Sicherheit und Daten: Ihre Arbeit bleibt lokal

Konstruktion, Zuschnitt, Preise, Zeichnungen, Dokumente, Bearbeitungsexport und Raumansicht laufen alle lokal. Die Oberfläche der Anwendung darf nichts aus dem Netzwerk laden: Ihre Inhaltsrichtlinie beschränkt jede Art von Quelle auf die Anwendung selbst, und die Standardsitzung bricht jede Anfrage ab außer lokalen Dateien, Daten- und Blob-URLs.

Nur eines braucht das Internet: die Lizenz. Die Anwendung wird einmal aktiviert und prüft die Lizenz danach online, wenn eine Prüfung fällig ist. Erreicht sie den Lizenzdienst nicht, arbeitet sie eine Karenzzeit von mehreren Tagen weiter, sodass eine Werkstatt mit schlechter Verbindung nicht unterbrochen wird. Netzwerk- und Serverfehler entfernen nie eine bestehende Lizenz; nur eine ausdrückliche Ablehnung durch den Dienst tut das.

Kein Projekt, keine Preisliste, kein Kundendatensatz, kein Dekorbild und kein Raumfoto wird je hochgeladen.

Alles wird auf Ihrem Rechner gespeichert, an Orten, die Sie finden und sichern können.

Exporte verlassen die Anwendung als einfache Dateien: PDF, CSV, DXF, SVG und Bilder. Sie wählen, wohin sie geschrieben werden, und die Anwendung bestimmt nie einen Pfad für Sie.

Das Bedrohungsmodell nennt vier Gegner. Eine bösartige oder beschädigte Datei, die Sie öffnen oder importieren (ein Projekt, eine CSV, eine Bibliothek, ein Bild oder eine Datenbank), wird als nicht vertrauenswürdige Daten behandelt. Eine kompromittierte Oberfläche, etwa durch einen Fehler in einer Abhängigkeit, gilt ebenfalls als nicht vertrauenswürdig: Sie darf keine beliebigen Dateien lesen oder schreiben, keinen Code im Hauptprozess ausführen, die Lizenzierung nicht umgehen und das Netzwerk nicht erreichen. Ein lokaler Benutzer, der Lizenzdateien oder die Uhr manipuliert, wird in angemessenem Umfang abgefangen. Und die Lieferkette, die npm-Abhängigkeiten und Electron selbst, wird klein gehalten und geprüft.

Nicht abgedeckt sind ein Angreifer, der bereits Code als Sie ausführt, ein bösartiges Betriebssystem und physischer Zugriff auf den Rechner. Dagegen kann sich keine Desktop-Anwendung verteidigen, und wir behaupten es nicht.

Eine Lizenz ist ein signiertes Token: eine Reihe von Angaben (Tarif, Funktionen, Ablauf, Geräteobergrenze, Karenztage) und eine Ed25519-Signatur darüber. Die Anwendung prüft die Signatur auf Ihrem Rechner mit einem eingebauten öffentlichen Schlüssel; der private Schlüssel liegt nur auf dem Lizenzserver. Funktionsprüfungen laufen im Hauptprozess, in den Routinen, die Daten speichern, exportieren und lesen, sodass eine veränderte Oberfläche keine Funktionen freischalten kann.

Die Zeitbehandlung ist monoton. Die Anwendung merkt sich die späteste Zeit, die sie gesehen hat, und geht nie zurück, sodass das Zurückstellen der Uhr eine Testphase oder Karenzzeit nicht verlängert. Testphase und Karenzzeit werden von dieser Uhr aus gezählt.

Der Lizenzaufruf sendet einen Lizenzschlüssel und eine Gerätekennung und nichts über Ihre Entwürfe.

Das ausgelieferte JavaScript ist klein: React, three.js, eine kleine State-Bibliothek, eine zu WebAssembly kompilierte SQLite-Engine und die eigenen Pakete des Projekts. Die SQLite-Engine braucht keinen nativen Build, was eine ganze Klasse von Build-Problemen je Plattform beseitigt.

Das Sicherheitsverhalten ist durch Tests abgedeckt: Absenderprüfungen, Pfad- und Argumentprüfung, Traversal und Schreiben über Links, überlanges und fehlerhaftes JSON, Härtung des Druck-Markups, die URL-Positivliste und die Inhaltsrichtlinie; SQL-Injection-Payloads; Magic Bytes, Header-Größen, Dekompressionsbomben, Traversal, Links und Manipulation bei Dekoren; und Ende-zu-Ende-Tests, die Pfade fälschen, unsichere Exporte versuchen, die Inhaltsrichtlinie verletzen, navigieren, Fenster öffnen, Aufrufe aus einem fremden Fenster senden und feindliche Dateien und feindliches PDF-Markup einspeisen.

Wenn Sie ein Sicherheitsproblem finden, schreiben Sie mit den Einzelheiten an hello@panelcraft.store.