セキュリティ

Yunagi は利用者の業務メモを扱うため、データを端末の外に出さないことを基本にしています。保護の仕組みの全文は、公開リポジトリのセキュリティ方針にあります。

脆弱性の報告

  • 公開の Issue には書かないでください。
  • 報告先は、次のどちらかです。
    • メール：[email protected]
    • 公開リポジトリの「Security」タブ →「Report a vulnerability」（GitHub の非公開の報告）
  • 影響を受ける版（yunagi --version）、OS、再現の手順、何が起きるかを書いてください。業務ノートなどの実際のデータは貼らないでください。
  • 受領の連絡は 3 営業日以内、初期評価の結果は 10 営業日以内に返すことを目標にしています（約束ではありません）。
  • 修正版を公開したあと、報告者の同意があれば、謝辞を載せます。

サポートする版

セキュリティ修正は、最新のマイナー版（たとえば 1.4.x）のパッチ版として出します。それより古いマイナー版には出しません。更新をご案内します。

配布物の保護

  • インストールスクリプトは、配布物の SHA-256 を照合し、一致しなければ中止します。
  • 全配布物のハッシュをまとめた SHA256SUMS には、配布用の鍵で minisign の署名を付けています。手順は配布物の確かめ方にあります。
  • アプリの自動更新は、Yunagi 独自の鍵で署名したパッケージだけを、署名を検証してから適用します。
  • Yunagi は、OS の有料のコード署名を使っていません。そのかわりに、上の方法で配布物が公式のものであることを確かめられるようにしています。

データ

  • データは、利用者のデータディレクトリにだけ保存します。ディレクトリとデータベースは、利用者本人だけが読み書きできる権限で作ります。
  • 外部との通信は、更新の確認（既定で有効。設定で無効にできます）と、利用者が有効にした機能に限ります。更新の確認で送る情報は、版・OS・アーキテクチャだけです。
  • AI エージェントの権限は、既定で読み取りだけです。書き込みは、利用者が許可した範囲だけで、変更はすべて記録され、1 件ずつ取り消せます。

告知

セキュリティ修正と鍵の失効は、お知らせと、公開リポジトリの GitHub Security Advisory で告知します。