamu temukan, cara mengulanginya, dan versi atau halaman mana. Mohon jangan sertakan data orang lain, dan jangan menguji terhadap ponsel atau akun orang lain.
Penelitian dengan iktikad baik dalam lingkup ini, tanpa menyentuh data atau perangkat orang lain, kami sambut, dan kami tidak akan mengambil tindakan hukum atasnya.
Apa yang terjadi selanjutnya
Seseorang membaca setiap laporan. Kami berusaha mengonfirmasi dalam tiga hari kerja.
Setelah kami memeriksa, kamu mendapat jawaban yang jelas: apa masalahnya, apakah mengubah aplikasi, situs, atau daftar keamanan, dan kapan perbaikannya terbit.
Kami meminta sembilan puluh hari sebelum kamu memublikasikan detailnya, agar perbaikan lebih dulu sampai ke ponsel; jika kami butuh lebih lama, kami mengatakannya beserta alasannya. Kami menyebut nama pelapor di catatan rilis jika mereka ingin disebut, dan tidak pernah jika tidak.
Apa yang termasuk lingkup
Aplikasi Android, situs web ini, dan pipeline daftar keamanan di github.com/verdettoqr/link-safety-list. Hasil yang salah atas kode yang dipindai, atau situs atau tautan yang seharusnya ada di daftar peringatan atau seharusnya tidak, dilaporkan lewat halaman laporan; tindakan Laporkan di aplikasi membukanya. Layanan yang dijangkau pencarian daring milik pemiliknya masing-masing; masalah di sana dilaporkan kepada mereka.
Cara bagian-bagiannya dibangun
Pemindaian dan setiap pemeriksaan bawaan berjalan di ponsel. Daftar keamanan yang lebih baru diunduh sebagai paket bertanda tangan; aplikasi memeriksa tanda tangannya dan hash setiap berkas sebelum memakainya, dan paket yang gagal pemeriksaan dibuang sementara paket baik terakhir tetap dipakai. Satu-satunya permintaan yang dibuat aplikasi atas inisiatifnya sendiri adalah unduhan daftar keamanan dan pencarian daring, keduanya di bawah satu sakelar; klien penagihan milik Google Play memeriksa pembelian dukungan saat aplikasi dibuka, dan apa pun yang kamu ketuk untuk dibuka lewat peramban milikmu. Sebuah pencarian membawa nomor atau alamat yang dipindai (untuk kendaraan, tahun, merek, dan model yang diturunkan darinya), nama dan versi aplikasi, alamat dukungan kami, dan untuk pencarian produk, bahasa aplikasi; tidak ada lagi tentang kamu atau ponselmu. Aplikasi ini tanpa akun dan tanpa analitik. Model ancaman dan cara kunci penandatanganan ditangani diterbitkan bersama kode sumber saat kode itu dipublikasikan.
Yang tidak pernah kami katakan
Bahwa sebuah kode, tautan, atau situs aman. Aplikasi menampilkan apa yang diperiksa dan apa yang ditemukan; keputusan tetap di tangan orang yang memegang ponsel.