VAF 0.1.0a34: Besserer Schutz für Anmeldung und Sitzungen
VAF 0.1.0a34 schließt viele Sicherheitslücken und läuft mit dem Profil Lean (API), also über API-Anbieter, auch auf einem kleinen VPS ohne GPU.
0.1.0a34 ist veröffentlicht. Viele der behobenen Sicherheitslücken betreffen Anmeldung, Sitzungen und den HTTPS-Zugang. Bisher reichte schon das Passwort allein für den Zugriff auf die API, bevor der Code des zweiten Faktors eingegeben war. Abmelden löschte nur das Cookie im Browser, und auch eine Passwortänderung beendete keine Sitzung, sodass ein kopiertes Token bis zum Ende seines Tages gültig blieb. In den Einstellungen unter Konto siehst du jetzt jedes Gerät, das bei deinem Konto angemeldet ist, und meldest es bei Bedarf ab.
vaf updateZwei Funktionen sind neu.
- Auf einem kleinen VPS ohne GPU lässt sich VAF jetzt ohne lokale Modelle installieren. install.sh (Linux und macOS) fragt nach einem Profil, Full (local) bleibt der Standard, und Lean (API) lädt keine Modelle für Chat, Sprachanrufe, Spracherkennung und Sprachausgabe. Chat und Spracherkennung gehen dann an die API-Anbieter aus den Einstellungen, die Speichergrenzen der Container halbieren sich auf etwa 4 GB, und ein 7,5 GB großes Sprach-Image fällt weg.
- Alles, was VAF speichert, lässt sich mit vaf backup create in einer verschlüsselten Datei sichern, die VAF gleich nach dem Schreiben prüft. vaf backup restore spielt sie zurück, mit dem Wiederherstellungsschlüssel auch auf einem neuen Rechner. Kann sie die Sandbox-Umgebungen dort nicht wiederherstellen, lehnt sie ab, bevor sich etwas ändert. Auf einer Installation von vor 0.1.0a34 ersetzt du den Schlüssel dafür zuerst mit vaf secure renew-recovery-key und schreibst danach ein neues Backup.
Einen gemieteten Linux-Server ohne GPU richtest du mit diesem Befehl ein, eine bestehende Installation stellt vaf profile api --prune um. VAF ist dort nur für den Zugang über ein VPN gedacht, nicht fürs offene Internet.
./install.sh --server --profile apiDie Änderungen an Anmeldung und Sitzungen gelten erst nach einem Neustart von VAF. Eine Anmeldung auf einem anderen Gerät hält danach bis zu 30 Tage statt eines Tages und endet nach 7 Tagen ohne Nutzung; local_network_jwt_expiry_hours auf 24 stellt die tägliche Anmeldung wieder her. Eigene Skripte auf anderen Geräten brauchen ein Token aus Einstellungen, Konto, Tokens für Programme, die Ersteinrichtung von einem anderen Gerät einen Code aus vaf setup code. Auf einer bestehenden Installation ersetzt vaf secure rotate-db die mitgelieferten Datenbank-Passwörter, und eine installierte WhatsApp-Bridge bekommt den gepatchten Audio-Parser mit npm ci in vaf/whatsapp_node bei gestopptem VAF.