Keamanan

• Pembuatan sisi klien — Pekerja Web di CPU Anda membuat setiap pasangan kunci.
• Transit kunci nol — tidak ada API yang menerima atau mengembalikan kunci pribadi.
• Tanpa penyimpanan kunci — tanpa basis data, tanpa log rahasia, tanpa analisis pola atau alamat.
• Dapat Diverifikasi — sumber terbuka, audit langsung, pengujian offline, panel Jaringan.
• Bukti tanpa paparan — bukti yang dapat dibagikan hanya berisi alamat + pola.

Klaim pemasaran tidak ada gunanya tanpa pemeriksaan. Gunakan bagian live audit dan Verifikasi di bawah.

Vanitas adalah situs Next.js statis. Host (mis. Vercel) menyajikan paket pekerja HTML, CSS, JS, dan bawaan. Kriptografi tidak pernah berjalan pada host tersebut untuk kunci Anda.

Dalam cakupannya - kami merancangnya

• Pencurian kunci di sisi server (tidak ada kunci di server).
• Sniffing jaringan biasa selama penambangan (tidak ada lalu lintas utama).
• Clickjacking aplikasi utama (penolakan bingkai pada rute utama).
• Jalur eksfiltrasi XSS yang jelas (CSP; masih belum menjadi solusi terbaik).

Di luar ruang lingkup/tanggung jawab bersama

• Ekstensi browser berbahaya yang membaca memori halaman atau papan klip — nonaktifkan ekstensi tersebut pada profil bersih saat memalsukan kunci bernilai tinggi.
• Perangkat/malware yang disusupi — keylogger tingkat OS mengalahkan situs web mana pun.
• Anda menempelkan kunci ke Discord / phishing — keamanan operasional adalah milik Anda.
• Rantai pasokan ketergantungan — kami menyematkan dan mengaudit; Anda dapat memverifikasi hash pekerja dan membangun kembali dari sumber.

Penambangan kesombongan tidak menciptakan kunci yang “lebih lemah”. Pola yang panjang hanya membutuhkan lebih banyak CPU — pola tersebut tidak mengurangi entropi kunci pribadi.

Tidak ada apa pun tentang kunci Anda di server kami. Tidak ada database alamat, pola, IP untuk penambangan, atau SDK analitik di jalur pemalsuan.

Keacakan selalu datang dari browser CSPRNG (crypto.getRandomValues). Kurva dan derivasi alamat berbeda berdasarkan rantai:

Pemeriksaan pasca-penemuan dapat memvalidasi ukuran entropi, keberadaan CSPRNG, dan keseragaman chi-kuadrat pada sampel acak — pemeriksaan kesehatan jalur RNG, bukan pengganti kebersihan perangkat.

Kode penambangan dikirimkan sebagai file public/*-worker.js statis yang dibuat dari sumber TypeScript. Setiap build produksi mencatat intisari SHA-256 di worker-hash.json. Halaman audit meng-hash ulang pekerja yang dimuat browser Anda dan membandingkannya dengan file tersebut.

Jika hash berbeda, perlakukan halaman tersebut sebagai tidak tepercaya — hentikan, jangan gunakan kunci, dan selidiki (penerapan yang salah, cache, atau gangguan). Membangun kembali dari repo terbuka harus mereproduksi byte pekerja yang sama untuk penerapan tertentu.

Responsnya mencakup header yang mengurangi dampak XSS, memaksa HTTPS, dan memblokir pembingkaian aplikasi utama. CSP masih mengizinkan apa yang dibutuhkan Next.js (termasuk beberapa pengorbanan inline/eval) — bantuan header; mereka tidak menggantikan tinjauan kode.

Apa pun yang berjalan dengan hak istimewa halaman, secara teori, dapat membaca pesan DOM dan Pekerja. Itu termasuk:

• Ekstensi browser dengan akses situs yang luas
• DevTools terbuka di mesin bersama
• Skrip berbahaya yang disuntikkan jika XSS ada
• Sniffer clipboard setelah Anda menyalin kunci

Mitigasi: bersihkan profil browser, tidak ada ekstensi yang tidak perlu, lebih suka mengunduh file daripada clipboard untuk kunci bernilai tinggi, menghapus clipboard setelah menempel ke dompet, pertimbangkan terminal CLI atau mesin celah udara untuk perbendaharaan besar.

1. Muat vanitas.fun (atau jalankan dari build lokal terverifikasi).
2. Opsional: buka Jaringan, offline, jalankan audit.
3. Pilih pola pendek terlebih dahulu; menambah panjang setelah Anda memercayai pengaturannya.
4. Saat ditemukan: ekspor, simpan secara offline, jangan pernah mengambil tangkapan layar kunci ke dalam aplikasi obrolan.
5. Impor ke dompet yang benar untuk rantai itu; kirim transfer uji debu.
6. Untuk kepemilikan jangka panjang, pindahkan dana ke dompet perangkat keras — Vanitas adalah bengkel, bukan brankas.

Jangan jangan membuka masalah GitHub publik untuk mengetahui kerentanan keamanan. Lebih suka Penasihat Keamanan GitHub pribadi di bytebrox/vanitas. Sertakan langkah-langkah reproduksi, dampak, dan saran perbaikan jika Anda memilikinya.