Zásady podepisování kódu (Code signing policy)
Zatím neplatí. Vydání VoxRox Mail se zatím dodávají bez podpisu Authenticode. Toto jsou zásady, kterými se projekt bude řídit, jakmile ho SignPath Foundation přijme do programu bezplatného podepisování kódu. Zveřejňujeme je předem, protože je žádost o přijetí vyžaduje. Dokud tato poznámka nezmizí, nic z níže uvedeného nepopisuje vydaný soubor.
Free code signing provided by SignPath.io, certificate by SignPath Foundation.
Bezplatné podepisování kódu zajišťuje SignPath.io, certifikát vydává SignPath Foundation.
Co se podepisuje
Jen soubory, které z repozitáře TheVoxRox/mail sestaví jeho workflow Windows Signed Release:
- instalátor,
voxrox-mail-<verze>-windows-x64-setup.exe; - desktopová aplikace,
app.exe; - spouštěč backendu,
mail.exe.
Workflow běží na runneru hostovaném GitHubem, staví z tagu verze, odmítne běžet, když tag neukazuje na commit, který staví, a k instalátoru zaznamená původ buildu (build provenance). Nic, co vzniklo jinde, se nepodepisuje: ani lokální build, ani build forku, ani build pull requestu. Binárky třetích stran, které instalátor nese beze změny, například přibalené běhové prostředí Javy, tento projekt nepodepisuje.
Každý podepsaný soubor se ve svých údajích o verzi jmenuje VoxRox Mail a nese číslo verze vydání, ke kterému patří.
Role v týmu
Projekt má jednoho správce, který zastává všechny role:
| Role | Členové |
|---|---|
| Autoři a revidující (Committers and reviewers) | @Luke-Lacina |
| Schvalovatelé (Approvers) | @Luke-Lacina |
Změny se do větve main dostávají přes pull requesty. Změnu od kohokoli jiného, včetně aktualizací závislostí od Dependabotu, správce před sloučením zreviduje a každou žádost o podpis schvaluje ručně. Každý člen týmu musí pro GitHub i pro SignPath používat vícefázové ověření.
Soukromí
Aplikace posílá informace jiným systémům v síti jen v případech, které uvádějí zásady ochrany soukromí: poštovní servery a poskytovatelé přihlášení, které uživatel přidá, vzdálené obrázky ve zprávě, které se uživatel rozhodne načíst, a kontrola aktualizací na GitHubu při spuštění. Instalátor tento souhrn s odkazem na zásady ochrany soukromí ukáže dřív, než cokoli nainstaluje, a zeptá se, jestli smí kontrola běžet; odpověď jde později změnit v Nastavení → O aplikaci. Aplikace nesbírá telemetrii, analytiku ani hlášení o pádech.
Nahlášení problému
Podepsaný soubor, na který se tyto zásady nevztahují, nebo soubor, který se chová jinak, než popisuje tato stránka, je bezpečnostní problém: nahlaste ho e-mailem na info@voxrox.org, jak popisuje stránka Podpora, ne ve veřejném issue trackeru.