Bản tiếng Anh là bản có giá trị chính thức. Bản dịch tiếng Việt này chỉ được cung cấp để thuận tiện cho bạn.
Hey Look! bảo vệ bạn như thế nào
- Máy chủ phải hỗ trợ TLS hoặc STARTTLS. Máy chủ chỉ cung cấp kết nối không mã hóa thì không thể thêm.
- Đăng nhập Google và Microsoft dùng OAuth 2.0 với PKCE trong cửa sổ riêng của nhà cung cấp. Ứng dụng lưu một mã thông báo, không lưu mật khẩu của bạn.
- Mật khẩu, mã thông báo OAuth và khóa AI được giữ trong kho thông tin xác thực của hệ thống.
- Khóa bí mật OpenPGP là ngoại lệ: chúng được lưu trong cơ sở dữ liệu của ứng dụng, khóa bằng cụm mật khẩu của bạn, và không nằm trong kho thông tin xác thực. Sau nhiều lần nhập sai cụm mật khẩu, việc mở khóa phải chờ 30 giây.
- Thư được hiển thị trong một khung không có script, với chính sách nội dung nghiêm ngặt và không có iframe, object, embed hay form.
- Ảnh từ xa bị chặn cho đến khi bạn cho phép, điều này chặn các pixel theo dõi.
- Một liên kết có văn bản hiển thị là địa chỉ web nhưng trỏ tới một tên máy chủ khác sẽ yêu cầu bạn xác nhận. Đây không phải là kiểm tra lừa đảo (phishing) tổng quát.
- Mở tệp đính kèm thực thi hoặc tập lệnh sẽ hỏi trước.
- “Tin cậy chứng chỉ này” mặc định tắt. Đây là lựa chọn theo từng tài khoản và tắt kiểm tra chứng chỉ cho tài khoản đó.
- Cửa sổ của ứng dụng chạy dưới Chính sách bảo mật nội dung (Content Security Policy): chỉ các tập lệnh của chính ứng dụng được chạy (không có tập lệnh nội tuyến hay từ xa), và cửa sổ chỉ kết nối với chính ứng dụng.
- Nội dung dán từ trang web hoặc chương trình khác được làm sạch: tập lệnh, biểu mẫu và trình xử lý sự kiện không được đưa vào, và ảnh từ xa không được tải trong khi bạn soạn thư.
Các bản cập nhật có chữ ký
Ứng dụng kiểm tra GitHub xem có phiên bản mới hơn không và chỉ chấp nhận địa chỉ tải có dạng https://github.com/thnonl/hey-look/releases/download/<tag>/<file>. Ứng dụng xác minh chữ ký minisign với một khóa công khai được tích hợp sẵn trong ứng dụng, và khởi động lại sau 5 giây đếm ngược mà bạn có thể hủy. Trên Windows, bản cập nhật tự cài đặt; macOS và Linux cần được bạn cho phép.
Bộ cài chưa được ký mã
Windows SmartScreen và macOS Gatekeeper cảnh báo ở lần khởi động đầu tiên, vì các bộ cài Windows và macOS chưa được ký mã và bản macOS chưa được công chứng. Các bước cho lần khởi động đầu nằm trên trang tải xuống. Việc ký mã nằm trong danh sách mong muốn; xem trang Ủng hộ để biết điều gì giúp ích. Ứng dụng macOS được ký bằng chứng chỉ tự ký riêng của dự án (không có tài khoản Apple đứng sau); nhờ vậy Keychain tiếp tục nhớ ứng dụng qua các lần cập nhật, nhưng đây không phải là công chứng.
Báo cáo lỗ hổng bảo mật
Vui lòng báo cáo các vấn đề bảo mật một cách riêng tư qua GitHub: mở github.com/thnonl/hey-look/security và chọn “Report a vulnerability”. Đừng mở issue công khai. Bạn cũng có thể gửi email đến namth.onl@gmail.com. Hey Look! được làm vào thời gian rảnh, nên có thể phải chờ một lúc mới có phản hồi, và không có cam kết nào về thời gian phản hồi.
Các giới hạn đã biết
- Các bản cập nhật và hủy của lời mời họp được chấp nhận khi địa chỉ Từ khớp với người tổ chức đã lưu. Không có bước kiểm tra DKIM, SPF hay S/MIME, nên một địa chỉ Từ bị giả mạo có thể thay đổi hoặc hủy một sự kiện bạn đã nhận. Các nhà cung cấp thư thường từ chối kiểu giả mạo như vậy.
- OpenPGP chưa được thử nghiệm với phần mềm OpenPGP khác.
- Trợ lý AI gửi văn bản bạn hỏi tới điểm cuối bạn đã cấu hình, kể cả nội dung OpenPGP đã giải mã. Nội dung này không được giữ riêng tư đối với điểm cuối đó.
- Tuyên bố “không có phân tích” được xác minh từ mã nguồn, không phải bằng cách bắt lưu lượng mạng.
- Chúng tôi không tuyên bố đã có kiểm toán bảo mật của bên thứ ba.
- Thư được đánh dấu Thư mật chỉ được ẩn khỏi việc chụp và quay màn hình trên Windows và macOS; nó không ngăn được việc chụp ảnh màn hình bằng máy khác.