Sicherheit

Wie die Apps geschützt sind und wie Sie eine Sicherheitslücke melden.

Sicherheitslücke melden

Wenn Sie eine Schwachstelle entdecken, machen Sie sie bitte nicht öffentlich bekannt, bevor eine Korrektur geprüft werden konnte.

Geben Sie nach Möglichkeit die App und ihre Version, die Android-Version, das Telefonmodell, eine Beschreibung, die Schritte zur Reproduktion und die geschätzten Auswirkungen an. Senden Sie niemals echte persönliche Daten (Passwörter, Nachrichten, private Dateien).

Das Projekt wird ehrenamtlich von einer einzigen Person betreut. Der Herausgeber bemüht sich, den Eingang innerhalb von 72 Stunden zu bestätigen und innerhalb einer angemessenen Frist eine Korrektur zu veröffentlichen, ohne garantierte Frist. Wenn Sie möchten, können Sie in den Versionshinweisen genannt werden.

Gegen Forschung in gutem Glauben, die auf Ihre eigenen Geräte und Daten beschränkt ist und Dritte nicht beeinträchtigt, wird der Herausgeber keinerlei rechtliche Schritte einleiten.

Unterstützte Versionen

Nur die zuletzt veröffentlichte Version jeder App erhält Sicherheitskorrekturen.

Gemeinsame technische Maßnahmen aller sieben Apps

  • Signierte APKs; die Signaturschlüssel werden in keinem Code-Repository aufbewahrt.
  • Produktionsversionen mit R8 optimiert, nicht debugfähig; automatische Sicherung von Android deaktiviert.
  • Keine Telemetrie, kein SDK für Werbung oder Reichweitenmessung, kein Server von Files Tech.
  • Keine App akzeptiert unverschlüsselten Netzwerkverkehr; fünf von ihnen haben nicht einmal die Internet-Berechtigung.
  • Die Apps, die sensible Daten speichern, verschlüsseln sie auf dem Telefon, mit einem Schlüssel, der aus Ihrem Geheimnis abgeleitet oder vom Android Keystore verwahrt wird.
  • SHA-256-Prüfsumme jedes APK in den Versionshinweisen auf GitHub veröffentlicht.

Die Einzelheiten jeder App (Algorithmen, Bedrohungsmodell, bekannte Einschränkungen) stehen in der Datei SECURITY.md ihres Repositorys.

Ein APK prüfen

Vergleichen Sie vor der Installation die SHA-256-Prüfsumme der Datei mit der in den Versionshinweisen auf GitHub veröffentlichten (siehe Download-Seite):

sha256sum dateiname.apk

Audits

Die Apps werden vor den Veröffentlichungen Audits durch den Herausgeber unterzogen: Code-Reviews, automatische Analysewerkzeuge, durch künstliche Intelligenz unterstützte Reviews und Prüfungen auf dem Gerät. Es handelt sich nicht um Audits durch eine unabhängige Stelle und auch nicht um eine Zertifizierung. Die Befunde und ihre Korrekturen sind in den Repositorys dokumentiert.