보안 정책

연락처: https://github.com/Cap-go/capgo/security/advisories/new
기본 URL https://capgo.app/보안.txt

Capgo에서는 시스템의 보안을 최우선으로 생각합니다. 그러나 시스템 보안에 얼마나 많은 노력을 기울여도 여전히 취약점이 존재할 수 있습니다.

취약점을 발견한 경우 가능한 한 빠르게 대응할 수 있도록 알려주기를 바랍니다. 또한 우리의 고객과 시스템을 더 잘 보호할 수 있도록 도와주실 수 있는지 요청드립니다.

범위 밖의 취약점:

클릭잭킹이 없는 페이지에 있는敏感한 동작이 없는 경우.
인증되지 않은 로그아웃/로그인 CSRF.
사용자의 장치에 대한 MITM 또는 물리적 접근이 필요한 공격.
사용자에게 사회적工程을 사용하는 공격.
서비스의 중단을 유발할 수 있는 모든 활동 (DoS).
컨텐츠 스푸핑 및 텍스트 인젝션 문제가 HTML/CSS를 수정할 수 없거나 공격 벡터를 보여주지 않는 경우.
이메일 스푸핑
DNSSEC, CAA, CSP 헤더가 누락된 경우
__CAPGO_KEEP_0__의 비보안 또는 HTTP only 플래그가 비敏감의 쿠키에 설정되지 않은 경우
__CAPGO_KEEP_0__
사용자 식별
서버리스 인프라에서 작동하는 웹 훅 또는 웹사이트 미리보기에 대한 SSRF 또는 DNS 위조 보고. 이 기능은 Capgo의 비공개 인프라에 접근할 수 없으므로 우리 환경에서 취약점이 될 수 없습니다.
사용자 소유의 code 또는 프로젝트 Capgo이 소유, 배포, 또는 제어하지 않는 구성 요소, capacitor.config.ts, config.capacitor.ts, 앱 소스 code, 및 환경에 따라 설정.
Capgo 번들 파일에 대한 접근 또는 번들 파일이 다운로드 될 수 있다는 증거. 번들 파일은 공개 웹 자산이며 사용자는 이를 알리고 번들 파일에 대한 접근은 데이터 유출로 간주되지 않습니다.

Supabase 인증의 알려진 제한 사항

Supabase 인증 관련 몇 가지 발견은 반복적으로 보고되고 Supabase 인증 동작과 관련이 있습니다. 이러한 발견은 Supabase-side 문제로만 처리되며 Supabase demo 프로젝트를 공유하여 우리의 설정과 일치하는지 확인하고 Supabase 구성 변경이 동작을 수정하는 경우 Capgo의 보안 규칙을 변경하지 않고 동작을 수정할 수 있는 경우에만 Supabase-side 문제로 처리됩니다. Capgo 소유의 SQL, RPC, RLS 정책, 함수 또는 앱 로직 변경이 필요한 경우는 Capgo 문제로 보고해야 합니다.

보고서에는 우리의 설정과 일치하는 demo Supabase 프로젝트, 단계가 포함되어야 하며 동작을 보여줍니다.
보고서에는 동작을 수정하는 정확한 수정 경로가 포함되어야 하며, 동작을 수정하는 Supabase 설정/구성 변경 또는 Capgo 소유의 code/config 객체가 변경되어야 합니다.
__CAPGO_KEEP_0__ 프로젝트 설정에 따라 이메일 흐름이 Supabase 프로젝트 설정과 검증됩니다 (예를 들어 이메일 인증이 비활성화되어 있고 캡처 흐름이 사용되는 경우).
비밀번호 및 이메일/비밀번호 업데이트 흐름은 현재 Supabase Auth 세션 및 재인증 설정에 의존할 수 있습니다.
데모 프로젝트가 Supabase 측에서 Capgo 정책 변경 없이 구체적인 문제를 해결하거나 Capgo 소유의 구체적인 결함을 보여주면, 우리는 이를 실행 가능한 것으로 검토합니다.

테스트 지침:

자동화된 스캐너를 다른 고객 프로젝트에서 실행하지 마십시오. 자동화된 스캐너를 실행하면 사용자에게 비용이 발생할 수 있습니다. 공격적으로 구성된 스캐너는 서비스를 방해할 수 있으며 취약점을 악용하거나 시스템 instablity 또는 침해를 유발할 수 있으며 upstream 제공자의 서비스 약관을 위반할 수 있습니다. 우리의 보안 시스템은 적대적 탐색에서 백신 연구를 구별할 수 없습니다. 자동화된 스캐너를 실행하고 싶다면, security@capgo.app로 연락하여 스캐너를 실행하는 프로젝트가 자신의 Capgo 프로젝트인지 확인하십시오. 다른 고객 프로젝트를 공격하지 마십시오.
취약점이나 문제를 발견한 경우, 불필요한 데이터를 다운로드하거나 다른 사람의 데이터를 삭제하거나 수정하지 마십시오.

보고 지침:

보고된 내용을 GitHub 보안 고지서를 통해 제출하십시오. https://github.com/Cap-go/capgo/security/advisories/new
문제를 재현할 수 있는 충분한 정보를 제공하십시오. 문제를 해결할 수 있도록 빠르게 해결할 수 있도록 하십시오.
우리는 Capgo 플러그인을 포함한 보안 보고서를 검토하고 수락합니다. 그러나 플러그인 code에 대한 보상은 @capgo/capacitor-업데이터에 한정되어 있습니다. 다른 Capgo 플러그인은 우리의 유료 제품에 포함되지 않으므로, 그에 대한 보고서는 검토되지만 비용이 들지 않습니다.

공개 정보 지침:

우리의 고객을 보호하기 위해, 우리는 문제를 연구, 해결, 고객에게 알린 후에야 다른 사람에게 알려주지 마십시오.
만약 Capgo에 대한 연구를 발표하고 싶으시다면, 최소 30일 전에 발표일로부터, 우리에게 검토 및 승인 받은 초안을 공유해 주십시오. 다음 사항은 포함되지 않도록 하십시오:
- Capgo 고객 프로젝트에 대한 데이터
- Capgo 고객의 데이터
- Capgo 직원, 계약자 또는 파트너에 대한 정보

우리가 약속하는 것:

우리는 7일 이내에 보고서에 대한 평가와 해결을 위한 예상 날짜를 포함한 답변을 보내드립니다.
만약 위의 지침을 따랐다면, 우리는 보고서에 대한 법적 조치를 취하지 않습니다.
우리는 보고서를 엄격한 비밀로 처리하고, 개인 정보를 3자에게 넘기지 않습니다.
우리는 문제 해결을 위한 진행 상황에 대해 고객에게 알립니다.
__CAPGO_KEEP_0__ 문제에 대한 보고된 정보에 관한 공개된 정보에서, 우리는 문제의 발견자로 여러분의 이름을 공개합니다 (당신이 그렇지 않게 원한다면).
로그를 우리와 공유한 경우에 유출된 데이터가 나타나면, 우리는 이 데이터를 문제를 해결하기 위한 디버깅 정보로 다루며, 복수 또는 보복의 이유로 다루지 않습니다.

우리는 모든 문제를 가능한 한 빠르게 해결하고자 하며, 문제가 해결된 후에 문제에 대한 최종 출판에 적극적으로 참여하고 싶습니다.