Zásady podepisování kódu (Code signing policy)

VoxRox Mail. Stránka odpovídá souboru CODE_SIGNING_POLICY.md v repozitáři projektu.

Zatím neplatí. Vydání VoxRox Mail se zatím dodávají bez podpisu Authenticode. Toto jsou zásady, kterými se projekt bude řídit, jakmile ho SignPath Foundation přijme do programu bezplatného podepisování kódu. Zveřejňujeme je předem, protože je žádost o přijetí vyžaduje. Dokud tato poznámka nezmizí, nic z níže uvedeného nepopisuje vydaný soubor.

Free code signing provided by SignPath.io, certificate by SignPath Foundation.

Bezplatné podepisování kódu zajišťuje SignPath.io, certifikát vydává SignPath Foundation.

Co se podepisuje

Jen soubory, které z repozitáře TheVoxRox/mail sestaví jeho workflow Windows Signed Release:

Workflow běží na runneru hostovaném GitHubem, staví z tagu verze, odmítne běžet, když tag neukazuje na commit, který staví, a k instalátoru zaznamená původ buildu (build provenance). Nic, co vzniklo jinde, se nepodepisuje: ani lokální build, ani build forku, ani build pull requestu. Binárky třetích stran, které instalátor nese beze změny, například přibalené běhové prostředí Javy, tento projekt nepodepisuje.

Každý podepsaný soubor se ve svých údajích o verzi jmenuje VoxRox Mail a nese číslo verze vydání, ke kterému patří.

Role v týmu

Projekt má jednoho správce, který zastává všechny role:

RoleČlenové
Autoři a revidující (Committers and reviewers)@Luke-Lacina
Schvalovatelé (Approvers)@Luke-Lacina

Změny se do větve main dostávají přes pull requesty. Změnu od kohokoli jiného, včetně aktualizací závislostí od Dependabotu, správce před sloučením zreviduje a každou žádost o podpis schvaluje ručně. Každý člen týmu musí pro GitHub i pro SignPath používat vícefázové ověření.

Soukromí

Aplikace posílá informace jiným systémům v síti jen v případech, které uvádějí zásady ochrany soukromí: poštovní servery a poskytovatelé přihlášení, které uživatel přidá, vzdálené obrázky ve zprávě, které se uživatel rozhodne načíst, a kontrola aktualizací na GitHubu při spuštění. Instalátor tento souhrn s odkazem na zásady ochrany soukromí ukáže dřív, než cokoli nainstaluje, a zeptá se, jestli smí kontrola běžet; odpověď jde později změnit v Nastavení → O aplikaci. Aplikace nesbírá telemetrii, analytiku ani hlášení o pádech.

Nahlášení problému

Podepsaný soubor, na který se tyto zásady nevztahují, nebo soubor, který se chová jinak, než popisuje tato stránka, je bezpečnostní problém: nahlaste ho e-mailem na info@voxrox.org, jak popisuje stránka Podpora, ne ve veřejném issue trackeru.