Kod İmza Politikası

1. Bu politika neyi belirler

Bu sayfa, KalderaShield'ın hangi sürüm dosyalarının imzalandığını, kimin tarafından ve hangi anahtar saklama düzeniyle imzalandığını ve her imza için kimin onay vermekten sorumlu olduğunu belirtir. Depodaki aynı belgenin kaynak sürümü: CODE_SIGNING_POLICY.md

2. Windows

Free code signing provided by SignPath.io, certificate by SignPath Foundation.

Durum: henüz başvuru yapılmadı. KalderaShield, SignPath Foundation programına başvurmayı planlıyor ve bu politikayı başvuru öncesinde hazırladı, çünkü şartları bu belgenin başvurudan önce var olmasını gerektiriyor. Başvuru gönderilmemiştir ve bekleyen bir karar yoktur. Bu bölümde hiçbir Windows dosyasının şu anda imzalı olduğu ileri sürülmemelidir — imzalı değildir. İlk imzalı sürüm gerçekten yayımlanana kadar doğru ifade aşağıdaki durum tablosudur ve bu bölüm o sürümden önce güncellenir, sonra değil.

İmzalanacak dosyalar NSIS kurucusu (KalderaShield_<surum>_x64-setup.exe), yönetilen dağıtım için MSI paketi (KalderaShield_<surum>_x64.msi) ve kurulum gerektirmeyen taşınabilir çalıştırılabilirdir (KalderaShield_<surum>_x64-portable.exe). Üçü de bu depodan derlenir ve sürümler sayfasında yayımlanır. Bu depodan derlenmeyen hiçbir dosya bu projenin sertifikasıyla imzalanmaz ve üçüncü taraftan hiçbir ikili, bu sertifika altında yeniden imzalanmaz.

Anahtar saklama: özel anahtar SignPath'ın HSM'sinde üretilir ve saklanır. Bu proje anahtarı hiçbir zaman elinde tutmaz, dışa aktarmaz ve ne bir derleme çalıştırıcısına ne de bir geliştirici makinesine iletmez. İmza, deponun CI'ının gönderdiği ve bir insanın onayladığı bir imza talebi karşılığında SignPath tarafında gerçekleşir.

Zincir: sürüm etiketi gönderilir → GitHub Actions dosyaları derler (iş akışları herkese açık, üçüncü taraf eylemleri commit SHA'sıyla sabitli, jeton izinleri salt okunur) → derleme dosyaları SignPath'a yükler ve bir imza talebi açar, imzalamaz → bir Onaylayıcı onaylar veya reddeder → SignPath Foundation sertifikasıyla imzalar → imzalı dosya SHA256SUMS.txt ile birlikte yayımlanır. Her sürüm için elle onay gerekir; gözetimsiz bir imza yolu yoktur ve eklenmeyecektir.

Geçerli bir SignPath Foundation imzası, ikili dosyanın sürümün belirttiği depodaki kaynak koddan doğrulanabilir ve otomatik bir derleme olduğu anlamına gelir. Yazılımın denetlendiği anlamına gelmez ve uygulamaya ilişkin bir güvenlik onayı değildir. Bu proje tehdit modeli ve kalite kapısı belgeleri yayımlar, ancak tamamlanmış bağımsız bir üçüncü taraf güvenlik denetimi yoktur:

3. Ekip rolleri

KalderaShield tek kişi tarafından sürdürülmektedir. Bunu bir ekip gibi sunmak yerine burada açıkça belirtiyoruz, çünkü aşağıdaki roller SignPath'ın istediği rollerdir ve tek bir bakımcı yalnız ve dürüstçe doldurabilir. Bu depoya yazma erişimi olan tüm hesaplar çok faktörlü kimlik doğrulama kullanır.

4. Gizlilik politikası

SignPath'ın istediği ifadeyle: bu program, kullanıcı veya programı kuran ya da çalıştıran kişi özellikle istemedikçe başka ağ bağlantılı sistemlere hiçbir bilgi aktarmaz.

KalderaShield çevrimdışı öncelikli, sıfır bilgili bir şifre yöneticisidir. Kasa içerikleri cihazda, ana paroladan türetilen anahtarlarla şifrelenir ve hiçbir zaman iletilmez. Hesap yoktur, eşitleme hizmeti yoktur, telemetri yoktur, analitik yoktur. Windows ikili dosyaları, işletim sisteminin kendi bileşenleri dışında hiçbir ağ istemcisi içermez. Ayrıntılı metin: Gizlilik Politikası. Kullanıcıları etkileyen üçüncü taraf bileşenlerin davranışı LICENSE-3RD-PARTY.md ile kapsanır.

5. Diğer platformlar

macOS — dosyalar Apple Developer ID ile imzalanır ve Apple tarafından notarize edilir. Sertifika henüz alınmadığı için hiçbir macOS dosyası imzalanmamıştır ve hiçbiri yayımlanmamıştır. Linux — .deb, .rpm ve .AppImage ayrık GPG imzalarıyla (.sig), SBOM'lar ve tarayıcı eklentisi paketleri anahtarsız Sigstore imzalarıyla (.sigstore.json) yayımlanır. Android — sürüm APK'ları GitHub Actions sırlarında tutulan bir sürüm anahtar kasasıyla imzalanır; Android imzası, Authenticode'dan ayrıdır. Hiçbir platform, gerçekten imzalı olana kadar imzalı olarak tanımlanmaz.

Güncel durum: Linux, Android ve tarayıcı eklentisi yayımlandı ve imzalı. Windows yalnızca "unsigned preview" (İmzasız Önizleme) olarak yayımlanır ve imzasızdır — bu bir ön sürümdür, kararlı bir sürüm değildir ve latest ona işaret etmez. İmzalanmamış dosyalarda Windows SmartScreen "PC'niz korundu" uyarısı gösterir ve kurulumu çalıştırmak için "Daha fazla bilgi" → "Yine de çalıştır" demeniz gerekir; bu beklenen bir durumdur. Çalıştırmadan önce SHA-256 karmasını SHA256SUMS.txt ile doğrulayın. SignPath Foundation başvurusu henüz gönderilmemiştir. macOS yayımlanmadı ve imzasızdır (sertifika alınmadı).

Windows dosyaları resmî bir sürüm olarak yayımlanmaz: sürüm hattı imzasız bir masaüstü sürümünü hata sayar ve `.github/workflows/` içinde bunu yayımlayabilecek hiçbir iş akışı yoktur. Önizleme, bakımcının makinelerinden GitHub'ın kendi sürüm formu aracılığıyla elle hazırlanıp yüklenir ve ön sürüm olarak işaretlenir; böylece görünür şekilde geçicidir, latest ona işaret etmez ve bir sonraki imzalı sürümün yerini alır. Bu yol bilinçlidir, bir dolambaç değil. Depoda, imzasız bir derlemeyi yayımlanmış bir hâle getirebilecek her iş akışını reddeden bir güvenlik kapısı vardır (npm run security:release-signing) ve bu kapının son iddiası, imzalama sırları olmadan genel bir masaüstü sürümünün *tasarım gereği imkânsız* olduğudur. Bunun için bir istisna eklemek o iddiayı bir kolaylık karşılığında yalanlaştırırdı. Yüklemeyi tarayıcıda tutmak güvenceyi bozmadan korur. Kapının belgelenmesi: Kod İmza ve Artefakt İmza Kılavuzu; adım adım yöntem: Plan: site, ardından imzasız Windows önizlemesi.

6. Sorun bildirme

SignPath Foundation sertifikasıyla imzalanmış bir dosyanın bu politikayı ihlal ettiğini düşünüyorsanız, dosyanın karmasını ve gerekçeyi support@signpath.io adresine bildirin. Bu dosyalarla ilgili diğer her konu için security@kalderashield.com adresini kullanın; açıklama süreci SECURITY.md'dedir.

Çeviri ile Türkçe metin arasında bir farklılık olması hâlinde Türkçe metin esas alınır.