Kuraudo は個人が開発・維持している無料のオープンソースアプリです。セキュリティ問題への対応は可能な範囲で行いますが、即時対応や定期更新は保証できません。ソースコードは GPL-3.0 で公開しているため、懸念がある場合は自分でビルドして使用するか、コードを監査してください。

セキュリティ上の脆弱性を発見した場合は、公開 Issue を作成しないでください。

脆弱性が修正される前に公開されると、悪用されるリスクがあります。

GitHub Security Advisories（推奨）

• リポジトリの「Security」タブ → 「Report a vulnerability」から報告

• 脆弱性の種類（暗号化の欠陥、データ漏洩、認証バイパス等）
• 再現手順
• 影響範囲の推定
• 可能であれば修正案

個人プロジェクトのため、返信・修正には時間がかかる場合があります。重大な問題（暗号化の欠陥、データ漏洩につながるバグ等）は優先して対応します。軽微な問題は気が向いたときに対応します。

対象:

• 暗号化関連コード（crypto_engine.dart, kuraudo_file.dart）
• .kuraudo ファイルフォーマット
• 同期バックエンドの認証・通信（Google Drive / WebDAV / ローカルパス）
• パスワード生成器の乱数品質
• 認証情報の保管（SecureStorage 経由のキーストア利用）

対象外:

• ユーザーが意図的にマスターパスワードを弱く設定した場合
• ユーザーの端末自体が侵害されている場合（キーロガー等）
• サードパーティライブラリの脆弱性（上流に報告してください）
• Dart/Flutter の言語仕様上、対応が困難な制限（メモリのゼロ化等）

• 鍵派生: Argon2id（純Dart実装）
• 暗号化: AES-256-GCM（認証付き暗号化）
• すべての暗号化処理はローカルで実行。ネットワーク経由で平文データが送信されることはありません。

詳細は SECURITY-AUDIT.md を参照してください。