Seguranca

Visao Geral

O Neotask e construido com seguranca como principio fundamental. Cada camada, da ativacao de licenca ao armazenamento de dados e comunicacao de rede, e projetada para proteger seus dados e impedir acesso nao autorizado.

Seguranca de Licenca

• Vinculacao de Dispositivo: Cada licenca e criptograficamente vinculada a um unico dispositivo via impressao digital SHA-256.
• Assinatura de Requisicoes HMAC-SHA256: Todas as requisicoes de API sao assinadas com um segredo por dispositivo, nonce e timestamp.
• Comparacao Segura por Tempo: Todas as comparacoes de segredos usam algoritmos de tempo constante para prevenir ataques de timing.
• Ciclo de Vida de Tokens: A expiracao de tokens de acesso e atualizacao e controlada no lado do servidor via claims JWT assinados, permitindo revogacao instantanea.
• Revalidacao Automatica: Sua licenca e verificada a cada 6 horas.
• Periodo de Graca Offline: 72 horas de acesso offline antes que a revalidacao seja necessaria.
• Revogacao Remota: Licencas podem ser revogadas no lado do servidor instantaneamente.

Autenticacao de Dois Fatores (TOTP)

O Neotask suporta autenticacao de dois fatores opcional (mas recomendada) para acesso ao painel.

• Compativel com Google Authenticator, Authy, 1Password e qualquer aplicativo compativel com TOTP.
• Codigos de backup sao fornecidos durante a configuracao. Esses codigos sao hasheados com SHA-256 e sao de uso unico.
• TOTP pode ser ativado ou desativado a qualquer momento na secao Seguranca nas configuracoes do seu painel.

Criptografia

Dados em Repouso

• AES-256-GCM: Todos os tokens, segredos e chaves de API sao criptografados em repouso.
• Chaves Derivadas da Maquina: Chaves de criptografia sao derivadas via scrypt da identidade do seu dispositivo.
• Sem Armazenamento em Texto Puro: Tokens nunca sao armazenados em texto puro.

Dados em Transito

• TLS 1.3: Toda comunicacao de API trafega por HTTPS.
• WebSocket Secure (WSS): Comunicacao do gateway em tempo real e criptografada.
• Assinatura HMAC: Toda requisicao inclui uma assinatura de nonce e timestamp.

Segredos de Ambiente

• Criptografia de Duas Camadas: Criptografia de ambiente em tempo de build usa chaves separadas.
• Sem Segredos Hardcoded: Zero chaves de API ou tokens existem no codigo-fonte.
• Redacao de Logs: Dados sensiveis sao automaticamente removidos dos logs.

Seguranca do Aplicativo Desktop

Endurecimento Electron

O Neotask aplica configuracoes de seguranca rigorosas do Electron para proteger o aplicativo desktop:

• sandbox: true: O processo de renderizacao roda em um ambiente sandboxed.
• contextIsolation: true: Sem acesso direto ao processo principal a partir da UI.
• nodeIntegration: false: Nenhuma API Node.js e exposta a UI.
• webSecurity: true: A politica de mesma origem e aplicada.

Content Security Policy (CSP)

• default-src 'self': Apenas recursos do proprio aplicativo sao carregados.
• script-src 'self': Nenhum script externo e permitido.
• Janelas popup sao bloqueadas.
• Navegacao e bloqueada para prevenir ataques de redirecionamento.
• Recarregamento de pagina e bloqueado para prevenir manipulacao de estado.

Integridade do Aplicativo

• Integridade ASAR: Verificacao de hash SHA-256 do aplicativo empacotado.
• Atestacao de Versao: Um manifesto assinado pelo servidor com capacidade de kill switch.
• Ofuscacao de Codigo: Ofuscacao JavaScript e aplicada em builds de producao.
• Modo de Falha Total: O aplicativo bloqueia completamente em qualquer falha de integridade.

Seguranca de Rede

Isolamento do Gateway

• O gateway roda apenas em loopback (127.0.0.1), o que significa zero exposicao de rede externa.
• Nenhuma conexao de entrada de fora da sua maquina e aceita.
• Concessoes de sessao tem tempo de vida de 10 minutos, sao vinculadas ao dispositivo e assinadas com HMAC.

Bloqueio de 3 Tentativas

• Apos 3 falhas consecutivas de operacao do gateway, todas as operacoes sao bloqueadas.
• Um reset manual e necessario para restaurar o acesso.
• Este mecanismo previne tentativas de forca bruta.

Seguranca de API

Metodos de Autenticacao

Limites de Taxa

Validacao de Entrada

• Todos os parametros IPC sao validados antes do processamento.
• Todas as entradas de API sao sanitizadas.
• Protecoes contra SQL injection, XSS e command injection estao implementadas.

Seguranca de Chaves do Provedor (BYOK)

Ao usar o modo Bring Your Own Key (BYOK), o Neotask aplica salvaguardas adicionais as suas chaves de API:

• Chaves de API sao criptografadas com AES-256-GCM antes do armazenamento.
• Chaves nunca sao registradas ou expostas em mensagens de erro.
• Chaves sao exibidas em formato mascarado no painel (apenas os ultimos 4 caracteres sao visiveis).
• Exclusao segura e realizada quando uma chave e removida.

Modo Seguro

O Neotask inclui um recurso de Modo Seguro que fornece um sandbox de execucao para agentes:

• Sandbox de execucao por agente isola as operacoes de cada agente.
• Operacoes sensiveis requerem aprovacao explicita do usuario antes de prosseguir.
• Um toggle mestre permite ativar ou desativar o Modo Seguro globalmente.
• Reativacao automatica por agendamento garante que o Modo Seguro seja reativado apos alteracoes temporarias.
• Sincronizacao de politicas em tempo real mantem as configuracoes consistentes em todas as conexoes.

Auditoria e Conformidade

• Todas as alteracoes de configuracao sao registradas com timestamps.
• Hashing de configuracao detecta modificacoes nao autorizadas.
• Telemetria de uso (opt-in) permite deteccao de anomalias.
• CORS e restrito apenas a dominios autorizados.
• Cabecalhos de seguranca Helmet sao aplicados em todas as respostas web.

Melhores Praticas

1. Ative TOTP no seu painel para autenticacao de dois fatores.
2. Baixe codigos de backup e armazene-os com seguranca.
3. Defina orcamentos diarios para prevenir cobranças inesperadas.
4. Use o modo BYOK se quiser controle total sobre suas chaves de API.
5. Mantenha o aplicativo atualizado, pois as atualizacoes automaticas incluem patches de seguranca.
6. Revise as permissoes dos agentes periodicamente nas configuracoes do Modo Seguro.