ความปลอดภัย

• การสร้างฝั่งไคลเอ็นต์ — Web Worker บน CPU ของคุณจะสร้างคู่คีย์ทุกคู่
• การส่งผ่านคีย์เป็นศูนย์ — ไม่มี API ที่ยอมรับหรือส่งคืนคีย์ส่วนตัว
• พื้นที่จัดเก็บคีย์เป็นศูนย์ — ไม่มีฐานข้อมูล ไม่มีบันทึกความลับ ไม่มีการวิเคราะห์รูปแบบหรือที่อยู่
• ตรวจสอบได้ — โอเพ่นซอร์ส การตรวจสอบสด การทดสอบออฟไลน์ แผงเครือข่าย
• หลักฐานโดยไม่ต้องเปิดเผย — หลักฐานที่แชร์ได้จะมีที่อยู่ + รูปแบบเท่านั้น

การกล่าวอ้างทางการตลาดไม่มีค่าหากไม่มีการตรวจสอบ ใช้ live audit และส่วนยืนยันด้านล่าง

Vanitas เป็นไซต์ Next.js แบบคงที่ โฮสต์ (เช่น Vercel) ให้บริการชุดรวม HTML, CSS, JS และชุดผู้ปฏิบัติงานที่สร้างไว้ล่วงหน้า การเข้ารหัสจะไม่ทำงานบนโฮสต์นั้นสำหรับคีย์ของคุณ

ในขอบเขต — เราออกแบบต่อต้าน

• การขโมยคีย์ฝั่งเซิร์ฟเวอร์ (ไม่มีคีย์บนเซิร์ฟเวอร์)
• เครือข่ายแบบไม่เป็นทางการดมระหว่างการขุด (ไม่มีการรับส่งข้อมูลหลัก)
• การคลิกแจ็คของแอปหลัก (ปฏิเสธเฟรมบนเส้นทางหลัก)
• เส้นทางการกรอง XSS ที่ชัดเจน (CSP ยังไม่ใช่สัญลักษณ์แสดงหัวข้อย่อยสีเงิน)

อยู่นอกขอบเขต/ความรับผิดชอบร่วมกัน

• ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย ที่อ่านหน่วยความจำหน้าหรือคลิปบอร์ด — ปิดใช้งานส่วนขยายเหล่านี้ในโปรไฟล์ที่ปลอดภัยเมื่อปลอมคีย์ที่มีมูลค่าสูง
• อุปกรณ์/มัลแวร์ที่ถูกบุกรุก — คีย์ล็อกเกอร์ระดับระบบปฏิบัติการเอาชนะเว็บไซต์ใดๆ ได้
• คุณวางคีย์ลงใน Discord / ฟิชชิ่ง — ความปลอดภัยในการปฏิบัติงานเป็นของคุณ
• ห่วงโซ่อุปทานของการพึ่งพา — เราปักหมุดและตรวจสอบ คุณสามารถตรวจสอบแฮชของผู้ปฏิบัติงานและสร้างใหม่จากแหล่งที่มาได้

การทำเหมืองแบบโต๊ะเครื่องแป้งไม่ได้สร้างคีย์ที่ "อ่อนแอกว่า" รูปแบบที่ยาวจะทำให้ CPU แพงขึ้นเท่านั้น — โดยไม่ได้ลดเอนโทรปีของคีย์ส่วนตัว

ไม่มีอะไรเกี่ยวกับคีย์ของคุณบนเซิร์ฟเวอร์ของเรา ไม่มีฐานข้อมูลที่อยู่ รูปแบบ IP สำหรับการขุด หรือ SDK การวิเคราะห์ในเส้นทางปลอม

ความสุ่มมักจะมาจากเบราว์เซอร์ CSPRNG (crypto.getRandomValues) เส้นโค้งและที่มาของที่อยู่แตกต่างกันไปตามสายโซ่:

การตรวจสอบหลังการค้นหาสามารถตรวจสอบขนาดเอนโทรปี การมีอยู่ของ CSPRNG และความสม่ำเสมอของไคสแควร์บนตัวอย่างแบบสุ่ม — การตรวจสอบสภาพของเส้นทาง RNG ไม่ใช่สิ่งทดแทนสุขอนามัยของอุปกรณ์

รหัสการขุดจัดส่งเป็นไฟล์ public/*-worker.js แบบคงที่ที่สร้างจากแหล่ง TypeScript แต่ละบิลด์ที่ใช้งานจริงจะบันทึกการแยกย่อย SHA-256 ใน worker-hash.json หน้าการตรวจสอบจะแฮชผู้ปฏิบัติงานที่เบราว์เซอร์ของคุณโหลดอีกครั้ง และเปรียบเทียบกับไฟล์นั้น

หากแฮชแตกต่างออกไป ให้ถือว่าเพจนั้นไม่น่าเชื่อถือ — หยุด อย่าใช้คีย์ และตรวจสอบ (ปรับใช้ไม่ถูกต้อง แคช หรือดัดแปลง) การสร้างใหม่จาก repo แบบเปิดควรสร้างไบต์ของผู้ปฏิบัติงานเดียวกันสำหรับการส่งที่กำหนด

การตอบสนองรวมถึงส่วนหัวที่ลดผลกระทบ XSS, บังคับใช้ HTTPS และบล็อกเฟรมของแอปหลัก CSP ยังคงอนุญาตสิ่งที่ Next.js ต้องการ (รวมถึงการแลกเปลี่ยนแบบอินไลน์ / eval) — ความช่วยเหลือเกี่ยวกับส่วนหัว; พวกเขาไม่ได้แทนที่การตรวจสอบโค้ด

ตามทฤษฎีแล้ว สิ่งใดก็ตามที่ทำงานด้วยสิทธิ์ของเพจสามารถอ่านข้อความ DOM และ Worker ได้ นั่นรวมถึง:

• ส่วนขยายเบราว์เซอร์พร้อมการเข้าถึงเว็บไซต์ในวงกว้าง
• DevTools เปิดบนเครื่องที่ใช้ร่วมกัน
• สคริปต์ที่เป็นอันตรายหากมี XSS อยู่
• คลิปบอร์ดดมกลิ่นหลังจากที่คุณคัดลอกคีย์

การบรรเทาผลกระทบ: ทำความสะอาดโปรไฟล์เบราว์เซอร์ ไม่มีส่วนขยายที่ไม่จำเป็น ชอบดาวน์โหลดไฟล์บนคลิปบอร์ดสำหรับคีย์ที่มีมูลค่าสูง ล้างคลิปบอร์ดหลังจากวางลงในกระเป๋าเงิน พิจารณาเทอร์มินัล CLI หรือเครื่องที่มีช่องว่างอากาศสำหรับคลังสมบัติขนาดใหญ่

1. โหลด vanitas.fun (หรือเรียกใช้จากบิลด์ในเครื่องที่ได้รับการยืนยัน)
2. ทางเลือก: เปิดเครือข่าย ออฟไลน์ เรียกใช้การตรวจสอบ
3. เลือกรูปแบบสั้นก่อน เพิ่มความยาวเมื่อคุณเชื่อถือการตั้งค่า
4. ในการค้นหา: ส่งออก จัดเก็บแบบออฟไลน์ ไม่ต้องจับภาพหน้าจอคีย์ลงในแอปแชท
5. นำเข้าสู่กระเป๋าเงินที่ถูกต้องสำหรับห่วงโซ่นั้น ส่งการทดสอบการถ่ายโอนฝุ่น
6. สำหรับการถือครองระยะยาว ให้ย้ายเงินทุนไปยังกระเป๋าเงินฮาร์ดแวร์ — Vanitas เป็นเพียงโรงหลอม ไม่ใช่ห้องนิรภัย

อย่า อย่า เปิดปัญหา GitHub สาธารณะเพื่อหาช่องโหว่ด้านความปลอดภัย ต้องการคำแนะนำด้านความปลอดภัย GitHub ส่วนตัวใน bytebrox/vanitas รวมขั้นตอนการทำซ้ำ ผลกระทบ และการแก้ไขที่แนะนำ หากคุณมี