الأمان

الإبلاغ عن ثغرة أمنية

استخدم نموذج الإبلاغ عن ثغرة أمنية الخاص بـ GitHub. لا يستطيع قراءته إلا المشرفون على المشروع. اذكر ما وجدته، وكيفية إعادة إنتاج المشكلة، والإصدار الذي استخدمته (تعليمات → حول يعرضه). يرجى عدم فتح بلاغ عام عن المشكلات الأمنية.

ستتلقى ردا في أقرب وقت ممكن. سيصدر إصلاح قبل إعلان التفاصيل، وسيذكر اسمك في التنويه وملاحظات الإصدار، ما لم تفضل عدم ذلك. في إصدارات 0.x، لا تتلقى إصلاحات الأمان إلا أحدث نسخة.

كيفية إصدار النسخ

• يتم بناء كل إصدار من الكود المصدري العام بواسطة GitHub Actions، على خوادم GitHub؛ سجلات البناء عامة.
• يسرد كل إصدار مجموع التحقق SHA-256 لكل ملف في SHA256SUMS.txt. تحقق من تنزيلك مقابل ذلك: انظر تنزيل.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• لم يتم توقيع مثبت Windows بعد، لذلك قد يحذر Windows SmartScreen قبل التشغيل الأول. سيتم إضافة توقيع الكود.

ما الذي يحميك

• يتم التحقق من المساعدين قبل تشغيلهم. يتم التحقق من yt-dlp مقابل مفتاح توقيع المطورين، و ffmpeg مقابل مجموعات التحقق المنشورة الخاصة به.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• يتم تنظيف أسماء الملفات التي تم تنزيلها قبل أن تصبح مسارات، حتى لا يتمكن الخادم من الكتابة خارج المجلد الذي اخترته.
• تبقى بيانات الاعتماد مع موقعها. يتم إرسال عمليات تسجيل الدخول وملفات تعريف الارتباط فقط إلى المضيف الذي تنتمي إليه، حتى عبر عمليات إعادة التوجيه.
• لا يوجد تتبع: انظر سياسة الخصوصية.

السياسة الفنية، مع الكود الذي تشير إليه كل نقطة، موجودة في SECURITY.md.