Zabezpečení

Nahlášení zranitelnosti

Jak nahlásit

Pokud se domníváte, že jste našli bezpečnostní zranitelnost ve Futrou Cloud, Futrou Nasua, Futrou CLI nebo jakékoli jiné součásti Futrou, dejte nám prosím okamžitě vědět otevřením soukromého bezpečnostního hlášení (security advisory) na GitHubu v příslušném repozitáři, nebo e-mailem na security@futrou.com. E-mail můžete zašifrovat naším PGP klíčem. Tyto kontaktní údaje jsou také zveřejněny v security.txt.

Uveďte prosím:

• jasný popis problému
• přesné kroky k reprodukci
• dotčené verze projektu
• obejití nebo zmírnění problému, pokud je známé

Prošetříme všechna oprávněná hlášení a pokusíme se problém co nejrychleji opravit. První odpověď můžete očekávat do 3 pracovních dnů.

Pravidla embarga

Dokud pracujeme na opravě, musí podrobnosti o problému zůstat soukromé. Uživatelé tak zůstanou chráněni, dokud není k dispozici oprava. Žádné úniky kamarádům, sousedům ani kočce.

Pokud byly informace omylem sdíleny, dejte nám prosím okamžitě vědět, abychom mohli podniknout potřebné kroky. Řekneme vám, jakmile bude bezpečné sdílet další podrobnosti.

GPG - Ověření softwaru

Binární soubory a balíčky softwaru Futrou jsou podepsány naším PGP klíčem pro vydání. Ověření podpisu potvrzuje, že sestavení pochází od Futrou a nebylo cestou změněno. Instalační skripty Futrou install.sh pro Futrou CLI a Futrou Nasua toto ověření provádějí automaticky, takže následující kroky potřebujete jen při ručním stahování souborů.

Import veřejného klíče

curl -fsSL https://futrou.com/.well-known/pgp-key.txt | gpg --import

Zkontrolujte, že otisky vypsané GnuPG odpovídají tabulce výše:

gpg --fingerprint releases@futrou.com

Ověření stažení

Stáhněte vydaný soubor spolu s jeho odděleným podpisem (stejný název souboru s příponou .asc) a ověřte ho:

gpg --verify nasua-linux-amd64.asc nasua-linux-amd64

Platný soubor vypíše Good signature from "Futrou <releases@futrou.com>". Pokud GnuPG ohlásí BAD signature, soubor nespouštějte a nahlaste nám to.

GnuPG také upozorní, že klíč není certifikován důvěryhodným podpisem. To je očekávané, pokud jste náš klíč sami nepodepsali; důležité je, aby otisk odpovídal tomu zveřejněnému na této stránce.