安全
Chillswitch 如何保护数据、边界在哪里，以及如何报告问题。
Chillswitch 由 Modernaut LLC 运营。安全是一个持续的过程，而不是一种保证。本页介绍当前的架构和一条善意的报告途径；它并不承诺服务坚不可摧。
当前的保护措施
- 对应用和网站连接进行传输加密。
- 应用内警报内容在到达服务之前，先在客户端封存。
- 应用内警报和解除警报通知均带签名，验证失败时会显示未验证状态。
- 在支持的设备上使用硬件支持的设备密钥封装，并如实报告回退情况。
- 对敏感数据库字段加密，并使用带密钥的哈希进行匹配，日常无需明文查找。
- 速率限制、账户封禁、投递状态跟踪、死信处理，以及最少量的哈希化安全审计事件。
重要边界
服务器无法读取已封存的应用内警报内容，但会处理账户关系、日程、路由、投递、网络、同意、账单和安全元数据。短信没有端到端加密，Modernaut、Twilio、运营商和收件设备都可以看到。未锁定或已被入侵的设备可能暴露密钥和可见数据。任何通知渠道都无法保证送达。
报告漏洞
请发送邮件至 [email protected]，简要说明问题，并附上受影响的网址或应用版本、复现步骤、影响，以及一种安全的联系你的方式。请勿附上真实的恢复码、私钥、手机号、购买令牌、位置或他人的内容。
善意研究
请使用合成账户，并只进行足以说明问题的最少测试。请勿访问他人的数据，请勿使用社会工程手段，请勿进行拒绝服务或大流量测试，请勿影响报平安或警报的送达，请勿发送未经同意的短信，请勿规避速率限制，请勿留存数据，也请勿在 Modernaut 有合理机会调查之前公开披露尚未解决的问题。
如果研究是在这些边界内善意进行的，Modernaut 无意仅因该研究而建议采取法律行动。本声明并不授权任何违法行为，不约束第三方，不提供漏洞赏金，也不放弃就隐私侵犯、敲诈勒索、数据销毁或服务中断所享有的权利。
响应与披露
我们会在运营能力允许的范围内确认并分流报告，按对用户的影响确定优先级，并善意地协调修复与披露。我们不承诺固定的响应或修复时间。如果涉及真实用户数据的紧急暴露，请在主题中明确说明，但不要附上数据本身。