אבטחה ופרטיות

המידע נשאר בבית

• 

  אין שרת מרכזי

  ל-SweetFrame אין שרת שאוסף מידע של משפחות. עותק מוקטן של התמונות, ההגדרות וימי ההולדת נשמרים על המסגרת שבבית, והמסגרת מתחברת ישירות לשירותים שהיא צריכה. אנחנו לא מקבלים ממנה תמונות, ערכי סוכר, יומן או הגדרות.

• 

  בלי פרסומות, בלי מעקב, בלי סטטיסטיקה

  אין במסגרת פרסומות, טלמטריה או כלי סטטיסטיקה. בדיקת העדכונים בלילה לא כוללת מידע של המשפחה. היא כן מזהה את המסגרת מול ערוץ העדכונים שלנו, בזהות של המסגרת ב-Google, כדי שרק מסגרות שרשמנו יקבלו עדכונים (עדכונים חתומים). הדפדפן שמצייר את המסך מוגדר כך שלא יפנה לשום מקום מחוץ למסגרת עצמה.

• 

  פרטי גישה בקבצים מוגנים

  הטוקן של Nightscout וקישורי היומן הסודיים נשמרים במסגרת בקובץ מוגן, ולא נכתבים לרישומי המערכת (לוגים). קוד הנעילה נשמר רק כגיבוב (hash), וגם מהטלפונים המחוברים נשמר רק גיבוב של קוד הגישה שלהם, כך שאי אפשר להתחזות לטלפון בעזרת מה שנשמר במסגרת.

גישה מינימלית לחשבונות שלכם

המסגרת לא צריכה את הסיסמה של אף חשבון. היא רואה רק את מה שבחרתם לשתף איתה, ורק לקריאה, חוץ מגיבוי ההגדרות (לא חובה), שכותב רק את הקובץ שלו.

• 

  Google Drive ויומן Google: קריאה בלבד

  לכל מסגרת יש כתובת משלה ב-Google, ומשתפים איתה תיקייה או יומן כמו עם כל אדם. בכתובת הזו המסגרת משתמשת בהרשאות קריאה בלבד (drive.readonly ו-calendar.events.readonly): דרכה המסגרת לא מעלה, לא משנה ולא מוחקת שום דבר, ולא רואה מיילים, אנשי קשר או קבצים אחרים שלכם.

• 

  שום תיקייה לא מוצגת בלי אישור

  תיקייה ששותפה עם המסגרת לא מוצגת עד שמישהו מאשר אותה במסגרת או בטלפון מחובר, כך שזר שמשתף תיקייה עם הכתובת של המסגרת לא יכול להציג בה תמונות. יומן ששותף איתה נקרא רק אם הוספתם אותו בהגדרות, והמסגרת שומרת ממנו רק כותרת, תאריך ושעה: לא תיאור, לא מיקום ולא משתתפים.

• 

  Nightscout: טוקן לקריאה בלבד, בחיבור מוצפן

  המסגרת פונה לאתר ה-Nightscout שלכם רק בחיבור מוצפן (https), עם טוקן לקריאה בלבד שאתם יוצרים באתר, ולא צריכה את ה-API_SECRET. ערכי הסוכר נשמרים רק בזיכרון של המסגרת, לא בקבצים, ולא נשלחים ממנה לשום שירות: לא אלינו, לא ל-Google ולא לגיבוי.

  המסגרת גם בודקת מה הטוקן יכול לעשות. טוקן שהמסגרת מגלה שיכול לכתוב באתר, או מה שהיא מזהה כ-API_SECRET, לא נשמר בה, וטוקן כזה שכבר שמור לא מציג סוכר עד שמחליפים אותו בטוקן לקריאה בלבד. כשהאתר לא מאפשר למסגרת לדעת אם טוקן יכול לכתוב, היא מציגה את הסוכר ומזהירה אתכם לבדוק באתר שיש לטוקן רק את התפקיד readable.

• 

  גיבוי ההגדרות: רק לקבצים של SweetFrame

  הגיבוי ל-Google Drive הוא לא חובה. אם תבחרו בו, המסגרת מבקשת הרשאה אחת בלבד, drive.file, שנותנת גישה רק לקבצים ש-SweetFrame עצמה יצרה. בעזרתה המסגרת יוצרת ב-Drive שלכם תיקייה בשם SweetFrame ובה קובץ גיבוי משלה, מעדכנת את הקובץ הזה, ומוחקת רק גרסאות קודמות של אותו קובץ (כשמכבים את הכללת פרטי הגישה, ראו בהמשך). הגיבוי עובר ישירות מהמסגרת ל-Drive שלכם, לא אלינו. את החשבון מחברים רק מהמסך של המסגרת, ושום דבר לא נשמר עד שאישרתם על המסך שהחשבון הוא שלכם.

  סיסמאות Wi‑Fi, קוד הנעילה, הטלפונים המחוברים, המפתח של המסגרת, הפתקים והתמונות לא נכנסים לגיבוי אף פעם. הטוקן של Nightscout וקישורי היומן נכנסים לגיבוי ב-Drive כברירת מחדל, כדי שהשחזור יהיה מלא, ואפשר לכבות את זה. בקובץ גיבוי שמורידים לטלפון הם לא נכללים אף פעם. מה בדיוק נשמר בגיבוי

המסגרת עצמה

• 

  חומת אש: רק מהרשת של הבית

  חומת אש במסגרת חוסמת כל חיבור נכנס, חוץ מחיבורים מהרשת של הבית. אין במסגרת שום פתח שאפשר להגיע אליו מהאינטרנט, וההגדרות מהטלפון עובדות רק מתוך הבית.

• 

  חיבור טלפון: קוד חד-פעמי מהמסך

  כדי לחבר טלפון סורקים קוד שמופיע על המסך רק כשמישהו ביקש לחבר טלפון. הקוד, 6 ספרות, תקף ל-10 דקות ולשימוש אחד, ואחרי 5 ניסיונות שגויים מוחלף בקוד חדש. בלי חיבור כזה, טלפון או מחשב ברשת לא יכולים לראות את המידע של המשפחה או לשנות הגדרות. טלפון שלא השתמשו בו 90 יום מתנתק לבד, וטלפון שאבד או נמכר מנתקים בהגדרות ← טלפון.

• 

  קוד נעילה להגדרות

  אפשר להגדיר קוד של 4 עד 8 ספרות, שבלעדיו אי אפשר לפתוח את ההגדרות במסך של המסגרת: למשל כשיש בבית ילדים קטנים או אורחים. אחרי 5 ניסיונות שגויים ההגדרות ננעלות ל-5 דקות. מטלפון שכבר חובר לא צריך את הקוד.

• 

  מסך שעושה דבר אחד

  הדפדפן שמצייר את המסך פותח רק את המסגרת עצמה: אין בו גלישה, הורדות, תוספים או כניסה לחשבון, והנתונים שלו נמחקים בכל הפעלה. התוכנה של המסגרת, שמתחברת לאינטרנט ופותחת את התמונות שלכם, והדפדפן הזה רצים כמשתמש רגיל, בלי הרשאות ניהול, ולא יכולים לשנות את קובצי המערכת. מתקין העדכונים החתומים והאיפוס המלא רצים עם הרשאות מלאות. התוכנה יכולה רק לבקש אותם, ועוד רשימה קצרה וקבועה של פעולות מערכת, כמו חיבור ל-Wi‑Fi או הפעלה מחדש של המסגרת.

• 

  חיבורים מוצפנים

  המסגרת מתחברת ל-Google, לאתר ה-Nightscout, לשירות מזג האוויר, לשירות זמני השבת, לקישורי היומן ולערוץ העדכונים רק בחיבור מוצפן (https). קישור יומן או כתובת Nightscout שמתחילים ב-http:// (בלי הצפנה) לא נשמרים. לכתובת Nightscout שהוקלדה בלי קידומת המסגרת מוסיפה https://, וקישור יומן שמתחיל ב-webcal:// נקרא ב-https.

עדכונים חתומים

• 

  רק עדכונים שחתמנו עליהם

  כל עדכון של SweetFrame חתום דיגיטלית (Ed25519). לפני ההתקנה המסגרת בודקת את החתימה, ואת הגודל ואת טביעת האצבע (sha256) של הקובץ, ועדכון שלא עובר את הבדיקה לא מותקן. המפתח שחותם על העדכונים לא נמצא על המסגרות ולא בערוץ העדכונים, ולכן השתלטות על ערוץ העדכונים לבדה לא מספיקה כדי להתקין במסגרות תוכנה אחרת.

• 

  ערוץ עדכונים פרטי

  המסגרות מורידות את העדכונים מאזור אחסון פרטי שלנו ב-Google Cloud, שרק מסגרות שרשמנו יכולות לקרוא ממנו. כל מסגרת נכנסת אליו בזהות שלה ב-Google ומקבלת הרשאת קריאה בלבד, כך שאפשר לחסום מסגרת אחת, למשל מסגרת שנגנבה, בלי לפגוע באחרות. הערוץ שומר על התוכנה שלנו; מה ששומר על המסגרת שלכם הוא החתימה, שהמסגרת בודקת לא משנה מה הגיע מהערוץ. מה Google ואנחנו רואים מהבקשות האלה: מדיניות הפרטיות, סעיף 6.

• 

  רק קדימה, ועם דרך חזרה

  המסגרת מתקינה רק גרסה חדשה יותר מזו שיש לה. אחרי ההתקנה היא בודקת שהגרסה החדשה עובדת, ואם לא, או אם היא קורסת שוב ושוב, היא חוזרת לבד לגרסה הקודמת. התמונות וההגדרות נשמרות.

• 

  עדכוני אבטחה למערכת ההפעלה

  עדכוני אבטחה של מערכת ההפעלה ושל הדפדפן, מ-Debian ומ-Raspberry Pi, מותקנים אוטומטית, ונבדקים מול החתימה הדיגיטלית של המפיץ לפני ההתקנה.

האתר הזה

• 

  אתר סטטי, בלי מעקב

  sweetframe.org הוא אתר סטטי: אין בו סקריפטים, האתר עצמו לא מציב עוגיות, ואין בו כלי סטטיסטיקה, פרסומות, גופנים או רכיבים משירותים אחרים. מדיניות אבטחת התוכן שלו (CSP) אוסרת על הדפדפן להריץ בו סקריפטים או לטעון בו רכיבים מאתרים אחרים, והוא מורה לדפדפן להתחבר אליו רק בחיבור מוצפן. האתר מתארח ב-Cloudflare Pages: מה Cloudflare מעבדת כתוב במדיניות הפרטיות, סעיף 8.

מה חשוב לדעת

אבטחה טובה כוללת גם כנות לגבי המגבלות. אלה הדברים שחשוב שתכירו:

• 

  כרטיס הזיכרון לא מוצפן

  מי שמחזיק פיזית במסגרת או בכרטיס הזיכרון שלה יכול לקרוא את מה שנשמר בו. אם המסגרת אבדה או נגנבה, פעלו לפי הצעדים במדריך וכתבו לנו. לפני שמעבירים מסגרת למשפחה אחרת, אנחנו ממליצים על כרטיס חדש.

• 

  בתוך הבית, הטלפון מדבר עם המסגרת בלי הצפנה

  החיבור בין הטלפון למסגרת עובר ברשת הביתית בלי הצפנה. לכן חברו את המסגרת לרשת של המשפחה ולא לרשת האורחים, ואם הרשת לא לגמרי שלכם, הקלידו טוקנים, סיסמאות וקישורי יומן במסך של המסגרת עצמה.

• 

  יש לנו גישה טכנית למסגרות

  כמי שמכינים ומעדכנים את המסגרות, יש לנו גישה טכנית אליהן. מה בדיוק, ומתי אנחנו משתמשים בה: מדיניות הפרטיות, סעיף 10.

מה אתם יכולים לעשות

• קוד נעילה: הגדרות ← מערכת ← ״קוד נעילה להגדרות״. כדאי לחבר קודם טלפון, כי ממנו לא צריך קוד.
• קוד החיבור שעל המסך נועד רק למי שעומד מול המסגרת: לא מצלמים אותו ולא שולחים אותו.
• Nightscout: יוצרים טוקן עם התפקיד readable בלבד (פרק 8 במדריך), ולא שולחים את הכתובת או את הטוקן בקבוצות.
• טלפון שאבד או נמכר: מנתקים אותו בהגדרות ← טלפון.
• אורחים: מצב אורחים מסתיר מהמסך את הסוכר, את היומן ואת הפתקים.
• מעבירים את המסגרת למישהו אחר? כתבו לנו, והפסיקו לשתף איתה את התיקייה ואת היומן. יש גם איפוס מלא במסך של המסגרת, שמוחק את המידע של המשפחה מהאחסון של המסגרת (פרק 12 במדריך). מידע שנמחק מכרטיס זיכרון אפשר לפעמים לשחזר, ולכן למסגרת שעוברת למשפחה אחרת אנחנו ממליצים גם על כרטיס חדש (מה חשוב לדעת).

מצאתם בעיית אבטחה?

• 

  כתבו לנו

  מצאתם במסגרת או באתר משהו שנראה כמו בעיית אבטחה? כתבו לנו ל-support@sweetframe.org, עם המילה ״אבטחה״ בנושא. ספרו מה ראיתם, באיזו גרסה (הגדרות ← אודות), ואיך אפשר לחזור על זה. אנחנו בודקים כל דיווח, ונחזור אליכם.

  בבקשה אל תפרסמו את הפרטים לפני שנספיק לתקן, ואל תצרפו לפנייה טוקנים, סיסמאות או צילומי מסך עם ערכי סוכר.

עוד על המידע שהמסגרת שומרת, ומי מקבל מה: מדיניות הפרטיות.

Security and privacy in English