Mọi nhận định trên trang này đều đã được đối chiếu với mã nguồn, và đoạn mã thực thi nhận định đó được ghi tên ngay bên cạnh. Chỗ nào ClipVault không bảo vệ được bạn, trang này nói rõ.
Không phải những quy định mà ai đó phải nhớ: mỗi cam kết được giữ chặt bằng một bước kiểm tra hoặc một bài kiểm thử sẽ làm bản dựng thất bại.
Trong toàn bộ chương trình chỉ có một tệp, net.py, được phép mở kết nối, và hàm duy nhất của nó, get_json(url, allowed), không có đối số nào có thể mang phần thân yêu cầu. Không có đường mã nào tải clip lên, vì không có gì để tải lên bằng.
Được scripts/check_network.py thực thi ở mỗi lần push: bản dựng thất bại nếu bất kỳ mô-đun nào khác import thư viện mạng, hoặc nếu cổng kết nối có thêm đối số data, body, payload, content hay text.
Chương trình không có thống kê sử dụng, báo cáo sự cố hay công cụ phân tích. Tệp cài đặt vẫn còn trường telemetry, nhưng không có gì đọc nó để gửi đi bất cứ thứ gì, và Config.normalize() buộc nó về false mỗi khi cài đặt được nạp hoặc lưu, bất kể tệp ghi gì.
src/clipvault/config.py — mọi lần nạp và lưu đều đi qua normalize().
Trong bản cài mới, cả hai đều tắt, và ClipVault hỏi ở lần chạy đầu tiên. Nếu bạn từ chối, nó không bao giờ mở kết nối. Nếu bạn đồng ý, mỗi ngày một lần nó gửi đúng một yêu cầu HTTPS GET để lấy một tệp phiên bản nhỏ — không phần thân, không cookie, không định danh; header duy nhất nó thêm vào chỉ ghi tên ClipVault và phiên bản. HTTP thường và chuyển hướng bị từ chối, và phản hồi lớn hơn 64 KB bị bỏ đi.
net.get_json, updates.fetch. Tổ chức có thể tắt cả hai bằng các chính sách DisableUpdateCheck và DisablePromos.
Tệp phiên bản là thứ chương trình tải về, không phải thứ nó tin tưởng. Liên kết trong đó chỉ được giữ lại nếu là một đường dẫn trên trang ClipVault hoặc một địa chỉ https trên cùng máy chủ, nên một tệp bị giả mạo không thể đưa bạn tới nơi tải xuống giả danh. Số phiên bản chỉ được chấp nhận khi gồm chữ số và dấu chấm, nên cũng không thể mang theo thông điệp.
updates.official_link, updates.clean_version — áp dụng cả cho bản sao trong bộ nhớ đệm.
Mọi thứ trong khung phía trên diễn ra trên máy bạn, dưới tài khoản Windows của bạn. Khung phía dưới là đường mạng duy nhất của chương trình, và nó không truy cập được clip của bạn.
Cổng. Clip mà ứng dụng của nó đánh dấu “không ghi lại” — các dấu chuẩn mà KeePass, 1Password và Bitwarden đặt — thậm chí không được đọc. Clip từ ứng dụng loại trừ bị loại bỏ trước khi được lưu; danh sách mặc định gồm các trình quản lý mật khẩu và mô-đun bảo mật ngân hàng Hàn Quốc. Chính sách tổ chức có thể thêm ứng dụng và tắt việc ghi nhận hình ảnh hoặc tệp. win/clipboard.read, Vault._gate
Mã hóa theo nguyên tắc fail-closed. Thông tin đăng nhập được mã hóa bằng Windows DPAPI và phần văn bản bị gỡ bỏ, nên không bao giờ vào chỉ mục tìm kiếm. Nếu DPAPI không khả dụng hoặc thất bại, clip bị loại bỏ thay vì được giữ ở dạng văn bản thường. Vault._protect
Lưu trữ. Ở lần chạy đầu tiên, thư mục ngừng kế thừa quyền và tài khoản của bạn được cấp quyền một cách tường minh, nên thay đổi ở thư mục cha không thể nới rộng quyền của nó. Thông tin đăng nhập được khử trùng lặp bằng hàm băm có khóa, nên cơ sở dữ liệu không chứa dấu vân tay nào có thể dùng để đoán ra giá trị. win/acl.harden_once, Vault._dedupe_key
Dán. ClipVault trả tiêu điểm về cửa sổ bạn vừa rời đi và kiểm tra lại rằng nó đang ở phía trước ngay trước khi gửi Ctrl+V. Nếu không xác nhận được, nó không gửi gì cả và clip nằm chờ bạn trên clipboard. Thông tin đăng nhập mà nó đưa lên clipboard tự mang các dấu “không ghi lại”, nên lịch sử clipboard của Windows và các trình quản lý khác sẽ bỏ qua. actions.deliver, win/exclusions.exclusion_payloads
Xóa. Sau khi bạn dán thông tin đăng nhập, clipboard được làm trống sau 30 giây theo mặc định — nhưng chỉ khi từ đó đến giờ chưa có gì mới được sao chép. actions.clear_if_unchanged
Mạng. Yêu cầu được tạo bởi một hàm chỉ nhận một địa chỉ và sự đồng ý của bạn, ngoài ra không nhận gì khác, nên không dữ liệu clip nào nằm trong tầm với của nó. Nó từ chối HTTP thường và chuyển hướng, và bỏ các phản hồi trên 64 KB. net.py, updates.fetch
Một chương trình cục bộ có thể khiến một số cuộc tấn công khó hơn. Nó không thể làm cho một tài khoản Windows đã bị xâm nhập trở nên an toàn, và nói ngược lại sẽ khiến bạn dựa vào sai chỗ.
Đây cũng chính là ranh giới mà chương trình nêu trong Bảng quản trị → Bảo mật: mã hóa bảo đảm rằng riêng tệp cơ sở dữ liệu thì không thể đọc được, và không hơn.
Việc nhận diện gắn nhãn cho clip; nó không bao giờ xóa clip. Clip được gắn nhãn là thông tin đăng nhập sẽ được mã hóa và che. Việc từ chối lưu chỉ xảy ra nếu bạn, hoặc chính sách của tổ chức bạn, bật tùy chọn đó.
Một nhãn kèm giá trị — “password:”, “비밀번호:”, “contraseña=” và từ chỉ mật khẩu trong cả mười hai ngôn ngữ mà ứng dụng hỗ trợ, kể cả dấu hai chấm toàn độ rộng. Cả các địa chỉ dạng scheme://user:password@host.
Các định dạng đã biết của OpenAI, Anthropic, Stripe, GitHub, GitLab, npm, SendGrid, AWS, Slack và Google; giá trị có nhãn như api_key= hay client_secret:; dòng .env như DB_PASSWORD=; khóa trong chuỗi kết nối Azure.
Địa chỉ webhook của Slack và Discord, bản thân chúng đã là thông tin đăng nhập.
Khối khóa riêng tư PEM.
Ba đoạn base64url bắt đầu bằng eyJ.
Dãy 13 đến 19 chữ số vượt qua kiểm tra Luhn. Các dãy giữ chỗ như 0000 0000 0000 0000 bị bỏ qua.
Được đối chiếu với ngày tháng và chữ số kiểm tra.
Được gắn nhãn dữ liệu cá nhân nhưng không mã hóa: người ta cố ý sao chép chúng.
Việc nhận diện chạy ở mỗi lần sao chép, nên một mẫu chậm sẽ làm đơ phím tắt. Mọi phép lặp trong mọi mẫu đều có giới hạn trên, và bộ kiểm thử đưa vào 14 đầu vào đối kháng, thất bại nếu tăng đầu vào lên bốn lần mà thời gian tăng hơn tám lần — dấu hiệu của backtracking thảm họa. Chỉ 1.000.000 ký tự đầu của một clip được quét, và chương trình không bao giờ lưu nhiều văn bản hơn phần nó quét.
sensitive.DETECT_LIMIT, Config.normalize, tests/test_security.py
Bộ phận IT có thể áp đặt cài đặt bằng Chính sách Nhóm hoặc Intune dưới HKLM\SOFTWARE\Policies\ClipVault. Cả khóa chính sách máy và khóa chính sách người dùng đều được đọc và giá trị chặt chẽ hơn được áp dụng; người dùng thông thường không thể ghi vào khóa nào.
ADMX kèm ADML tiếng Anh và tiếng Hàn, cùng hướng dẫn cho từng giá trị. Dùng được với Chính sách Nhóm và với tính năng nhập ADMX của Intune.
Tải ClipVault-policy.zipCàng ít thành phần thì càng ít chỗ cho mã của người khác lọt vào.
ClipVaultscripts/check_stdlib_only.py đọc mọi lệnh import và làm bản dựng thất bại nếu có bất cứ thứ gì khác.scripts/check_network.py giữ mọi mã mạng bên trong net.py và không cho đối số phần thân nào xuất hiện ở đó.ClipVault.exe được ký bởi PROJECTTEAMFORYOU thông qua Azure Artifact Signing. Để kiểm tra, nhấp chuột phải vào tệp → Thuộc tính → Chữ ký số. Khi đã thiết lập ký mã, quá trình dựng sẽ không hoàn tất nếu chưa ký, và chữ ký được xác minh lại trước khi các tệp rời khỏi máy dựng.
Trang web đếm lượt tải để chúng tôi biết tệp nào được dùng. Nó chỉ giữ con số tổng, không giữ nhật ký.
Lượt tải tiếp tục và trình thu thập dữ liệu (crawler) không được đếm, và việc kiểm tra cập nhật của chương trình hoàn toàn không được đếm — đồng ý kiểm tra phiên bản không có nghĩa là đồng ý bị đếm. deploy/cloudflare/lib/downloads.js
Lượt nhấp vào quảng cáo của chính chúng tôi — trên trang web này, hoặc trong mục tin tức của chương trình nếu bạn đã bật tin tức — được đếm theo cùng cách: ngày, quảng cáo và quốc gia. Chương trình không bao giờ hiển thị quảng cáo trong cửa sổ bật lên và không bao giờ hiển thị quảng cáo của người khác. deploy/cloudflare/lib/ads.js
Vui lòng báo cáo riêng qua email, để lỗ hổng có thể được khắc phục trước khi bị công khai.
Mục tiêu của chúng tôi là xác nhận đã nhận báo cáo trong vòng 3 ngày làm việc và cùng bạn thống nhất cách khắc phục cũng như ngày công bố. Đây là mục tiêu, không phải bảo đảm: ClipVault do một nhóm nhỏ làm ra.
clipvault-cli --version) và phiên bản Windows của bạnVui lòng không gửi mật khẩu thật hay dữ liệu clipboard của người khác, và chỉ thử nghiệm trên máy tính và tài khoản của chính bạn.
Không có chương trình thưởng lỗi bằng tiền. Nếu bạn muốn, chúng tôi sẽ nêu tên cảm ơn bạn trong ghi chú phát hành.