Interno provedena sigurnosna testiranja #
Riječ je o testiranjima u vlastitoj režiji. Provodi ih operater, a ne neovisni ocjenjivač, i ne zamjenjuju neovisni vanjski test prodora koji je evidentiran na stranici Trust. Objavljuju se jer je njihov sadržaj koristan onome tko ih pregledava i onda kada nedostaje neovisnost.
Posljednje ažuriranje: 2026-10-18.
Provedena testiranja #
| Datum | Vrsta | Opseg | Ishod |
|---|---|---|---|
| 2026-05-26 | Sigurnosna procjena na razini koda | Statička analiza, revizija ovisnosti te ručni pregled autentifikacije, autorizacije i rukovanja datotekama | Rukovanje učitavanjem datoteka utvrđeno je kao područje najvišeg rizika. Nalazi su evidentirani u sustavu za praćenje i otklonjeni: ograničenje broja privitaka na poslužitelju, autorizacija izravnih učitavanja te čišćenje parametara i IP adresa u zapisima |
| 2026-05-26 | Vanjski test u produkciji, nerazoran | Zaglavlja odgovora, konfiguracija TLS-a, javne stranice i upiti za metapodatke prema produkcijskom poslužitelju | Praznine u pokrivenosti zaglavlja odgovora i nedostatak metapodataka sigurnosnog kontakta; ovisnost o CDN-ovima trećih strana za statične resurse ocijenjena je kao srednji rizik. Otklonjeno 2026-05-27: metapodaci sigurnosnog kontakta objavljeni, a zaštita od pogađanja vrste sadržaja proširena na statične resurse |
| 2026-06-09 | Pregled autentifikacije | Rukovanje kolačićima, životni ciklus sesije, tokovi magičnih poveznica i pozivnica | Dva nalaza informativne težine. Otklonjena 2026-06-14: kolačić za autentifikaciju na čekanju premješten je u šifrirano spremište pa adresa nije čitljiva na strani klijenta; navedeni istek kolačića sesije sada odgovara poslužiteljskom roku neaktivnosti od 14 dana. Jedan nalaz niske težine: adrese kanala za prijavu nepravilnosti izvodile su se iz uzastopnih identifikatora pa se mogao popisati skup organizacija korisnika. Otklonjeno 2026-08-12: svaki kanal za prijavu nepravilnosti ima privatnu nasumičnu adresu, a stranica koja se prikazuje za neaktivan kanal za prijavu nepravilnosti više ne imenuje organizaciju |
| 2026-08-27 | Autentificirano graybox testiranje | Pristup među organizacijama, eskalacija ovlasti, mass assignment, pristup prijavama unutar iste organizacije, povjerljivost privitaka, izolacija SCIM-a i povjerenje u SAML tvrdnje | Nisu pronađeni nedostaci u autorizaciji. Granice organizacije i uloge održale su se u svakom ispitanom slučaju |
| 2026-08-27 | Pregled izloženosti u produkciji | Mrežna izloženost, otvrdnjavanje poslužitelja, rukovanje proxy zaglavljima i postupanje s tajnama | Zaglavlja prosljeđivanja koja šalje klijent smatrala su se pouzdanima na izvoru izravno izloženom internetu, što bi omogućilo zaobilaženje ograničenja broja zahtjeva po IP adresi. Ispravljeno istoga dana. Uklonjeno je i zaglavlje koje je otkrivalo vrijeme obrade na poslužitelju po zahtjevu. Zastarjelo zaglavlje Feature-Policy zamijenjeno je zaglavljem Permissions-Policy 2026-09-05 |
| 2026-09-08 | Autentificirani pregled isporuke datoteka i zadržavanja u pregledniku | Izravno preuzimanje izvoza podataka i glasovnih snimki, pristup s poznatim URL-ovima datoteka među organizacijama i nakon uklanjanja članstva, gumb Natrag u pregledniku nakon odjave | Tri nalaza, od kojih je svaki zahtijevao korisnika koji je već bio ovlašten i imao potpisani URL datoteke ili zajednički preglednik. Istekli izvoz podataka i dalje se mogao preuzeti sa zadržanog URL-a bez ponovne autentifikacije. Osoba za rješavanje mogla je preuzeti izvornu glasovnu snimku prije dovršetka njezine anonimizacije. Nakon opoziva sesije gumb Natrag u pregledniku mogao je ponovno prikazati prijavu iz njegove predmemorije. Otklonjeno 2026-09-10: isporuka datoteka sada provodi ista pravila isteka, ponovne autentifikacije i obrade kao stranica koja upućuje na datoteku, a preglednik više ne pohranjuje osjetljive stranice ni privatne datoteke. Pristup među organizacijama i pristup uklonjenih članova odbijen je u svakom ispitanom slučaju |
| 2026-09-26 | Pregled rukovanja sesijama na razini koda | Identifikacija sesija i njezino ponašanje nakon vraćanja baze podataka | Sesije su se identificirale svojim identifikatorom iz baze podataka. Vraćanje baze vraća identifikatore unatrag, pa je novo prijavljivanje u sustav moglo dobiti identifikator koji je preostali kolačić još sadržavao i nastaviti sesiju tog korisnika. Otklonjeno istoga dana: sesije se identificiraju nasumičnim tokenom, a sve postojeće sesije su prekinute |
| 2026-09-28 | Pregled zapisnika kanala za prijavu nepravilnosti | Zapisnici na strani aplikacije koji nastaju dok prijavitelj koristi kanal za prijavu nepravilnosti | Dvije komponente još su zapisivale IP adrese prijavitelja: zapisnik zahtjeva web poslužitelja i upozorenje zaštite od neželjenih poruka. Oboje je uklonjeno istoga dana. Vlastiti zapisnik zahtjeva TLS posredničkog poslužitelja, koji bilježi IP adresu svakog zahtjeva, nije promijenjen i opisan je na stranici Sigurnost |
| 2026-10-16 | Pregled na razini koda prema aktualnim istraživanjima napada na Rails | Obrada učitanih datoteka, dekodiranje slika, rukovanje potpisanim porukama, zapisnici zahtjeva, pohranjene poruke u stvarnom vremenu, generirani programski kod za autorizaciju | Uklanjanje metapodataka biralo je metodu prema vrsti koju je naveo preglednik, pa je fotografija učitana kao generička datoteka zadržavala metapodatke o lokaciji i uređaju. Dekoder SVG-a u biblioteci za slike, blokiran pri pokretanju, ponovno se uključivao za cijeli proces nakon što bi se generirala slika za pretpregled poveznice. Potpisane i šifrirane poruke i dalje su prihvaćale format serijalizacije koji procurjeli tajni ključ aplikacije pretvara u izvršavanje koda. Zapisnici zahtjeva bilježili su nazive priloženih datoteka i kratkotrajne tokene za preuzimanje. Obavijesti u stvarnom vremenu, koje sadrže ID slučaja prijave, pohranjivale su se nešifrirano jedan dan. Predložak za nove politike autorizacije izostavljao je filtar organizacije; nijedna postojeća politika nije bila zahvaćena. Sve je otklonjeno istoga dana |
| 2026-10-16 | Forenzička provjera u produkciji (CVE-2026-66066) | Pregled samo za čitanje svake datoteke pohranjene prije ispravka, radi otkrivanja posebno oblikovanih zaglavlja slika, slika čiji se pikseli dekodiraju kao datoteke s poslužitelja i preostalih identifikacijskih metapodataka | Nema dokaza o iskorištavanju u zadržanim podacima ni slike iz prijave koja još sadrži identifikacijske metapodatke. Datoteke koje su se mogle učitati kroz izloženu putanju za izravno učitavanje, otvorenu od 2026-04-13 do 2026-05-12, uklonjene su dnevnim čišćenjem nepriloženih datoteka i više ih nije moguće ispitati |
| 2026-10-17 | Pregled izloženosti u produkciji | Zapisnik zahtjeva obrnutog posredničkog poslužitelja (reverse proxy), ograničenja veličine zahtjeva, skeniranje slike kontejnera na ranjivosti | Obrnuti posrednički poslužitelj bilježi putanju svakog zahtjeva, a putanje za preuzimanje privitaka sadržavale su naziv datoteke. Tijela zahtjeva do 1 GB međuspremala su se na disk prije nego što bi ih aplikacija provjerila. Slika kontejnera skenirala se na ranjivosti operacijskog sustava jednom mjesečno, iako obveza za kritične ispravke iznosi 7 dana. Otklonjeno istoga dana: nijedan od dvaju koraka preuzimanja privitka ne sadrži naziv datoteke u svojoj putanji, tijela zahtjeva ograničena su na vrijednost malo iznad najveće legitimne prijave, a slika se skenira tjedno |
| 2026-10-17 | Mutacijsko testiranje pravila autorizacije | Politike pristupa za prijave, dokumente prijava i kanale za prijavu nepravilnosti, pri čemu je svako pravilo namjerno izmijenjeno kako bi se potvrdilo da skup testova otkriva promjenu | Svaka izmjena tih politika otkrivena je. Nije pronađen nijedan nedostatak u autorizaciji |
| 2026-10-18 | Pregled koda prije neovisne procjene | Polja za učitavanje i pristup datotekama, uklanjanje metapodataka, blokada do antivirusnog skeniranja, uloge u predmetima, administracija platforme, bilježenje autentifikacije, prijavljivanje pogrešaka, lozinke prijavitelja | Deset nalaza. Devet ispravljeno istoga dana: polje za učitavanje prihvaćalo je identifikator već pohranjene datoteke, pa je korisnik mogao priložiti datoteku koju nije učitao i zatim je otvoriti (poveznice na datoteke sada i istječu nakon jednog sata); nakon uklanjanja metapodataka iz PDF-a izvorni autor ostajao je dostupan iz ranije revizije datoteke; izvoz podataka uključivao je datoteke koje nisu prošle antivirusno skeniranje, a datoteka čije skeniranje nikada nije bilo zakazano posluživala se neskenirana; Promatrač dodijeljen predmetu mogao je djelovati u njemu; administratorska ploča platforme nije zahtijevala drugi faktor; jednokratni kodovi za autentifikaciju i SAML tvrdnje dospijevali su do usluge za praćenje pogrešaka; neuspjele autentifikacije, neuspjela pretraživanja predmeta i dosegnuta ograničenja zahtjeva nisu ostavljali trag; prijavitelji su sami birali svoju šestoznamenkastu lozinku, pa se prihvaćao i uobičajen izbor poput 123456 (nove prijave dobivaju lozinku od 16 znamenki koju generira sustav; ranije podnesene prijave zadržavaju svoju, vidi Poznati otvoreni nalazi). Provjera produkcije samo za čitanje nije pronašla nijedan pohranjeni PDF prijave ni nijedan račun Promatrača, pa nijedan od ta dva problema nije zahvatio predmet. Preostali jedan naveden je među poznatim otvorenim nalazima |
Poznati otvoreni nalazi #
| Nalaz | Stajalište |
|---|---|
| Nema vatrozida za web aplikacije ni CDN-a ispred izvora aplikacije | Namjerna odluka. Izravni smještaj aplikacije i datoteka nalazi se u EU-u, dok lanac e-pošte i telemetrije može uključivati daljnju obradu izvan EGP-a. Zaštita od DDoS-a na mrežnoj razini kod pružatelja smještaja, uz ograničavanje broja zahtjeva na razini aplikacije, trenutačni je kompromis. |
| Profilne fotografije zaposlenika pohranjuju se s izvornim metapodacima datoteke | Namjerno. Uklanjanje metapodataka štiti prijavitelje i njihove dokaze. Profilnu fotografiju bira i učitava osoba koja je na njoj. |
| Prijave podnesene prije 18. listopada 2026. zadržavaju šestoznamenkastu lozinku koju je pri podnošenju odabrao prijavitelj ili, za prijavu koju je evidentiralo osoblje, osoba za rješavanje | Prihvaćeno. Te lozinke i dalje vrijede i ne zamjenjuju se. Otvaranje sigurnog sandučića dopušta 10 pokušaja unosa lozinke po ID-u slučaja u 10 minuta, s bilo koje IP adrese. |
Što ovo ne dokazuje #
- Operater je odabrao opseg, proveo testiranja i izvijestio o rezultatima. Ništa od toga nije neovisno provjereno.
- Prolaz bez nalaza dokaz je o ispitanim slučajevima, a ne o onima koji nisu ispitani.
- Kontrola A.5.35 iz samoprocjene prema ISO/IEC 27001:2022, neovisni pregled informacijske sigurnosti, iz tog razloga ostaje otvorena. To je jedina kontrola iz Priloga A na toj stranici evidentirana kao u postupku rješavanja, a isto ograničenje drži točku 9.2 (interna revizija) na djelomično ispunjenoj — vidi zapisnik interne revizije.
Posljednje ažuriranje: