# Sicherheitslücken melden

**Bitte nicht als öffentliches Issue.** Eine Lücke, die in einem Issue steht,
ist eine Anleitung, solange sie nicht behoben ist.

**Melde sie an <webmaster@gaertner.onl>.** Vogelalbum ist ein Feierabendprojekt
einer einzelnen Person — eine Antwort kann ein paar Tage dauern. Kommt nach
einer Woche keine, gern noch einmal nachfassen; dann ist die Nachricht
untergegangen.

Hilfreich in der Meldung:

- was betroffen ist (Web-App, Detector, Kameraseite) und welche Fassung
- wie sich das Verhalten auslösen lässt, möglichst Schritt für Schritt
- was dabei herauskommt und warum das ein Problem ist

Wer eine Lücke meldet und bis zur Behebung nicht veröffentlicht, wird — auf
Wunsch — im Changelog namentlich genannt. Rechtliche Schritte gegen jemanden,
der auf diesem Weg und in gutem Glauben meldet, gibt es nicht.

## Was unterstützt wird

Vogelalbum hat noch keine Version. Gefixt wird der aktuelle Stand von `main`.

## Womit zu rechnen ist

Ein paar Dinge sind **Absicht** und keine Lücke — damit niemand Zeit damit
verliert:

- **Die Web-App hat keine Benutzerkonten.** Die Sammlung ist zum Ansehen da.
  Wer sie öffentlich stellt, stellt sie öffentlich. Geschützt sind nur der
  Django-Admin und das Upload-Formular.
- **Die API-Token stehen in Umgebungsvariablen**, nicht in einem Tresor. In
  der Datenbank liegen sie als SHA-256.
- **Der Detector erreicht die Web-App, nicht umgekehrt.** Die Verbindung geht
  nur in eine Richtung; das ist der Kern des Aufbaus und kein Versehen.
- **Die Kameraseiten (`pi/`, `esp32cam/`) kennen keine Authentifizierung.** Sie
  gehören ins Heimnetz, nicht ans offene Internet. Wer den Stream nach außen
  gibt, legt selbst etwas davor.
- **`VOGELALBUM_LIVE_ERLAUBT=0`** schaltet das Live-Bild hart ab, auch gegen einen
  Fehlklick im Admin. Auf einer öffentlichen Instanz gehört die Variable auf
  `0`.

## Was dagegen eine Meldung wert ist

- Lesen oder Schreiben von Sichtungen ohne gültigen Token
- Herauskommen aus dem Admin-Login oder aus dem Upload-Formular
- Pfade, über die sich Dateien außerhalb des Medienordners lesen oder
  schreiben lassen
- alles, was aus einem hochgeladenen Bild Code macht
- ein Token, das in Logs, in der Prozessliste oder in der Oberfläche landet