Безопасность
и ваши данные

Главное

Этот документ описывает поведение кода, а не результаты независимого аудита или полного перехвата трафика. Публикация исходников помогает проверке, но не гарантирует отсутствие ошибок.

• Дополнение Foleam Voice устанавливается отдельно, по вашему действию.
• Обновление не удаляет игровые миры и сборки.
• Токены аккаунтов шифруются на диске средствами Windows.

Установка и реестр

Лаунчер устанавливается для текущего пользователя Windows. Папка %LOCALAPPDATA%\Programs\Foleam Launcher является обычным местом такой установки, а не способом скрыть приложение.

Понятное имя ключа

Начиная с версии 1.2.3 настройки установщика находятся в HKCU\Software\Foleam Launcher. При обновлении программа находит прежнюю установку. Известные значения старого ключа удаляются только после успешной установки в ту же папку.

Запись удаления Windows сохраняет прежний стабильный идентификатор для совместимости. Наличие GUID само по себе не свидетельствует о вредоносном поведении.

Без дополнительной копии установщика

С версии 1.2.2 отключено копирование installer.exe в папку foleam-launcher-minecraft-updater. Там могла остаться копия от старой версии: обновление не удаляет её автоматически.

• Можно выбрать ярлыки на рабочем столе и в меню «Пуск».
• Проверка запущенного лаунчера выполняется без PowerShell и принудительного закрытия игры.
• Вспомогательный elevate.exe не включён; автоматическое повышение прав отключено.
• Сторонние установщики сред выполнения не входят в комплект. Java и игровые компоненты загружаются отдельно при использовании лаунчера.

Значок в списке загрузок определяет браузер. Логотип внутри установщика не гарантирует его показ в интерфейсе браузера.

Аккаунты и файлы

Токены доступа и обновления в accounts.json шифруются через Electron safeStorage с использованием Windows DPAPI. Старые записи переносятся при успешном чтении. Ошибка расшифровки не подменяется пустым списком аккаунтов.

Пароль Microsoft не сохраняется в accounts.json. После переноса зашифрованного файла на другой компьютер может потребоваться повторный вход.

После переноса токенов в зашифрованный формат не используйте старую версию лаунчера с тем же профилем. Шифрование защищает файл на диске, но не от вредоносного процесса, работающего под тем же пользователем Windows.

Обновления лаунчера

1. Проверка версии. Лаунчер запрашивает сведения об обновлении на mailan1.ru.
2. Загрузка по кнопке. Установщик сохраняется в папку updates профиля лаунчера.
3. Проверка файла. Сверяются размер и SHA-256; перед запуском файл проверяется повторно.
4. Ваше подтверждение. Запуск установщика требует согласия пользователя. Перед обновлением нужно закрыть Minecraft.

SHA-256 позволяет обнаружить повреждение или изменение файла относительно опубликованной суммы. Эта проверка не защищает, если злоумышленник изменил одновременно файл и сведения о нём на сервере.

Дополнение Foleam Voice

Голосовые лобби доступны после отдельной установки дополнения в настройках. Размер и SHA-256 пакета закреплены в каталоге установленного лаунчера и проверяются перед сохранением и открытием.

Изоляция и микрофон

Дополнение открывается в отдельном изолированном окне: без Node.js, с включёнными sandbox и context isolation. Доступ к микрофону запрашивается отдельно и ограничен этим окном. Доступ к камере, файлам через Node.js, дополнительным окнам и произвольной навигации не предоставляется.

Закрытие окна, отключение или удаление дополнения останавливает его голосовое соединение.

Приглашения и приватность

• Для участия нужен подходящий аккаунт Mailan1. В лобби могут войти до 8 участников.
• Любой обладатель кода с таким аккаунтом может присоединиться, пока лобби открыто и есть место. Делитесь приглашением только с нужными людьми.
• При прямом WebRTC-соединении сетевые адреса участников могут быть доступны друг другу. Работа через TURN зависит от настроек хостинга.
• Сервер лобби не записывает звук. Это не исключает запись другим участником на его устройстве.
• Комнаты хранятся в памяти: закрываются, когда все вышли, при перезапуске сервера или по лимиту 4 часа.

Приглашения в браузере используют клиент с сайта. Установленное дополнение использует локальный пакет с закреплённой контрольной суммой.

Куда идут сетевые запросы

Microsoft и Xbox Live

Вход, обновление токенов, профиль и смена скина, включая api.minecraftservices.com.

Mojang и Minecraft

Версии и игровые файлы: piston-meta.mojang.com, resources.download.minecraft.net и адреса из манифестов.

Adoptium и загрузчики модов

Java; выбранные Forge, NeoForge и Fabric.

Modrinth

Поиск и установка выбранных модов через api.modrinth.com и адреса загрузок Modrinth.

mc-heads.net

Изображение по игровому нику. Сервис получает ник и видит IP-адрес.

Mailan1.ru

Вход Mailan1, каталог стримов, активность игры для стримов, обновления, скачивание дополнения и управление голосовыми лобби.

Видеоплатформы и прокси

Просмотр выбранных трансляций. Прокси не делает пользователя анонимным перед его владельцем.

Ely.by и GitHub

Ely.by при соответствующем способе входа; GitHub для загрузки authlib-injector в поддерживаемом способе авторизации.

WebRTC, STUN и TURN

Установка голосового соединения, обмен звуком с участниками и ретрансляция, когда она настроена.

Соединения самой игры, сторонних модов и игровых серверов не ограничиваются этим списком.

Ограничения защиты

Проверяется источник обращений к функциям лаунчера: разрешены его главное окно и основной фрейм. Политика CSP блокирует встроенные и удалённые скрипты, вложенные фреймы и плагины локального интерфейса. Внешние ссылки через IPC ограничены HTTP/HTTPS без встроенных паролей.

Локальный интерфейс основного лаунчера пока использует Node.js. Полное разделение его привилегий требует отдельной доработки. Окна входа, стримов и голосового дополнения изолированы и не получают Node.js.

Java и моды исполняют код на компьютере. Используйте доверенные источники. Эти меры являются постепенным усилением защиты, а не гарантией невозможности взлома.

Что означают старые журналы установки

Исходный код и документация

• Исходный код Foleam Launcher на GitHub
• Архив исходников и контрольная сумма
• Документация electron-builder: NSIS
• Документация Electron: safeStorage
• Документация Microsoft: контроль приложений PowerShell