Seguranca

Visao Geral

O Neotask e construido com seguranca como principio fundamental. Cada camada -- da ativacao de licenca ao armazenamento de dados a comunicacao de rede -- e projetada para proteger seus dados e prevenir acesso nao autorizado.

Seguranca de Licenca

• Vinculacao ao Dispositivo: Cada licenca e criptograficamente vinculada a um unico dispositivo via impressao digital SHA-256.
• Assinatura de Requisicoes HMAC-SHA256: Todas as requisicoes de API sao assinadas com um segredo por dispositivo, nonce e timestamp.
• Comparacao com Tempo Seguro: Todas as comparacoes de segredos usam algoritmos de tempo constante para prevenir ataques de temporalizacao.
• Ciclo de Vida de Token: A expiracao de tokens de acesso e atualizacao e controlada no servidor via claims JWT assinados, permitindo revogacao instantanea.
• Revalidacao Automatica: Sua licenca e verificada a cada 6 horas.
• Periodo de Graca Offline: 72 horas de acesso offline antes que a revalidacao seja necessaria.
• Revogacao Remota: Licencas podem ser revogadas instantaneamente no lado do servidor.

Autenticacao de Dois Fatores (TOTP)

O Neotask suporta autenticacao de dois fatores opcional (mas recomendada) para acesso ao dashboard.

• Compativel com Google Authenticator, Authy, 1Password e qualquer app compativel com TOTP.
• Codigos de backup sao fornecidos durante a configuracao. Esses codigos sao hashed com SHA-256 e sao de uso unico.
• O TOTP pode ser habilitado ou desabilitado a qualquer momento pela secao Seguranca nas configuracoes do seu dashboard.

Criptografia

Dados em Repouso

• AES-256-GCM: Todos os tokens, segredos e chaves de API sao criptografados em repouso.
• Chaves Derivadas da Maquina: Chaves de criptografia sao derivadas via scrypt da identidade do seu dispositivo.
• Sem Armazenamento em Texto Simples: Tokens nunca sao armazenados em texto simples.

Dados em Transito

• TLS 1.3: Toda comunicacao de API trafega por HTTPS.
• WebSocket Seguro (WSS): Comunicacao em tempo real do gateway e criptografada.
• Assinatura HMAC: Cada requisicao inclui uma assinatura com nonce e timestamp.

Segredos de Ambiente

• Criptografia em Duas Camadas: Criptografia de ambiente em tempo de build usa chaves separadas.
• Sem Segredos Hardcoded: Zero chaves de API ou tokens existem no codigo-fonte.
• Redacao de Logs: Dados sensiveis sao automaticamente removidos dos logs.

Seguranca do Aplicativo Desktop

Endurecimento do Electron

O Neotask aplica configuracoes rigorosas de seguranca do Electron para proteger o aplicativo desktop:

• sandbox: true -- O processo renderer roda em um ambiente sandboxed.
• contextIsolation: true -- Sem acesso direto ao processo principal pela UI.
• nodeIntegration: false -- Nenhuma API Node.js e exposta a UI.
• webSecurity: true -- A politica de mesma origem e aplicada.

Politica de Seguranca de Conteudo (CSP)

• default-src 'self' -- Apenas recursos do proprio app sao carregados.
• script-src 'self' -- Nenhum script externo e permitido.
• Janelas popup sao bloqueadas.
• Navegacao e bloqueada para prevenir ataques de redirecionamento.
• Recarga de pagina e bloqueada para prevenir manipulacao de estado.

Integridade do App

• Integridade ASAR: Verificacao de hash SHA-256 do app empacotado.
• Atestacao de Versao: Manifesto assinado pelo servidor com capacidade de kill switch.
• Ofuscacao de Codigo: Ofuscacao de JavaScript e aplicada em builds de producao.
• Modo de Falha Rigida: O app bloqueia completamente em qualquer falha de integridade.

Seguranca de Rede

Isolamento do Gateway

• O gateway roda em loopback apenas (127.0.0.1), significando que ha zero exposicao de rede externa.
• Nenhuma conexao de entrada de fora da sua maquina e aceita.
• Concessoes de sessao tem um tempo de vida de 10 minutos, sao vinculadas ao dispositivo e assinadas com HMAC.

Bloqueio por 3 Tentativas

• Apos 3 falhas consecutivas de operacao do gateway, todas as operacoes sao bloqueadas.
• Uma redefinicao manual e necessaria para restaurar o acesso.
• Este mecanismo previne tentativas de forca bruta.

Seguranca da API

Metodos de Autenticacao

Limitacao de Taxa

Validacao de Entrada

• Todos os parametros IPC sao validados antes do processamento.
• Todas as entradas de API sao sanitizadas.
• Protecoes contra injecao SQL, XSS e injecao de comandos estao implementadas.

Seguranca de Chaves de Provedor (BYOK)

Ao usar o modo Traga Sua Propria Chave (BYOK), o Neotask aplica salvaguardas adicionais as suas chaves de API:

• Chaves de API sao criptografadas com AES-256-GCM antes do armazenamento.
• Chaves nunca sao registradas em log ou expostas em mensagens de erro.
• Chaves sao exibidas em forma mascarada no dashboard (apenas os ultimos 4 caracteres sao visiveis).
• Exclusao segura e realizada quando uma chave e removida.

Modo Seguro

O Neotask inclui um recurso de Modo Seguro que fornece um sandbox de execucao para agentes:

• Sandbox de execucao por agente isola as operacoes de cada agente.
• Operacoes sensiveis requerem aprovacao explicita do usuario antes de prosseguir.
• Um toggle principal permite habilitar ou desabilitar o Modo Seguro globalmente.
• Reativacao automatica por agendamento garante que o Modo Seguro seja reativado apos alteracoes temporarias.
• Sincronizacao de politica em tempo real mantem as configuracoes consistentes em todas as conexoes.

Auditoria e Conformidade

• Todas as alteracoes de configuracao sao registradas com timestamps.
• Hashing de configuracao detecta modificacoes nao autorizadas.
• Telemetria de uso (opt-in) permite deteccao de anomalias.
• CORS e restrito apenas a dominios autorizados.
• Cabecalhos de seguranca Helmet sao aplicados em todas as respostas web.

Melhores Praticas

1. Habilite TOTP no seu dashboard para autenticacao de dois fatores.
2. Baixe codigos de backup e armazene-os com seguranca.
3. Defina orcamentos diarios para prevenir cobranças inesperadas.
4. Use o modo BYOK se voce quer controle total sobre suas chaves de API.
5. Mantenha o app atualizado -- atualizacoes automaticas incluem patches de seguranca.
6. Revise permissoes de agentes periodicamente nas configuracoes do Modo Seguro.