Hey Look!
DE
Download

Sicherheit

Was wir tun, und wo es endet

Nur Fakten. Kein Ergebnisversprechen: Das kann niemand geben.

Hinweis: Maßgeblich ist die englische Fassung dieser Seite. Diese deutsche Übersetzung dient nur Ihrer Information; bei Abweichungen gilt die englische Fassung.

Wie Hey Look! Sie schützt

  • Server müssen TLS oder STARTTLS anbieten. Ein Server, der nur unverschlüsselte Verbindungen anbietet, lässt sich nicht hinzufügen.
  • Die Anmeldung bei Google und Microsoft nutzt OAuth 2.0 mit PKCE im eigenen Fenster des Anbieters. Die App speichert ein Token, nicht Ihr Passwort.
  • Passwörter, OAuth-Token und der KI-Schlüssel liegen im Anmeldeinformationsspeicher des Systems.
  • Die geheimen OpenPGP-Schlüssel sind die Ausnahme: Sie liegen in der Datenbank der App, geschützt durch Ihre Passphrase, und nicht im Anmeldeinformationsspeicher. Nach wiederholter Eingabe einer falschen Passphrase ist ein erneutes Entsperren erst nach 30 Sekunden möglich.
  • Nachrichten werden in einem Frame ohne Skripte, mit restriktiver Inhaltsrichtlinie und ohne iframe, object, embed oder Formular angezeigt.
  • Externe Bilder sind blockiert, bis Sie sie erlauben, was Tracking-Pixel unterbindet.
  • Ein Link, dessen sichtbarer Text eine Webadresse ist, die auf einen anderen Host zeigt, verlangt eine Bestätigung. Das ist keine allgemeine Phishing-Prüfung.
  • Das Öffnen eines ausführbaren Anhangs oder Skriptanhangs fragt vorher nach.
  • „Dem Zertifikat dieses Servers vertrauen“ ist standardmäßig aus. Es ist eine Entscheidung je Konto und schaltet die Zertifikatsprüfung für dieses Konto aus.
  • Das Fenster der App läuft unter einer Content Security Policy: Es werden nur die eigenen Skripte der App ausgeführt (keine Inline- oder Remote-Skripte), und das Fenster verbindet sich nur mit der App selbst.
  • Aus einer Webseite oder einem anderen Programm eingefügter Text wird bereinigt: Skripte, Formulare und Ereignishandler werden nicht übernommen, und entfernte Bilder werden beim Schreiben nicht abgerufen.

Updates sind signiert

Die App prüft bei GitHub auf eine neuere Version und akzeptiert nur Download-Adressen der Form https://github.com/thnonl/hey-look/releases/download/<tag>/<file>. Sie prüft eine Minisign-Signatur gegen einen in die App eingebauten öffentlichen Schlüssel und startet nach einem 5-Sekunden-Countdown neu, den Sie abbrechen können. Unter Windows installiert sich das Update von selbst; macOS und Linux brauchen Ihre Erlaubnis.

Installationsprogramme sind noch nicht codesigniert

Windows SmartScreen und macOS Gatekeeper warnen beim ersten Start, weil die Installationsprogramme für Windows und macOS nicht codesigniert sind und der macOS-Build nicht notarisiert ist. Die Schritte für den ersten Start stehen auf der Download-Seite. Das Signieren steht auf der Wunschliste; unter Unterstützen steht, was hilft. Die macOS-App ist mit dem eigenen selbstsignierten Zertifikat des Projekts signiert (kein Apple-Konto dahinter); dadurch erkennt der Schlüsselbund die App über Updates hinweg wieder, das ist aber keine Notarisierung.

Eine Schwachstelle melden

Bitte melden Sie Sicherheitsprobleme privat über GitHub: Öffnen Sie github.com/thnonl/hey-look/security und wählen Sie „Report a vulnerability“. Erstellen Sie kein öffentliches Issue. Sie können auch an namth.onl@gmail.com schreiben. Hey Look! entsteht in der Freizeit, Antworten können daher etwas dauern, und eine Antwortzeit wird nicht zugesagt.

Bekannte Grenzen

  • Änderungen und Absagen von Kalendereinladungen werden akzeptiert, wenn die Absenderadresse mit der gespeicherten Adresse des Organisators übereinstimmt. Es gibt keine DKIM-, SPF- oder S/MIME-Prüfung, daher könnte eine gefälschte Absenderadresse einen Termin ändern oder absagen, den Sie erhalten haben. E-Mail-Anbieter weisen solches Spoofing normalerweise zurück.
  • OpenPGP wurde noch nicht mit anderer OpenPGP-Software getestet.
  • Der KI-Assistent sendet den Text, nach dem Sie fragen, an den von Ihnen eingerichteten Endpunkt, einschließlich entschlüsselter OpenPGP-Inhalte. Für diesen Endpunkt ist der Text nicht privat.
  • Die Aussage „keine Analytics“ wird anhand des Quellcodes überprüft, nicht anhand eines Netzwerkmitschnitts.
  • Ein Sicherheitsaudit durch Dritte wird nicht behauptet.
  • Eine als Vertraulich markierte Nachricht ist nur unter Windows und macOS vor Bildschirmaufnahmen und Aufzeichnungen verborgen; ein Foto des Bildschirms verhindert das nicht.