보안과 면책

이 번역은 참고용이므로, 정확한 내용은 영어판에서 확인해 주세요. 영어판

자동 검사

이 플랫폼은 새 릴리스를 게재하기 전에 검사합니다. 검사를 통과한 릴리스만 게재합니다.

검사하는 규격: VST® 3 CLAP, LV2, Audio Unit

증명 대조: 모든 배포 파일에 빌드 출처 증명(build provenance)이 있어야 합니다. GitHub Actions 워크플로가 증명의 서명을 검증합니다. 또한 증명이 저장소, 릴리스 태그, 태그의 커밋, 플러그인에 기록된 릴리스 워크플로와 일치하는지 확인합니다.
불변 릴리스: 릴리스가 불변이어야 합니다. 불변 릴리스의 파일은 공개한 뒤에 바꿀 수 없습니다.
압축 파일 내용 검사: GitHub Actions 워크플로가 각 zip 압축 파일을 내려받아, 안의 플러그인 번들을 실행하지 않고 읽습니다. 여기에 표시되는 규격, OS, 아키텍처는 이 검사의 결과입니다. 압축 파일 중 하나라도 VST 2가 포함된 릴리스와, 검사할 수 없는 압축 파일은 게재하지 않습니다.
macOS 서명과 공증: macOS용 번들이 들어 있는 압축 파일은, 번들이 Developer ID 인증서로 서명되고 Apple의 공증을 받았음을 확인한 뒤에만 안내합니다.
악성 코드 조회: GitHub가 공개하는 각 파일의 SHA-256을 알려진 악성 코드 샘플 데이터베이스인 MalwareBazaar에서 조회합니다. 게재 중인 파일도 정기적으로 다시 조회합니다.
게재 중인 릴리스와의 차이: 게재 중인 릴리스에서 새 릴리스까지의 변경을 규칙으로 검사합니다. 규칙에 해당하는 릴리스는 관리자의 확인을 기다립니다.
개발 실천 리뷰: 액션 고정이나 릴리스 워크플로처럼 저장소 파일로 결정되는 항목은 규칙으로 판정합니다. README의 설치 절차처럼 글을 읽어야 하는 항목만 카탈로그가 계산한 사실과 함께 LLM이 판정합니다. 소스 코드는 읽지 않습니다. 중대한 지적이 있는 릴리스는 관리자의 확인을 기다립니다.

리뷰 기준은 GitHub에 공개되어 있습니다: https://github.com/AllegroMoltoV/audio-plugin-soko-kun/blob/main/docs/design/review-criteria.md

검사를 통과하지 않은 릴리스는 표시하지 않습니다. 새 릴리스가 검사를 통과할 때까지는 이전에 게재한 릴리스를 계속 게재합니다.

악성 코드로 보고된 파일이 있으면 플러그인의 게재를 중지합니다. 관리자가 릴리스를 중지할 수도 있습니다.

중지한 릴리스는 공지 페이지 https://audio-soko-kun.allegromoltov.jp/notices에서 버전, 각 파일의 SHA-256, 이 플랫폼에 게재했던 기간과 함께 알립니다. 플러그인 페이지에도 경고를 표시합니다.

검사의 한계

악성 코드 조회는 MalwareBazaar에 이미 알려진 위협만 검출할 수 있습니다. 새로운 악성 코드나 표적형 악성 코드는 검출하지 못할 수 있으므로, 아무것도 검출되지 않아도 주의해서 이용해 주세요.

Developer ID 서명과 공증은 macOS용 번들의 서명자와 Apple이 그 번들을 검사했다는 사실을 보여 줄 뿐입니다. 플러그인이 안전하다는 증거는 아닙니다.

압축 파일 내용 검사는 번들의 구조와 내보내는 함수로 규격을 판정합니다. VST 3 인터페이스를 구현한 플러그인이 VST 3 SDK로 빌드되었는지는 구별할 수 없습니다.

SHA-256은 기록 시점에 GitHub가 배포하던 파일을 나타냅니다. 다운로드한 파일의 SHA-256을 여기에 표시된 값과 비교해 주세요.

면책

이 플랫폼은 있는 그대로 제공되며 어떠한 보증도 하지 않으므로, 플러그인은 본인의 책임하에 설치해 주세요. 각 플러그인의 책임은 그 작성자에게 있습니다.