Sicurezza

Questa traduzione è fornita per comodità. Se differisce dalla versione inglese, prevale la versione inglese.

Ultimo aggiornamento: [DATE]

Prendiamo sul serio la sicurezza di Soffio. Se hai trovato una vulnerabilità, comunicacela prima in privato, così possiamo correggerla prima che altri possano sfruttarla.

Segnalare una vulnerabilità

Scrivi a security@getsoffio.app. Lo stesso contatto è in getsoffio.app/.well-known/security.txt. [Chiave PGP: facoltativa, vedi i punti aperti.]

Indica, per favore:

• che cosa hai trovato e che cosa potrebbe farne un aggressore,
• la versione di Soffio (Impostazioni > Informazioni) e la tua versione di macOS,
• i passaggi per riprodurlo e una dimostrazione pratica (proof of concept) se ce l'hai.

Scrivi in inglese o in italiano. Non segnalare problemi di sicurezza in luoghi pubblici come i social media o i forum.

Che cosa succede dopo

Valutiamo la gravità con il CVSS e in base a come il problema incide sugli utenti reali. Ti teniamo informato mentre ci lavoriamo e ti avvisiamo quando la versione corretta è uscita. Sono obiettivi, non promesse; siamo un'azienda di una sola persona e ti diremo se ci serve più tempo.

Divulgazione coordinata

• Dacci 90 giorni dalla tua segnalazione, o fino all'uscita di una correzione se prima, prima di pubblicare i dettagli. Se ci serve più tempo, te lo chiederemo spiegandone il motivo.
• Se il problema è sfruttato attivamente, possiamo pubblicare prima un avviso, insieme a te.
• Quando la correzione è uscita, pubblichiamo un breve avviso su getsoffio.app/security e lo citiamo nelle note di versione. Ti citeremo con il tuo nome o nickname se vuoi; dicci come.
• Per i problemi gravi possiamo chiedere un identificatore CVE.

Al momento non c'è un programma di ricompense (bug bounty) a pagamento.

Porto sicuro (safe harbour)

Se agisci in buona fede e segui questa politica, non intraprenderemo azioni legali contro di te per la tua ricerca, e non chiederemo a nessun altro di farlo. Buona fede significa che:

• fai i test solo sul tuo Mac, con i tuoi account e i tuoi dati,
• non accedi ai dati di altre persone, né li modifichi o li elimini,
• non attacchi il nostro sito web, Polar, Groq o altri servizi in modo da danneggiarli o da danneggiare i loro utenti (niente negazione del servizio, spam o ingegneria sociale),
• ci lasci un tempo ragionevole per correggere il problema prima di pubblicarlo.

Nell'ambito

• L'app Soffio, il suo strumento a riga di comando soffio e il suo server MCP.
• Il feed degli aggiornamenti e le firme degli aggiornamenti.
• La gestione della licenza dentro l'app.
• Il sito web getsoffio.app.

Fuori ambito

• Servizi che non gestiamo: Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, il nostro hosting web. Segnalali ai loro proprietari. Vogliamo comunque sapere se Soffio li usa in modo non sicuro.
• Problemi che richiedono che un aggressore controlli già il tuo account utente del Mac con i tuoi stessi diritti, o abbia accesso fisico a un Mac sbloccato, a meno che Soffio peggiori chiaramente le cose.
• Aggirare la licenza o la prova sul tuo Mac. È una questione di licenza, non una vulnerabilità di sicurezza. Puoi comunque dircelo.
• Segnalazioni di scanner automatici senza prova che il problema sia reale.
• Intestazioni di buona pratica mancanti sul sito web senza impatto reale.

Periodo di supporto

• Ogni versione principale di Soffio riceve correzioni di sicurezza per almeno 2 anni dalla sua prima uscita, e per almeno 1 anno dopo l'uscita della versione principale successiva, a seconda di quale data è più tarda.
• Le correzioni escono nell'ultima versione secondaria di quella versione principale (per esempio 1.4.2). Gli aggiornamenti all'interno di una versione principale sono gratuiti. Tieni Soffio aggiornato; i controlli automatici degli aggiornamenti sono il modo più semplice.
• Annunciamo la fine del supporto di una versione principale almeno 6 mesi prima che finisca, su getsoffio.app/security e nelle note di versione dell'app.
• Soffio supporta le versioni di macOS elencate nella pagina di download. Quando smetteremo di supportare una vecchia versione di macOS, l'ultima versione di Soffio per essa sarà indicata nelle note di versione.

Come le correzioni ti raggiungono

Gli aggiornamenti arrivano dall'aggiornatore integrato nell'app (Sparkle). Ogni aggiornamento è firmato con la nostra chiave, e l'app controlla la firma prima di installarlo. L'app stessa è firmata con un Apple Developer ID e notarizzata da Apple. Le note di versione dicono quando un aggiornamento contiene una correzione di sicurezza.

Distinta del software (SBOM)

Soffio usa un piccolo numero di componenti open source. Nomi, versioni e licenze sono nel file THIRD_PARTY_NOTICES dentro l'app e in Impostazioni > Informazioni > Riconoscimenti. Una distinta del software (SBOM) leggibile da una macchina per ogni versione è disponibile su richiesta a security@getsoffio.app. [Oppure: pubblicata su getsoffio.app/security/sbom.json, vedi i punti aperti.]

Contatti

security@getsoffio.app. Roberto Cinetto, [ADDRESS], [PROVINCE], Canada.

Lo stesso contatto è in security.txt.