Самостоятелно проведени тестове за сигурност #
Това са тестове, проведени от самия доставчик. Извършват се от оператора, а не от независим оценител, и не заместват независимия външен тест за проникване, отбелязан на Trust. Публикуват се, защото съдържанието им е полезно за оценяващия доставчика дори когато липсва независимост.
Последна актуализация: 2026-10-18.
Проведени тестове #
| Дата | Вид | Обхват | Резултат |
|---|---|---|---|
| 2026-05-26 | Оценка на сигурността на ниво код | Статичен анализ, одит на зависимостите и ръчен преглед на удостоверяването, оторизацията и обработката на файлове | Обработката на качванията е определена като областта с най-висок риск. Констатациите са заведени в системата за проследяване и отстранени: сървърно ограничение на броя прикачени файлове, оторизация на директните качвания и почистване на параметри и IP адреси в дневниците |
| 2026-05-26 | Външен тест в продукционна среда, неразрушителен | Заглавни части на отговорите, конфигурация на TLS, публични страници и заявки за метаданни към продукционния хост | Пропуски в покритието на заглавните части на отговорите и липсващи метаданни за контакт по сигурността; зависимостта от външни CDN за статични ресурси е оценена като среден риск. Отстранено на 2026-05-27: метаданните за контакт по сигурността са публикувани, а защитата срещу отгатване на типа съдържание е разширена към статичните ресурси |
| 2026-06-09 | Преглед на удостоверяването | Обработка на бисквитки, жизнен цикъл на сесията, процеси с магически връзки и покани | Две констатации с информативна тежест. Отстранени на 2026-06-14: бисквитката за чакащо удостоверяване е преместена в криптирано хранилище, така че адресът не е четим от страна на клиента; обявеният срок на бисквитката за сесия вече съответства на сървърния срок на бездействие от 14 дни. Една констатация с ниска тежест: адресите на каналите за сигнали се извличаха от последователни идентификатори, така че съвкупността от организации клиенти можеше да бъде изброена. Отстранено на 2026-08-12: всеки канал има частен случаен адрес, а страницата, показвана за неактивен канал, вече не посочва организацията |
| 2026-08-27 | Удостоверен graybox тест | Достъп между организации, повишаване на права, mass assignment, достъп до сигнали в рамките на една организация, поверителност на прикачените файлове, изолация на SCIM и доверие в SAML твърденията | Не са открити дефекти в оторизацията. Границите на организация и роля издържаха във всеки тестван случай |
| 2026-08-27 | Преглед на експозицията в продукционна среда | Мрежова експозиция, укрепване на хоста, обработка на прокси заглавни части и работа с тайни | Заглавните части за препращане, подавани от клиента, се приемаха за доверени на origin, изложен пряко към интернет, което би позволило заобикаляне на ограниченията по IP адрес. Отстранено в същия ден. Премахната е и заглавна част, разкриваща времето за обработка на сървъра за всяка заявка. Остарялата заглавна част Feature-Policy беше заменена с Permissions-Policy на 2026-09-05 |
| 2026-09-08 | Удостоверен преглед на доставката на файлове и съхранението в браузъра | Директно изтегляне на експорти на данни и гласови записи, достъп с известни URL адреси на файлове между организации и след премахване на членство, бутонът „Назад“ на браузъра след излизане от профила | Три констатации, всяка от които изисква потребител, който вече е оторизиран и разполага с подписан URL адрес на файл, или споделен браузър. Изтекъл експорт на данни все още можеше да бъде изтеглен от запазен URL адрес без повторно удостоверяване. Служител, обработващ сигнали, можеше да изтегли оригинален гласов запис, преди анонимизирането му да е завършило. След отнемане на сесия бутонът „Назад“ на браузъра можеше да покаже отново сигнал от кеша си. Отстранено на 2026-09-10: доставката на файлове вече прилага същите правила за изтичане на срока, повторно удостоверяване и обработка като страницата, която съдържа връзка към файла, а чувствителните страници и частните файлове вече не се съхраняват от браузъра. Достъпът между организации и от премахнати членове беше отказан във всеки тестван случай |
| 2026-09-26 | Преглед на обработката на сесиите на ниво код | Идентифициране на сесиите и поведението им след възстановяване на базата данни | Сесиите се идентифицираха чрез идентификатора си в базата данни. Възстановяването връща идентификаторите назад, така че ново влизане можеше да получи идентификатор, който все още се съдържа в запазила се бисквитка, и да продължи сесията на онзи потребител. Отстранено в същия ден: сесиите се идентифицират чрез случаен токен, а всички съществуващи сесии бяха прекратени |
| 2026-09-28 | Преглед на дневниците на канала за сигнали | Дневници от страна на приложението, записвани, докато подател на сигнал използва канала за сигнали | Два компонента все още записваха IP адресите на подателите на сигнали: дневникът на заявките на уеб сървъра и предупреждението на защитата срещу спам. И двата са премахнати в същия ден. Собственият дневник на заявките на TLS проксито, който записва IP адреса на всяка заявка, не е променен и е описан на Security#ip-addresses |
| 2026-10-16 | Преглед на ниво код спрямо актуалните изследвания на атаки срещу Rails | Обработка на качванията, декодиране на изображения, обработка на подписани съобщения, дневници на заявките, съхранени съобщения в реално време, генериран програмен код за оторизация | Премахването на метаданните избираше метода си според типа, деклариран от браузъра, така че снимка, качена като общ файл, запазваше метаданните си за местоположение и устройство. SVG декодерът на библиотеката за изображения, блокиран при стартиране, се активираше отново за целия процес, след като бъдеше генерирано изображение за преглед на връзка. Подписаните и криптираните съобщения все още приемаха формат на сериализация, който превръща изтекла тайна на приложението в изпълнение на код. Дневниците на заявките записваха имената на прикачените файлове и краткотрайни токени за изтегляне. Известията в реално време, които съдържат номера на преписката на сигнала, се съхраняваха некриптирани в продължение на един ден. Шаблонът за нови политики за оторизация пропускаше филтъра по организация; нито една съществуваща политика не беше засегната. Всичко е отстранено в същия ден |
| 2026-10-16 | Криминалистична проверка в продукционна среда (CVE-2026-66066) | Проверка само за четене на всеки файл, съхранен преди корекцията, за специално изработени заглавни части на изображения, изображения, чиито пиксели се декодират като сървърни файлове, и останали идентифициращи метаданни | Не са открити доказателства за експлоатация в запазените данни, нито изображение към сигнал, което все още да съдържа идентифициращи метаданни. Файловете, които биха могли да бъдат качени през изложения път за директно качване, отворен от 2026-04-13 до 2026-05-12, са изтрити от ежедневното почистване на неприкачени файлове и вече не могат да бъдат проверени |
| 2026-10-17 | Преглед на експозицията в продукционна среда | Дневник на заявките на обратното прокси, ограничения за размера на заявките, сканиране на образа на контейнера за уязвимости | Обратното прокси записва в дневника пътя на всяка заявка, а пътищата за изтегляне на прикачени файлове включваха името на файла. Телата на заявките с размер до 1 GB се буферираха на диска, преди приложението да ги валидира. Образът на контейнера се сканираше за уязвимости на операционната система веднъж месечно, при ангажимент критичните корекции да се прилагат в срок от 7 дни. Отстранено в същия ден: в нито една от двете стъпки при изтегляне на прикачен файл пътят не съдържа името на файла, размерът на телата на заявките е ограничен малко над най-големия легитимен сигнал, а образът се сканира ежеседмично |
| 2026-10-17 | Мутационно тестване на правилата за оторизация | Политиките за достъп до сигнали, документи към сигнали и канали за сигнали, като всяко правило е умишлено променено, за да се потвърди, че тестовият пакет открива промяната | Всяка промяна в тези политики беше открита. Не е открит дефект в оторизацията |
| 2026-10-18 | Преглед на кода преди независимата оценка | Полета за качване и достъп до файлове, премахване на метаданни, блокиране до антивирусната проверка, роли по преписките, администриране на платформата, регистриране на удостоверяването, докладване на грешки, пароли на сигнализиращите лица | Десет констатации. Девет отстранени в същия ден: поле за качване приемаше идентификатора на вече съхранен файл, така че потребител можеше да прикачи файл, който не е качил, и след това да го отвори (връзките към файлове вече изтичат и след един час); след премахване на метаданните от PDF файл първоначалният автор оставаше възстановим от по-ранна редакция на файла; експортът на данни включваше файлове, които не са преминали антивирусната проверка, а файл, чиято проверка никога не е била насрочена, се предоставяше непроверен; Наблюдател, назначен по преписка, можеше да действа по нея; административният панел на платформата не изискваше втори фактор; еднократните кодове за вход и SAML твърденията достигаха до услугата за наблюдение на грешки; неуспешните влизания, неуспешните търсения на преписки и достигнатите ограничения на заявките не оставяха следа; сигнализиращите лица сами избираха своята шестцифрена парола, затова се приемаше и често срещан избор като 123456 (новите сигнали получават 16-цифрена парола, генерирана от системата; сигналите, подадени по-рано, запазват своята, вж. Известни отворени констатации). Проверка само за четене на продукционната среда не откри съхранен PDF файл на сигнал, нито акаунт на Наблюдател, така че нито един от тези два проблема не е засегнал преписка. Останалата е посочена сред известните отворени констатации |
Известни отворени констатации #
| Констатация | Позиция |
|---|---|
| Няма защитна стена за уеб приложения и няма CDN пред origin на приложението | Съзнателно решение. Директният хостинг на приложението и файловете е в ЕС, докато веригата за имейл и телеметрия може да включва последваща обработка извън ЕИП. Защитата срещу DDoS на мрежово ниво при хостинг доставчика заедно с ограничаването на заявките на ниво приложение е настоящият компромис. |
| Профилните снимки на служителите се съхраняват с оригиналните метаданни на файла | Умишлено. Премахването на метаданни защитава сигнализиращите лица и техните доказателства. Профилната снимка се избира и качва от човека, който е на нея. |
| Сигналите, подадени преди 18 октомври 2026 г., запазват 6-цифрената парола, избрана при подаването им от сигнализиращото лице или, при сигнал, регистриран от служители, от обработващия | Прието. Тези пароли продължават да работят и не се заменят. При влизане са разрешени 10 опита за парола на номер на преписката за 10 минути, от всеки IP адрес. |
Какво не установява това #
- Операторът избра обхвата, проведе тестовете и докладва резултатите. Нищо от това не е проверено независимо.
- Преминаване без констатации е доказателство за тестваните случаи, а не за нетестваните.
- Контрол A.5.35 от самооценката по ISO/IEC 27001:2022, независимият преглед на информационната сигурност, остава отворен по тази причина. Това е единственият контрол от Приложение А на онази страница, заведен като в процес на третиране, а същото ограничение задържа клауза 9.2 (вътрешен одит) като частично изпълнена — вижте записа от вътрешния одит.
Последна актуализация: