Güvenlik

• İstemci tarafı oluşturma — CPU'nuzdaki Web Çalışanları her anahtar çiftini oluşturur.
• Sıfır anahtar geçişi — Özel anahtarları kabul eden veya döndüren bir API yoktur.
• Sıfır anahtar depolama — veritabanı yok, sır kayıtları yok, kalıp veya adres analizi yok.
• Doğrulanabilir — açık kaynak, canlı denetim, çevrimdışı test, Ağ paneli.
• Teşhir edilmeyen kanıt — paylaşılabilir kanıtlar yalnızca adres + desen taşır.

Pazarlama talepleri çek olmadan değersizdir. Aşağıdaki live audit ve Doğrula bölümünü kullanın.

Vanitas statik bir Next.js sitesidir. Ana makine (örn. Vercel) HTML, CSS, JS ve önceden oluşturulmuş çalışan paketlerine hizmet eder. Kriptografi, anahtarlarınız için o ana bilgisayarda asla çalışmaz.

Kapsam dahilinde — buna göre tasarlıyoruz

• Sunucu tarafı anahtar hırsızlığı (sunucuda anahtar yok).
• Madencilik sırasında sıradan ağ koklama (anahtar trafik yok).
• Ana uygulamanın tıklatılması (birincil rotalarda çerçeve reddi).
• Açıkça görülen XSS sızma yolları (CSP; hala sihirli bir değnek değil).

Kapsam dışı / paylaşılan sorumluluk

• Sayfa belleğini veya panoyu okuyan kötü amaçlı tarayıcı uzantıları; yüksek değerli anahtarlar oluştururken bunları temiz bir profilde devre dışı bırakın.
• Güvenliği ihlal edilmiş cihaz/kötü amaçlı yazılım — İşletim sistemi düzeyindeki tuş kaydediciler tüm web sitelerini yener.
• Anahtarları Discord'a / kimlik avına yapıştırırsınız — operasyonel güvenlik sizindir.
• Bağımlılıkların tedarik zinciri — tespit edip denetliyoruz; çalışan karmalarını doğrulayabilir ve kaynaktan yeniden oluşturabilirsiniz.

Gösteriş madenciliği “daha ​​zayıf” bir anahtar yaratmaz. Uzun modeller yalnızca daha fazla CPU'ya mal olur; özel anahtar entropisini azaltmaz.

Sunucularımızdaki anahtarlarınız hakkında hiçbir şey yok. Sahte yol üzerinde adresler, modeller, madencilik için IP'ler veya analiz SDK'larından oluşan veritabanı yok.

Rastgelelik her zaman CSPRNG (crypto.getRandomValues) tarayıcısından gelir. Eğriler ve adres türetme zincire göre farklılık gösterir:

Bulgu sonrası kontroller, rastgele bir örnek üzerinde entropi boyutunu, CSPRNG varlığını ve ki-kare tekdüzeliğini doğrulayabilir; RNG yolunun sağlık kontrolüdür, cihaz hijyeninin yerine geçmez.

Madencilik kodu, TypeScript kaynaklarından oluşturulmuş statik public/*-worker.js dosyaları olarak gönderilir. Her üretim yapısı, worker-hash.json içindeki SHA-256 özetlerini kaydeder. Denetim sayfası, tarayıcınızın yüklediği çalışanları yeniden karma hale getirir ve bunları söz konusu dosyayla karşılaştırır.

Karma değerler birbirinden farklıysa sayfayı güvenilmez olarak değerlendirin; durdurun, anahtarları kullanmayın ve araştırın (yanlış dağıtım, önbellek veya değişiklik). Açık depodan yeniden oluşturma, belirli bir taahhüt için aynı çalışan baytları yeniden oluşturmalıdır.

Yanıtlar, XSS etkisini azaltan, HTTPS'yi zorlayan ve ana uygulamanın çerçevelenmesini engelleyen başlıklar içerir. CSP hala Next.js'nin ihtiyaç duyduğu şeylere izin veriyor (bazı satır içi/değerlendirme değişiklikleri dahil) - başlıklar yardımı; kod incelemesinin yerini almazlar.

Sayfa ayrıcalıklarıyla çalışan her şey teorik olarak DOM ve Çalışan mesajlarını okuyabilir. Bu şunları içerir:

• Geniş site erişimine sahip tarayıcı uzantıları
• DevTools paylaşılan bir makinede açılıyor
• XSS mevcutsa kötü amaçlı olarak enjekte edilen komut dosyaları
• Bir anahtarı kopyaladıktan sonra pano algılıyor

Azaltıcı önlemler: Temiz tarayıcı profili, gereksiz uzantıların olmaması, yüksek değerli anahtarlar için dosyaları pano yerine indirmeyi tercih edin, cüzdana yapıştırdıktan sonra panoyu silin, büyük hazineler için terminal CLI'yi veya hava boşluklu bir makineyi düşünün.

1. Vanitas.fun'u yükleyin (veya doğrulanmış bir yerel yapıdan çalıştırın).
2. İsteğe bağlı: Ağı açın, çevrimdışı olun, denetimi çalıştırın.
3. Önce kısa bir desen seçin; Kuruluma güvendikten sonra uzunluğu artırın.
4. Bulduğunda: dışa aktarın, çevrimdışı olarak saklayın, anahtarların ekran görüntüsünü asla sohbet uygulamalarına aktarmayın.
5. Söz konusu zincir için doğru cüzdana aktarın; toz testi aktarımı gönderin.
6. Uzun vadeli holdingler için fonları bir donanım cüzdanına taşıyın; Vanitas bir kasa değil, demirhanedir.

Güvenlik açıkları nedeniyle herkese açık GitHub sorunlarını açmayın. bytebrox/vanitas üzerindeki özel GitHub Güvenlik Önerilerini tercih edin. Çoğaltma adımlarını, etkiyi ve varsa önerilen düzeltmeyi ekleyin.