Resumo
O FromHEIC processa seus arquivos no navegador, dentro de um Web Worker, sem componente no lado do servidor. Isso reduz alguns riscos, mas não elimina todos. Nada é “100% seguro”, e não afirmamos isso.
O que o navegador nos dá
- O sandbox. As páginas web rodam em um ambiente restrito. Uma página não pode ler seu disco livremente. Ela só recebe os arquivos que você escolhe.
- Sem caminho de envio, por projeto. As ferramentas não têm componente de servidor, então não existe um lugar do nosso lado onde seu arquivo possa parar.
- Content-Security-Policy (CSP). O site envia uma CSP que limita as conexões de rede à própria origem e ao Google Analytics, que só carrega se você aceitar. Se um script da página tentasse enviar sua foto para qualquer outro domínio, o navegador bloquearia essa conexão.
- Codecs na mesma origem. Decodificadores e codificadores são arquivos WebAssembly servidos por este domínio e carregados só quando necessário.
- Web Worker. A decodificação pesada roda em um worker, separado da interface da página.
O risco que permanece: os codecs
Parsers de imagem já tiveram vulnerabilidades reais. Por exemplo, CVE-2023-41064 é um registro CVE publicado para um software que trata imagens. A página do registro exige JavaScript, então leia lá o produto afetado e os detalhes. Citamos o caso como prova de que processar imagens não confiáveis é uma fonte conhecida de bugs, não para dizer algo específico sobre o FromHEIC.
O FromHEIC usa bibliotecas de código aberto (libheif, libde265, libwebp, libavif/aom). Um arquivo malicioso ou danificado pode acionar um bug nelas. O sandbox do WebAssembly e as proteções do próprio navegador servem para conter esse bug dentro da aba, mas um bug no navegador ainda poderia ter importância. Mantenha o navegador atualizado.
Limites práticos
- Os limites de 200 MB por arquivo, 100 megapixels por imagem e 200 arquivos por lote reduzem a chance de uso descontrolado de memória, mas não a eliminam.
- Os tipos de arquivo são identificados pelo conteúdo, e as saídas são reanalisadas antes do download. Isso confere a estrutura, não a intenção.
- A remoção de metadados cobre os campos padrão EXIF, XMP e GPS que a ferramenta lê. Isso não garante que uma foto seja anônima. A própria imagem pode revelar coisas.
- Um link de mapa no visualizador de metadados abre um site externo (OpenStreetMap) somente depois que você aperta um botão.
- O site não consegue proteger um dispositivo que já esteja comprometido, nem arquivos que você compartilhe depois.
Hábitos que recomendamos
- Mantenha o navegador e o sistema operacional atualizados.
- Tenha cuidado com arquivos de remetentes desconhecidos. Veja o guia sobre segurança de arquivos de imagem.
- Use o verificador de arquivos e a verificação de integridade para inspecionar arquivos estranhos antes de converter.
- Guarde seus originais.
- Remova os dados de localização antes de publicar fotos.
Como relatar uma vulnerabilidade
Envie um e-mail para contact@gohammer.mobi com a página, seu navegador e os passos para reproduzir. Evite publicar detalhes até que o responsável tenha tido a chance de responder. O operador é Hammer Desenvolvimento de Software.