jaytail Acquista jaytail

Sicurezza

Sicurezza

jaytail legge log che potresti non voler mostrare a nessuno. Questa pagina spiega cosa ne fa, e come segnalarci un problema.

Visualizzare i log

  • Sola lettura. jaytail non modifica mai il suo input. Le esportazioni vengono scritte in un file temporaneo nella cartella di destinazione e rinominate al loro posto solo quando sono complete; un file esistente viene sostituito solo dopo conferma, e il file di origine mai.
  • Il contenuto dei log non è affidabile. Caratteri di controllo, sequenze di escape del terminale e controlli di testo bidirezionale sono mostrati come escape visibili e mai inviati al terminale. Nel browser i valori sono inseriti come testo, mai come HTML. Le esportazioni CSV aggiungono un prefisso ai valori che un foglio di calcolo eseguirebbe come formula; le esportazioni HTML non contengono script né risorse remote.
  • Nessuna rete. Visualizzare, cercare ed esportare non aprono connessioni di rete, e jaytail non invia telemetria. La build Minimal non contiene alcun codice di rete.

Modalità browser (--web)

Il server ascolta solo su 127.0.0.1; non esiste un'opzione per ascoltare altrove. Ogni richiesta deve contenere nel percorso un token di sessione casuale a 256 bit e l'esatto Host (e Origin, quando presente) di quell'indirizzo, cosa che blocca altri siti e il DNS rebinding. Il browser non sceglie mai i file e le risposte hanno una Content Security Policy restrittiva. Chiunque possa aprire l'URL stampato sul tuo computer può leggere il log: non condividerlo.

Trasferimenti (send, receive, request)

  • Cifratura end-to-end. jaytail si collega tramite QUIC con TLS 1.3 (iroh) alla chiave pubblica del computer che ha creato il ticket, quindi solo i due computer possono leggere il file. Il ticket contiene anche un segreto casuale a 128 bit: senza di esso, la connessione viene rifiutata.
  • Tratta il ticket come una password. Chi lo possiede può rispondere finché jaytail attende dall'altra parte (per default 15 minuti per un'offerta, 1 ora per una richiesta). Un'offerta termina dopo il primo trasferimento completo; una richiesta accetta file solo dal primo computer che risponde.
  • Diretto o tramite relay. jaytail collega direttamente i due computer quando può. Quando non può, i pacchetti passano dal relay di jaytail (relay.jaytail.dev), che li inoltra senza poterli decifrare e non conserva nulla. Vede i metadati di connessione: indirizzi IP, chiavi degli endpoint, orari e volumi di dati (vedi l'informativa privacy). Con --relay-only, un ticket non contiene indirizzi IP del computer che l'ha creato, e quel computer si collega solo attraverso il relay.
  • Nessun dirottamento tramite ticket. jaytail usa il relay indicato in un ticket solo se è quello che hai configurato, quindi un ticket incollato non può mandare il tuo traffico altrove.
  • Verificato. Chi riceve controlla un checksum BLAKE3 dell'intero file, e chi invia segnala il successo solo dopo quel controllo. Un file che non corrisponde è un errore, e -o non lascia file. I trasferimenti interrotti riprendono, e il checksum copre comunque l'intero file.
  • Vedi cosa viene inviato. jaytail send TICKET FILE stampa nome e dimensione del file e l'identificativo breve di chi lo ha chiesto prima di collegarsi, e invia esattamente quel file.

Licenze

Le licenze sono file firmati verificati offline. jaytail non contatta mai un server per attivare o verificare una licenza.

Download e questo sito

  • Gli installer scaricano l'archivio dalla release su GitHub e lo verificano con lo SHA-256 pubblicato su jaytail.dev, due host indipendenti; non richiedono diritti di amministratore.
  • Questo sito non carica nulla da altri siti e non imposta cookie. Una Content Security Policy restrittiva ammette solo i suoi script e i suoi stili. L'unica eccezione è la pagina di pagamento, che carica il modulo di pagamento di Paddle, il nostro rivenditore.
  • La pagina del ticket legge il ticket dalla parte del link dopo #, che i browser non inviano mai al server: jaytail.dev non vede mai un ticket.

Segnalare una vulnerabilità

Scrivi a (visibile con JavaScript), indicato anche in security.txt. Ambito: il programma jaytail, il relay relay.jaytail.dev e questo sito. Indica per favore:

  • la versione di jaytail (jaytail version) e il sistema operativo;
  • i passi per riprodurre il problema, e cosa potrebbe ottenere un attaccante;
  • se, e quando, pensi di pubblicare.

Confermiamo ogni segnalazione e ti teniamo aggiornato mentre lavoriamo alla correzione. Ti chiediamo di lasciarci un tempo ragionevole per pubblicarla prima di diffondere i dettagli, e di non accedere ai dati di altre persone né disturbare il relay durante i test.