Tietoturvakäytäntö

Haavoittuvuudesta ilmoittaminen#

Ilmoita siitä yksityisesti jommallakummalla tavalla:

• GitHub-palvelun yksityinen haavoittuvuusilmoitus — Report a vulnerability -painike repositorion Security-välilehdellä. Ilmoitus näkyy vain ylläpitäjille, ja korjaus voidaan valmistella yksityisessä forkissa ja julkaista GitHub Security Advisory -tiedotteena.
• Sähköposti — contact@ashforde.org, yksityiskohdat ja toistovaiheet mukaan lukien.

Tietoturvaherkistä ilmoituksista ei pidä avata julkista issuea. Pyrimme vahvistamaan vastaanoton muutaman arkipäivän kuluessa.

Tuetut versiot#

Ennen versiota 1.0: vain uusinta merkittyä julkaisua tuetaan.

Muistiturvallisuus#

Kirjastopaketti (crate) julistaa määreen #![forbid(unsafe_code)] juuressaan (src/lib.rs), joten lohko unsafe, fn, impl tai extern missä tahansa kirjastossa on käännösvirhe eikä jotain, mitä tarkastajan täytyy huomata. Määre ei ole kohdan cfg takana, joten se koskee jokaista kokoonpanoa, jossa kirjasto toimitetaan, ja kaikki kolme kääntyvät sen alla puhtaasti: oletus-Rust-käännös, Python-laajennusmoduuli (--features python) ja WebAssembly-moduuli (--features wasm).

Rajaus tarkasti ilmaistuna, koska forbid on pakettikohtainen:

• Se koskee vain kirjastopakettia. Komentorivibinääri (src/main.rs), apubinäärit hakemistossa src/bin/, erikseen julkaistu paketti kshana-mcp ja työtilasta poissuljetut ristiinvalidointipaketit xval/ ovat erillisiä paketin juuria, eikä se kata niitä. Yksikään niistä ei sisällä nykyään kohtaa unsafe, mutta se on kuria, ei kääntäjän pakottama ominaisuus.
• Se ei sano mitään riippuvuuksista. Niitä rajaa erikseen CI:ssä cargo deny check advisories licenses bans sources — juuripaketille ja omana työnään työtilasta poissuljetulle MCP-palvelinpaketille — ja niitä valvovat Dependabot-hälytykset ja tietoturvapäivitykset repositoriossa.

Vienninvalvonta- / kaksikäyttöhuomautus#

PNT-kestävyys ja kvanttianturointi voivat kuulua kaksikäyttötuotteiden vienninvalvonnan piiriin. Tämä julkinen repositorio rajoittuu yleisiin, julkaistuihin malleihin ja menetelmiin. Tänne ei tule lisätä vientiherkkää kestävyys- tai harhautuksenestotietoa; sellainen kuuluu yksityiseen kerrokseen. Jos on epävarmaa, lähetä ensin sähköpostia.