SICHERHEIT & VERTRAUEN
Vertrauen ist ein Prozess.
Eine nützliche Plugin-Plattform braucht mehr als eine Signatur. Hier stehen die aktuelle Desktop-Grenze und das für die Webplattform geplante Veröffentlichungsmodell.
Was Desktop überprüft
Pakete sind ZIP-basierte .cbpack-Dateien mit v2-Manifest, DER-kodierter ECDSA-P-256-/SHA-256-Signatur und Payload-Dateiinventar. Der Installer prüft begrenzte Archivmetadaten, Manifestkompatibilität und SHA-256-Dateihashes vor der Aktivierung.
Der strikt signierte Katalog kontrolliert Metadaten ausführbarer Pakete. PR #522 ergänzt ein separat signiertes redaktionelles Verzeichnis. Beschreibungstexte und Bewertungen können keine Rechte erteilen oder eine Installationsbestätigung umgehen.
Produktive Vertrauensschlüssel sind derzeit leer, der Owner-Kanal ist nicht konfiguriert. Diese Standardwerte lehnen produktive Installationen ab. Vor einem Release müssen sie bewusst eingerichtet und verifiziert werden.
Der Signierer bleibt außerhalb der Web-App
Eine öffentliche Anfrage oder ein Datenbankstatus darf niemals genügen, beliebigen Code freizugeben. Da der bestehende Metadaten-Builder Pack-Factories ausführt, eignet er sich nicht für fremde Eingaben in einem Prozess mit produktivem Schlüssel.
- Authentifizierte Entwickler reichen in privaten Quarantänespeicher ein. Die Web-App hat weder Signierrechte noch Schreibzugriff auf den veröffentlichten Kanal.
- Isolierte Worker bauen und prüfen eine feste Quellcode-Revision ohne Signierschlüssel oder Produktionszugänge.
- Ein Maintainer genehmigt einen unveränderlichen Hash und Prüfnachweise in einem geschützten, von der Webdatenbank unabhängigen Prozess.
- Der geschützte Publisher kontrolliert Quelle, Herkunft und exakte Artefakthashes und signiert freigegebene Bytes über einen begrenzten Schlüsseldienst oder Offline-Signierer.
- Unveränderliche Artefakte und signierte Katalogstände werden mit atomarem Kanalwechsel und nachvollziehbarem Rollback veröffentlicht.
Die Grenze der Isolierung verstehen
Der Desktop-Worker nutzt einen eigenen Prozess und ein Windows Job Object zur Lebensdauer- und Ressourcensteuerung. Das begrenzt keine Dateisystem- oder Netzwerkberechtigungen. Auch signierter Code kann gefährlich sein.
Community-Pakete müssen zunächst kuratiert, geprüft und neu gebaut werden. Allgemein ungeprüfte Plugins benötigen vorher eine unabhängig geprüfte Ausführungsisolation, durchgesetzte Fähigkeiten und ein Widerrufskonzept.
Der erste Web-Milestone
Diese Website bietet Produktinformationen, eine illustrative lokale Demo, Dokumentation und Links zu freigegebenen Desktop-Downloads. Konten, Marketplace, Uploads und Plugin-Auslieferung sind in dieser Version nicht enthalten.
Die Website verarbeitet keine von dir ausgewählten Dateien oder Demo-Suchanfragen. Browser-Sicherheitsheader beschränken Skripte und Ressourcen.