본문으로 바로가기

보안 정책

연락처: https://github.com/Cap-go/capgo.app/안전성/보안 고지/새로운
Canonical: capgo
보안.txt: https://capgo.app/.well-known/안전성.txt (안전성)

우리는 Capgo에서 시스템 보안에 대한 우선 순위를 두고 있습니다. 그러나 시스템 보안에 얼마나 많은 노력을 기울여도 여전히 취약성이 존재할 수 있습니다.

취약성을 발견한 경우, 우리는 가능한 한 빨리 취약성을 해결할 수 있도록 알려주기를 바랍니다. 또한 우리의 고객과 시스템을 더 잘 보호할 수 있도록 도와주실 수 있는지 여부를 확인하고 싶습니다.

범위 밖의 취약성:

  • 클릭잭킹이 없는 페이지에 있는_sensitive_액션
  • 인증되지 않은/로그아웃/로그인 CSRF
  • 사용자의 장치에 대한 물리적 접근 또는 MITM 공격이 필요한 공격
  • 사용자에게 사회적工程을 사용하는 공격
  • 서비스의 중단 (DoS)으로 이어질 수 있는 모든 활동
  • 내용 위조 및 텍스트 삽입 문제는 공격 벡터를 보여주지 않고 HTML/CSS를 수정할 수 없는 경우
  • 이메일 위조
  • DNSSEC, CAA, CSP 헤더가 누락된 경우
  • 비밀하지 않은 쿠키에 Secure 또는 HTTP only 플래그가 설정되지 않은 경우
  • 데드 링크
  • 사용자 열거
  • 웹 훅 또는 사이트 예시 기능을 통해 SSRF 또는 DNS 위조 보고가 서버리스 인프라에서 발생하는 경우. 이 기능은 사설 Capgo 인프라에 접근할 수 없으므로 우리 환경에서 취약점이 될 수 없습니다.
  • 사용자가 소유한 애플리케이션 code 또는 프로젝트 구성이 Capgo이 소유, 배포, 또는 제어하지 않는 경우, 파일이 capacitor.config.ts, config.capacitor.ts, 앱 소스 code, 환경에 따라 설정된 설정이 포함됩니다.
  • Capgo 번들 파일에 대한 접근 또는 번들 파일이 다운로드 될 수 있는 증거. 번들 파일은 공개 웹 자산이며 사용자는 이를 알리고 번들 파일에 대한 접근이 데이터 유출로 간주되지 않습니다.
  • 인증되지 않은 Capgo 플러그인/API 엔드포인트가 의도적으로 공개된 경우 — 채널_셀 세트 및 업데이트/STATS 엔드포인트가 API 키가 필요하지 않기 때문에 — 취약점이 아닙니다. 이를 취약점으로 보고하지 마십시오.
  • 업로더 또는 UI가 외부 URL을 통해 제공되는 번들을 암호화하는 것을 잘못된 암호화로 표시하는 경우 Capgo 취약점이 아닙니다. 외부 호스트된 번들의 암호화는 Capgo의 제어 밖입니다.

Supabase 인증 제한

일부 발견은 반복적으로 보고되고 Supabase Auth 동작과 관련이 있습니다. 이러한 발견은 우리와 같은 설정으로 구성된 공유 Supabase 데모 프로젝트에서 재현할 수 있고 Supabase 구성 변경이 동작을 수정하는 데 Capgo 보안 규칙을 변경하지 않고 동작을 수정할 때만 Supabase 측 문제로 처리됩니다. 동작을 수정하는 데 필요한 수정이 Capgo 소유 SQL, RPC, RLS 정책, 함수 또는 앱 로직 변경이 필요한 경우, 이는 Capgo 문제이며 우리에게 보고해야 합니다.

  • 보고서에는 재현 가능한 Supabase 데모 프로젝트, 단계, 우리의 설정과 일치하는 데모 프로젝트가 포함되어야 합니다.
  • 보고서에는 정확한 수정 경로가 포함되어야 합니다: Supabase 설정/구성 변경이 동작을 해결하거나 Capgo 소유 code/구성 항목이 변경해야 하는 경우.
  • 계정/이메일 흐름은 Supabase 프로젝트 설정(예: 이메일 확인이 비활성화되어 있고 캡처 흐름이 사용되는 경우)과 일치하는지 확인됩니다.
  • 패스워드 및 이메일/패스워드 업데이트 흐름은 현재 Supabase Auth 세션 및 재인증 설정에 의존할 수 있습니다.
  • 데모 프로젝트가 Supabase 측에 대한 구체적인 수정을 증명하고 Capgo 정책 변경이 필요하지 않거나, 구체적인 Capgo 소유 결함을 보여주면, 우리는 이를 동작 가능한 것으로 검토합니다.

테스트 지침:

  • 다른 고객 프로젝트에 대한 자동 스캐너를 실행하지 마십시오. 자동 스캐너를 실행하면 사용자에게 비용이 발생할 수 있습니다. 공격적으로 구성된 스캐너는 서비스를 방해할 수 있으며 취약점을 악용하거나 시스템 instabilty 또는 침해를 유발할 수 있으며 upstream 제공자로부터의 서비스 약관을 위반할 수 있습니다. 우리의 보안 시스템은 적대적 탐색에서 백햇 연구를 구별할 수 없습니다. 스캐너를 실행하고 싶다면, security@capgo.app로 연락하여 스캐너를 실행할 수 있는 Capgo 프로젝트만 실행하십시오. 다른 고객의 프로젝트를 공격하지 마십시오.
  • 취약점이나 문제를 발견한 경우, 필요하지 않은 데이터를 다운로드하거나 다른 사람의 데이터를 삭제하거나 수정하지 마십시오.

보고하는 지침:

  • 취약점을 발견한 경우, GitHub 보안 고지서를 제출하십시오. https://github.com/Cap-go/capgo.app/안전성/보안 고지/새로운
  • 문제를 재현할 수 있는 충분한 정보를 제공하십시오. 문제를 해결할 수 있도록 빠르게 해결할 수 있도록 하십시오.
  • Capgo 플러그인에 대한 보안 보고서는 수용하고 검토합니다. 그러나 @capgo/capacitor-업데이터에서만 지급되는 code 플러그인에 대한 지급은 제한됩니다. 다른 Capgo 플러그인은 우리의 유료 제품이 아니므로 무료로 사용할 수 있으며 지급되지 않습니다.

공개 지침:

  • 취약점을 발견한 경우, 우리가 취약점을 조사하고 고객에게 알리고 고객을 보호하기 위해 문제를 다른 사람에게 공개하지 마십시오.
  • 만약 Capgo에 대한 연구 결과를 공개적으로 발표하고자 한다면, 최소 30일 전에 발표일로부터 30일 전까지 우리에게 리뷰 및 승인에 대한 초안을 공유해야 합니다. 다음 사항은 포함되지 않아야 합니다.
    • Capgo 고객 프로젝트에 대한 데이터
    • Capgo 고객의 데이터
    • Capgo 직원, 계약자 또는 파트너에 대한 정보

우리가 약속하는 것:

  • 우리는 7일 이내에 보고서에 대한 평가와 해결 날짜를 포함한 보고서에 대한 답변을 제공합니다.
  • 만약 위의 지침을 따랐다면, 우리는 보고서와 관련하여 법적 조치를 취하지 않습니다.
  • 우리는 보고서를 엄격한 비밀로 처리하고, 개인 정보를 제 3자에게 제공하지 않습니다.
  • 우리는 문제 해결을 위한 진행 상황에 대한 정보를 제공합니다.
  • 우리는 문제 보고에 대한 공공 정보에서 문제 발견자로 당신의 이름을 공개합니다 (만약 그렇지 않다면 그렇지 않습니다).
  • 만약 우리에게 공유된 로그에 데이터가 유출되었다면, 우리는 그것을 문제 해결을 위한 디버깅 정보로 간주하고, 복수 또는 복수에 대한 보복으로 간주하지 않습니다.

우리는 모든 문제를 가능한 한 빠르게 해결하고, 문제가 해결된 후에 문제에 대한 최종 발표에 적극적으로 참여하고 싶습니다.