Jak GoDesk jest budowany, szyfrowany i obsługiwany oraz jak zgłaszać luki w zabezpieczeniach. Szczere odpowiedzi, w tym dotyczące tego, co jeszcze nie zostało certyfikowane.
Treść sesji (twój ekran, naciśnięcia klawiszy, transferowane pliki) jest szyfrowana end-to-end za pomocą wymiany kluczy X25519 i AES-256-GCM. Nasze serwery relay widzą tylko szyfrowane pakiety. Nie możemy odczytywać Twoich sesji.
Nie posiadamy jeszcze certyfikacji SOC 2 ani ISO 27001. Dostawcy infrastruktury, na których polegamy, posiadają je. Jeśli znajdziesz lukę, napisz na info@godeskflow.com.
Ta strona opisuje architekturę bezpieczeństwa klienta GoDesk oraz hostowanej usługi relay prowadzonej przez upDevTeam LTD na godeskflow.com oraz proces odpowiedzialnego ujawniania w celu zgłaszania luk w zabezpieczeniach.
Ma charakter informacyjny. Zobowiązania umowne dotyczące bezpieczeństwa znajdują się w Warunkach Usługi oraz w DPA.
Szyfrowanie end-to-end jest centralną właściwością bezpieczeństwa Usługi. Relay nigdy nie przechowuje treści sesji w formie tekstowej.
Biblioteki kryptograficzne są przywiązane do audytowanych wersji upstream i aktualizowane zgodnie z udokumentowanym harmonogramem. Nie implementujemy własnych prymitywów.
Infrastruktura produkcyjna działa na następujących dostawcach:
Wszyscy dostawcy są związani umowami o przetwarzaniu danych, które odzwierciedlają zobowiązania w naszej DPA.
Kontrole dostępu na poziomie użytkownika:
Szczery status na dzień umieszczony na górze tej strony: GoDesk i upDevTeam LTD NIE są obecnie certyfikowane zgodnie z SOC 2, ISO 27001, ISO 27017, ISO 27018, HIPAA, PCI-DSS, FedRAMP ani żadnym innym formalnym standardem bezpieczeństwa osób trzecich. Publiczne twierdzenia w przeciwnym razie są błędne.
Nasi dostawcy hostingu i infrastruktury (Hetzner, Cloudflare, Supabase, Stripe) sami są audytowani pod kątem SOC 2 / ISO 27001; nasze bezpieczeństwo dziedziczy pewne zapewnienie od ich, ale nie jest równe.
Pracujemy nad zewnętrznym przeglądem bezpieczeństwa na 2026 rok i opublikujemy wyniki na tej stronie, gdy będą dostępne. Nie będziemy udawać certyfikacji, których nie posiadamy.
Działania administracyjne na systemach produkcyjnych są rejestrowane w centralnym logu, który jest tylko do dopisywania, z co najmniej 90-dniową retencją. Log rejestruje aktora, działanie, znacznik czasu i adres IP źródłowego. Dostęp do produkcji jest ograniczony do niewielkiej liczby nazwanych inżynierów z obowiązkową dwuetapową weryfikacją.
Monitorujemy dostępność, wskaźniki błędów i sygnały związane z nadużyciami (nagłe wzrosty ruchu, próby brute-force, enumeracja peer-ID) i rotujemy dyżur co tydzień.
Urządzenia personelu używane do uzyskiwania dostępu do systemów produkcyjnych muszą:
Klient GoDesk jest dostępny jako open source na licencji AGPL-3.0. Każdy może przeczytać kod źródłowy, zbudować go i zweryfikować, że robi to, co deklarujemy. Kod relaya (fork hbbr / hbbs) jest podobnie open source.
Publikujemy hashe SHA-256 dla każdego wydanego instalatora. Dążymy do uzyskania EV code-signing dla Windows i notaryzacji Apple dla macOS; status bieżącej budowy jest na stronie Pobierz.
Zachęcamy do zgłaszania problemów przez niezależnych badaczy bezpieczeństwa. Aby zgłosić lukę:
Obecnie nie prowadzimy płatnego programu nagród za błędy. Publicznie uznajemy istotne zgłoszenia (za Twoją zgodą) na stronie hall-of-fame, gdy problem zostanie naprawiony.
Krytyczne ustalenia (RCE, złamana szyfrowanie end-to-end, masowe ominięcie uwierzytelnienia) są natychmiast zgłaszane inżynierowi dyżurnemu i mają priorytet przed zaplanowaną pracą.
Następujące przypadki nie kwalifikują się do ochrony w ramach sekcji 9 i mogą być zgłaszane, ale nie będą traktowane jako luki w zabezpieczeniach:
Utrzymujemy pisemny podręcznik reakcji na incydent, który obejmuje wykrywanie, ograniczanie, zwalczanie, odzyskiwanie i przegląd po incydencie. Podręcznik jest przeglądany przynajmniej raz w roku i po każdym istotnym incydencie.
W przypadku wystąpienia naruszenia danych osobowych obowiązują terminy powiadamiania określone w naszej Polityce Prywatności i DPA.
Gdy architektura lub jakiekolwiek zobowiązanie na tej stronie zmienia się istotnie, aktualizujemy datę 'Ostatnia aktualizacja' i ogłaszamy zmianę w dzienniku zmian.
Czytanie kodu źródłowego to najpewniejszy sposób na weryfikację twierdzenia dotyczącego bezpieczeństwa. Zacznij od github.com/GoDeskFlow.