Biztonság

Mit csinál az alkalmazás a számítógépen

Az asztali alkalmazás Windowson fut. A játékon belüli overlay a játékablak fölé rajzolódik.

• A játékadatokat csak a játékok által biztosított hivatalos helyi forrásokból olvassa: a CS2 és a Dota Game State Integration szolgáltatásából a 127.0.0.1 címen, a World of Warcraft harci naplófájljából és az iRacing megosztott memóriájából.
• Ezeket a forrásokat csak ugyanazon a számítógépen olvassa.
• A képernyőmegosztás, a játékmegosztás és a klipfelvétel csak akkor történik, ha a játékos bekapcsolja.
• A játékklipek helyben, a számítógépen tárolódnak.

Mit nem csinál az alkalmazás

• Nincs kernelmeghajtója.
• Nem injektál kódot a játékfolyamatokba.
• Nem olvassa más programok memóriáját. Az egyetlen kivétel az a megosztott memória, amelyet az iRacing erre a célra az SDK-ján keresztül közzétesz.
• Nem rendszergazdai jogosultsággal fut.

Frissítések

Minden frissítés kriptográfiailag alá van írva (minisign, a Tauri frissítőjén keresztül). Az alkalmazás elutasítja azt a frissítést, amelynek aláírása nem egyezik az alkalmazásba beépített kulccsal.

A frissítések HTTPS-en keresztül töltődnek le a GitHub Releases oldalról.

Fiókok

• A TeamBase soha nem tárol jelszót olvasható formában. A hitelesítést a Supabase Auth végzi, amely a jelszavakat bcrypttel tárolja.
• A bejelentkezés egy szerveroldali függvényen keresztül zajlik, amely CAPTCHA-t (Cloudflare Turnstile), a próbálkozások számának korlátozását és az új eszközök e-mailes megerősítését használja.
• Regisztrációkor és jelszóváltáskor a jelszót az ismertté vált jelszavak Have I Been Pwned adatbázisával vetik össze a k-anonymity módszerrel.

Adatokhoz való hozzáférés

• A hozzáférési szabályokat a szerver érvényesíti az adatbázisban, sorszintű biztonsággal (row-level security). Az alkalmazás nem tudja elolvasni azokat a privát üzeneteket, guildeket és csatornákat, amelyeket a szerver nem enged.
• A hang a LiveKiten (WebRTC) keresztül működik, és átvitel közben titkosított.
• A barátok közötti játékmegosztás közvetlenül a számítógépek között zajlik (peer-to-peer).

Tesztelés és ellenőrzések

Minden kiadás előtt több ezer automatikus teszt fut le. Az asztali alkalmazásnak körülbelül 1200 backend- és körülbelül 3900 frontendtesztje van.

A TeamBase belső biztonsági ellenőrzéseket is végez. A legutóbbi, 2026. október 14-i ellenőrzés az adatbázis szabályaira, a szerverfüggvényekre, az asztali alkalmazásra és a weboldalra terjedt ki. A talált hibákat a 0.1.96 verzióban javították.

Korlátok

A forráskód nem nyílt. Független külső audit még nem történt. Akkor tervezett, amikor a felhasználók száma nő. Addig a kívülről érkező bejelentéseket szívesen fogadjuk.

Sérülékenység bejelentése

A bejelentéseket a support@teambase.lol címre kell küldeni. Az üzenetben érdemes leírni a problémát és a reprodukálásához szükséges lépéseket.

• Kérjük, ne teszteljenek más felhasználók fiókjain vagy adatain.
• Kérjük, ne hajtsanak végre szolgáltatásmegtagadásos támadást.
• A válasz néhány napon belül megérkezik.
• A bejelentő kérésére a nevét feltüntetjük a változásnaplóban (changelog).