UAC 원격 승인기는 @115dkk가 운영하는 개인 프로젝트이며, 보안 책임과 취약점 신고 처리는 운영자가 맡습니다.

이 프로그램은 PC의 관리자 권한 요청에 답하므로, 승인을 가로채거나 위조할 수 있는 결함은 모두 신고 대상입니다.

• Windows 서비스 '휴대폰 승인'과, 보안 데스크톱에 뜬 UAC 창에 답하는 부분
• PC 앱과 보호된 PC 화면
• Android 앱, 하드웨어 보안 키 서명, 연결 절차(QR 코드, 여섯 자리 숫자 확인, 기기 증명)
• PC와 휴대폰 사이의 통신(TCP 7443)과 중계 서버
• 설치 프로그램, 그리고 릴리스 파일을 만드는 이 저장소의 워크플로

연결하지 않은 기기나 네트워크 중간에서 승인을 만들어 내는 방법, 휴대폰에 보인 것과 다른 UAC 창에 승인이 적용되는 경우, 같은 PC의 일반 권한 프로그램이 승인이나 휴대폰 등록을 만들어 내는 방법 등이 여기에 듭니다.

SYSTEM 권한이나 커널이 이미 공격자에게 넘어간 PC와, 루트 권한이 이미 공격자에게 넘어간 휴대폰은 위협 모델에 들지 않습니다. 부트로더가 풀린 휴대폰을 손에 넣은 사람이 운영체제를 바꿔 넣는 경우도 하드웨어가 구별하지 못하므로 여기에 듭니다.

소유자가 직접 루팅했거나 부트로더를 푼 휴대폰은 지원 대상입니다. 그런 휴대폰에서 하드웨어 보안 키의 속성을 속여 연결하는 방법이나, 하드웨어의 인증 확인 없이 승인을 만들어 내는 방법은 신고 대상입니다. 자세한 내용은 README의 '안전하게 쓰기 위한 설계'와 ADR 0049에 있습니다.

최신 정식 릴리스만 보안 수정을 받습니다. 먼저 최신 버전으로 올린 뒤 문제가 남는지 확인해 주십시오.

GitHub 비공개 취약점 신고로 알려 주십시오. 의심되는 취약점을 공개 이슈나 토론, PR에 올리지 마십시오.

PC 앱과 휴대폰 앱의 버전, Windows와 Android 버전, 문제가 된 구성 요소, 재현 절차를 적어 주시면 확인이 빠릅니다. 진단 로그를 붙일 때는 개인 정보가 들어 있지 않은지 먼저 확인해 주십시오.

여가 시간에 운영하므로 응답 기한은 약속하지 않습니다. 운영자는 신고를 모두 읽고 신고 안의 비공개 대화에서 답합니다. 확인된 취약점은 새 릴리스로 고친 뒤 GitHub 보안 권고로 공개하며, 신고자가 원하지 않으면 이름을 싣지 않습니다.

버그 바운티는 없습니다.