Zabezpečení

Co aplikace v počítači dělá

Desktopová aplikace běží ve Windows. Overlay ve hře se vykresluje nad oknem hry.

• Data ze her se čtou pouze z oficiálních lokálních zdrojů, které hry poskytují: Game State Integration pro CS2 a Dota na adrese 127.0.0.1, soubor bojového logu ve World of Warcraft a sdílená paměť hry iRacing.
• Tyto zdroje se čtou pouze na stejném počítači.
• Sdílení obrazovky, sdílení hry a nahrávání klipů probíhá jen tehdy, když je hráč zapne.
• Herní klipy se ukládají lokálně v počítači.

Co aplikace nedělá

• Nemá ovladač jádra (kernel driver).
• Do procesů her nevkládá kód.
• Nečte paměť jiných programů. Jedinou výjimkou je sdílená paměť, kterou iRacing k tomuto účelu zveřejňuje přes své SDK.
• Neběží s právy správce.

Aktualizace

Každá aktualizace je kryptograficky podepsána (minisign, přes aktualizátor Tauri). Aplikace odmítne aktualizaci, jejíž podpis neodpovídá klíči zabudovanému v aplikaci.

Aktualizace se stahují přes HTTPS z GitHub Releases.

Účty

• TeamBase nikdy neukládá hesla v čitelné podobě. Přihlášení zajišťuje Supabase Auth, který hesla ukládá pomocí bcrypt.
• Přihlášení probíhá přes serverovou funkci, která používá CAPTCHA (Cloudflare Turnstile), omezení počtu pokusů a ověření nových zařízení e-mailem.
• Při registraci a při změně hesla se heslo kontroluje proti databázi uniklých hesel Have I Been Pwned metodou k-anonymity.

Přístup k datům

• Pravidla přístupu se vynucují na serveru, v databázi, pomocí zabezpečení na úrovni řádků (row-level security). Aplikace nemůže číst soukromé zprávy, guildy ani kanály, které server nepovolí.
• Hlas běží přes LiveKit (WebRTC) a při přenosu je šifrován.
• Sdílení hry mezi přáteli probíhá přímo mezi počítači (peer-to-peer).

Testování a kontroly

Před každým vydáním se spouštějí tisíce automatických testů. Desktopová aplikace má přibližně 1 200 testů backendu a přibližně 3 900 testů frontendu.

TeamBase provádí také interní bezpečnostní kontroly. Poslední, ze dne 14. října 2026, se týkala pravidel databáze, serverových funkcí, desktopové aplikace a webu. Nalezené problémy byly opraveny ve verzi 0.1.96.

Hranice

Zdrojový kód není otevřený. Nezávislý externí audit zatím neproběhl. Plánuje se, až vzroste počet uživatelů. Do té doby jsou hlášení zvenčí vítána.

Nahlášení zranitelnosti

Hlášení patří na support@teambase.lol. Ve zprávě je vhodné popsat problém a kroky potřebné k jeho zopakování.

• Prosíme netestovat na účtech ani datech jiných uživatelů.
• Prosíme neprovádět útoky typu odepření služby.
• Odpověď přijde do několika dnů.
• Přeje-li si to autor hlášení, bude jeho jméno uvedeno v seznamu změn (changelog).