Bảo vệ

• Tạo phía máy khách — Web Workers trên CPU của bạn tạo ra mọi cặp khóa.
• Không chuyển tiếp khóa — không có API nào chấp nhận hoặc trả về khóa riêng tư.
• Không lưu trữ khóa — không có cơ sở dữ liệu, không có nhật ký bí mật, không có phân tích mẫu hoặc địa chỉ.
• Có thể xác minh — nguồn mở, kiểm tra trực tiếp, kiểm tra ngoại tuyến, bảng điều khiển Mạng.
• Bằng chứng không bị lộ — bằng chứng có thể chia sẻ chỉ chứa địa chỉ + mẫu.

Tuyên bố tiếp thị là vô giá trị nếu không có kiểm tra. Sử dụng live audit và phần Xác minh bên dưới.

Vanitas là một trang Next.js tĩnh. Máy chủ (ví dụ: Vercel) phục vụ các gói HTML, CSS, JS và gói công nhân dựng sẵn. Mật mã không bao giờ chạy trên máy chủ đó để lấy chìa khóa của bạn.

Trong phạm vi - chúng tôi thiết kế dựa trên

• Trộm khóa phía máy chủ (không có khóa trên máy chủ).
• Đánh hơi mạng thông thường trong quá trình khai thác (không có lưu lượng truy cập chính).
• Nhấp chuột vào ứng dụng chính (từ chối khung trên các tuyến chính).
• Đường dẫn lọc XSS rõ ràng (CSP; vẫn chưa phải là viên đạn bạc).

Ngoài phạm vi/chia sẻ trách nhiệm

• Tiện ích mở rộng trình duyệt độc hại đọc bộ nhớ trang hoặc khay nhớ tạm — vô hiệu hóa chúng trên cấu hình sạch khi giả mạo khóa có giá trị cao.
• Thiết bị / phần mềm độc hại bị xâm nhập — Keylogger cấp hệ điều hành có thể đánh bại bất kỳ trang web nào.
• Bạn dán khóa vào Discord / lừa đảo — bảo mật hoạt động là của bạn.
• Chuỗi cung ứng phụ thuộc — chúng tôi ghim và kiểm tra; bạn có thể xác minh băm công nhân và xây dựng lại từ nguồn.

Khai thác ảo không tạo ra khóa “yếu hơn”. Các mẫu dài chỉ tốn nhiều CPU hơn — chúng không làm giảm entropy của khóa riêng.

Không có thông tin nào về khóa của bạn trên máy chủ của chúng tôi. Không có cơ sở dữ liệu về địa chỉ, mẫu, IP để khai thác hoặc SDK phân tích trong đường dẫn giả mạo.

Tính ngẫu nhiên luôn đến từ trình duyệt CSPRNG (crypto.getRandomValues). Đường cong và dẫn xuất địa chỉ khác nhau theo chuỗi:

Kiểm tra sau tìm thấy có thể xác thực kích thước entropy, sự hiện diện CSPRNG và tính đồng nhất chi bình phương trên một mẫu ngẫu nhiên — kiểm tra tình trạng đường dẫn RNG, không thay thế cho việc vệ sinh thiết bị.

Mã khai thác được gửi dưới dạng tệp public/*-worker.js tĩnh được tạo từ nguồn TypeScript. Mỗi bản dựng sản xuất ghi lại bản tóm tắt SHA-256 trong worker-hash.json. Trang kiểm tra băm lại các công nhân mà trình duyệt của bạn đã tải và so sánh chúng với tệp đó.

Nếu các giá trị băm khác nhau, hãy coi trang là không đáng tin cậy — dừng lại, không sử dụng khóa và điều tra (triển khai sai, lưu vào bộ đệm hoặc giả mạo). Việc xây dựng lại từ kho lưu trữ mở sẽ tạo lại cùng một byte công nhân cho một cam kết nhất định.

Phản hồi bao gồm các tiêu đề làm giảm tác động XSS, buộc HTTPS và chặn việc đóng khung ứng dụng chính. CSP vẫn cho phép những gì Next.js cần (bao gồm một số cân bằng nội tuyến/eval) - trợ giúp tiêu đề; chúng không thay thế việc xem xét mã.

Về lý thuyết, bất kỳ thứ gì chạy với đặc quyền trang đều có thể đọc được thông báo DOM và Worker. Điều đó bao gồm:

• Tiện ích mở rộng trình duyệt với quyền truy cập trang web rộng rãi
• DevTools mở trên máy dùng chung
• Các tập lệnh được chèn độc hại nếu XSS tồn tại
• Trình đánh hơi bảng tạm sau khi bạn sao chép khóa

Biện pháp giảm thiểu: làm sạch hồ sơ trình duyệt, không có tiện ích mở rộng không cần thiết, ưu tiên tải xuống tệp qua khay nhớ tạm đối với các khóa có giá trị cao, xóa khay nhớ tạm sau khi dán vào ví, xem xét thiết bị đầu cuối CLI hoặc máy air-gapped dành cho kho bạc lớn.

1. Tải vanitas.fun (hoặc chạy từ bản dựng cục bộ đã được xác minh).
2. Tùy chọn: mở Mạng, ngoại tuyến, chạy kiểm tra.
3. Trước tiên hãy chọn một mẫu ngắn; tăng độ dài khi bạn tin tưởng vào thiết lập.
4. Khi tìm thấy: xuất, lưu trữ ngoại tuyến, không bao giờ chụp màn hình khóa vào ứng dụng trò chuyện.
5. Nhập vào đúng ví cho chuỗi đó; gửi chuyển kiểm tra bụi.
6. Để nắm giữ lâu dài, hãy chuyển tiền sang ví phần cứng - Vanitas là một lò rèn chứ không phải kho tiền.

Không mở các vấn đề GitHub công khai để tìm lỗ hổng bảo mật. Ưu tiên Tư vấn bảo mật GitHub riêng tư trên bytebrox/vanitas. Bao gồm các bước tái tạo, tác động và cách khắc phục được đề xuất nếu có.