Security Notes

Eine kurze, öffentliche Übersicht über die Sicherheitslage von Stego-Lab: was geprüft wurde und wo die ehrlichen Grenzen liegen — ohne sensible Implementierungsdetails. Ein ausführlicheres internes Audit existiert und bleibt vertraulich.

Datenschutzhaltung

On-device only. Bildverarbeitung, Encoding, Decoding und Metadaten-Bearbeitung laufen lokal ab. Es gibt kein Cloud-Backend und keinen Account.
Kein Tracking, keine Telemetrie, keine Drittanbieter-Calls. Die Website selbst lädt keine Analytics, keine Remote-Skripte und keine externen Schriften; eine Content Security Policy (script-src 'none', connect-src 'none') erzwingt dies.
App Store Privacy Label: Data Not Collected.

Was geprüft wurde

Klassen, die vom internen Audit abgedeckt sind (keine sensiblen Details veröffentlicht):

Passwort-Handling und Key-Derivation (der Password-Byte-Vertrag ist für Rückwärtskompatibilität eingefroren)
Image-Loading-Guards gegen fehlerhafte / übergroße Inputs
Temporärdatei-Lebenszyklus und Cleanup
Fehlermeldungen auf sensible Daten geprüft (Redaktion)
Legacy-Format-Handling und Read-Only-Kompatibilitäts-Pfade

Bekannte Grenzen

Steganografie ist keine Unsichtbarkeit. AES verschlüsselt den Payload-Inhalt. Die Existenz eines versteckten Kanals kann statistisch erkennbar sein (z. B. RS-Analyse, Chi-Quadrat-Tests). Nutze Stego-Lab für Inhalts-Vertraulichkeit, nicht als Beweis, dass nichts versteckt ist.
JPEG zerstört versteckte Daten. Verlustbehaftete Neukomprimierung (inkl. Social-Media-Re-Encoding beim Upload) löscht LSB-Payloads. Exportiere und teile unsichtbare Payloads als PNG oder TIFF, niemals JPEG.
Passwort-Stärke liegt bei dir. Ein schwaches Passwort schwächt die AES-Verschlüsselung unabhängig von der App.

Meldung

Bitte melde Sicherheitslücken vertraulich — nicht in einem öffentlichen Issue: