Машинний переклад, не перевірений носієм мови. Еталоном є англійська версія.

ПроєктРедагувати на GitHubДжерело: SECURITY.md

Політика безпеки

Повідомлення про вразливість#

Повідомляйте про неї приватно, одним із двох способів:

  • Приватне повідомлення про вразливість на GitHub — кнопка Report a vulnerability на вкладці Security репозиторію. Повідомлення бачать лише супровідники, а виправлення можна підготувати в приватному форку й опублікувати як GitHub Security Advisory.
  • Електронна пошта — contact@ashforde.org, з описом і кроками відтворення.

Будь ласка, не створюйте публічне звернення (issue) щодо повідомлень, чутливих до безпеки. Ми прагнемо підтвердити отримання протягом кількох робочих днів.

Підтримувані версії#

До 1.0: підтримується лише останній позначений тегом випуск.

Безпека пам'яті#

Бібліотечний крейт оголошує #![forbid(unsafe_code)] у своєму корені (src/lib.rs), тому блок unsafe, fn, impl чи extern будь-де в бібліотеці є помилкою компіляції, а не тим, що має помітити рецензент. Атрибут не залежить від cfg, тож діє в кожній конфігурації, у якій постачається бібліотека, і всі три збираються під ним без помилок: типова збірка Rust, модуль розширення Python (--features python) і модуль WebAssembly (--features wasm).

Межі дії, сформульовані точно, оскільки forbid діє на рівні окремого крейту:

  • Він охоплює лише бібліотечний крейт. Бінарний файл CLI (src/main.rs), допоміжні бінарні файли в src/bin/, окремо опублікований крейт kshana-mcp і виключені з робочого простору крейти перехресної перевірки xval/ є окремими коренями крейтів і під його дію не підпадають. Жоден із них сьогодні не містить unsafe, але це дисципліна, а не властивість, яку забезпечує компілятор.
  • Він нічого не стверджує про залежності. Їх окремо перевіряє cargo deny check advisories licenses bans sources у CI — для кореневого крейту і, окремим завданням, для виключеного з робочого простору крейту сервера MCP — а також відстежують сповіщення та оновлення безпеки Dependabot у репозиторії.

Примітка щодо експортного контролю та подвійного призначення#

Стійкість PNT та квантове сенсорне вимірювання можуть підпадати під експортний контроль товарів подвійного призначення. Цей публічний репозиторій обмежений загальними опублікованими моделями та методами. Не додавайте сюди експортно чутливих подробиць щодо стійкості чи протидії спуфінгу; їм місце в приватному накладенні. Якщо сумніваєтеся, спершу напишіть на пошту.