Selwer duerchgefouert Sécherheetstester #
Dat sinn Tester an Eegenregie. Si ginn vum Betreiber duerchgefouert, net vun engem onofhängegen Evaluateur, a si ersetzen den op Trust ausgewisenen onofhängegen externe Penetratiounstest net. Si ginn publizéiert, well den Inhalt fir e Reviewer nëtzlech ass, och wann d’Onofhängegkeet feelt.
Zulescht aktualiséiert: 2026-10-18.
Duerchgefouert Tester #
| Datum | Aart | Ëmfang | Resultat |
|---|---|---|---|
| 2026-05-26 | Sécherheetsbewäertung op Code-Niveau | Statesch Analys, Iwwerpréifung vun den Ofhängegkeeten a manuell Iwwerpréifung vun Authentifikatioun, Autorisatioun an Dateiveraarbechtung | D’Veraarbechtung vun den Uploads gouf als Beräich mam héchste Risiko agestuuft. D’Feststellungen goufen am Issue-Tracker erfaasst a behuewen: serversäiteg Begrenzung vun der Unzuel un Unhänken, Autorisatioun vun Direkt-Uploads a Botzen vu Parameteren an IP-Adressen an de Logbicher |
| 2026-05-26 | Externen Produktiounstest, net destruktiv | Response-Header, TLS-Konfiguratioun, ëffentlech Säiten a Metadaten-Ufroen géint den Produktiounshost | Lücken an der Ofdeckung vun de Response-Header a fehlend Sécherheetskontakt-Metadaten; d’Ofhängegkeet vun Drëttubidder-Asset-CDNe gouf als mëttlere Risiko bewäert. Behuewen den 2026-05-27: Sécherheetskontakt-Metadaten publizéiert, Schutz géint Content-Type-Sniffing op statesch Assets ausgeweit |
| 2026-06-09 | Iwwerpréifung vun der Authentifikatioun | Cookie-Veraarbechtung, Sessiounsliewenszyklus, Magic-Link- an Aluedungsoflaf | Zwou Feststellunge mat informativem Schweregrad. Behuewen den 2026-06-14: De Cookie vun der ausstoender Authentifikatioun läit elo an engem verschlësselte Späicher, sou datt d’Adress clientsäiteg net liesbar ass; déi ugewisen Gëltegkeet vum Sessiouns-Cookie entsprécht elo dem serversäitegen Idle-Timeout vu 14 Deeg. Eng Feststellung mat nidderegem Schweregrad: D’Adresse vun de Meldekanäl goufen aus fortlafende Kennungen ofgeleet, sou datt d’Gesamtheet vun de Clientsorganisatiounen opgezielt konnt ginn. Behuewen den 2026-08-12: All Meldekanal huet eng privat, zoufälleg Adress, an d’Säit, déi fir en inaktive Meldekanal ugewise gëtt, nennt d’Organisatioun net méi |
| 2026-08-27 | Authentifizéierte Graybox-Test | Zougrëff tëscht Organisatiounen, Rechteausweidung, Mass Assignment, Zougrëff op Meldungen bannent enger Organisatioun, Vertraulechkeet vun den Unhänken, SCIM-Isolatioun a Vertrauen an SAML-Assertiounen | Keng Autorisatiounsmängel festgestallt. D’Grenze vun Organisatioun a Roll hunn an all gepréiften Fall gehalen |
| 2026-08-27 | Iwwerpréifung vun der Produktiounsexpositioun | Netzexpositioun, Härtung vum Host, Veraarbechtung vu Proxy-Header an Ëmgang mat Geheimnisser | Vum Client geschéckte Weiderleedungs-Header goufen op engem direkt aus dem Internet erreechbaren Origin als vertrauenswierdeg behandelt, wat d’Ratebegrenzunge pro IP-Adress hätt kënnen ëmgoen. Deeselwechten Dag behuewen. Zousätzlech gouf en Header mat der Serverlafzäit pro Ufro ewechgeholl. Den iwwerhuelten Header Feature-Policy gouf den 2026-09-05 duerch Permissions-Policy ersat |
| 2026-09-08 | Authentifizéiert Iwwerpréifung vun der Dateiliwwerung an der Späicherung am Browser | Direkten Download vun Datenexporten a Sproochopnamen, Zougrëff mat bekannten Datei-URLen tëscht Organisatiounen an no der Entfernung vun der Memberschaft, Zréck-Knäppche vum Browser no der Ofmeldung | Dräi Feststellungen, déi all e Benotzer virausgesat hunn, deen schonn autoriséiert war an eng signéiert Datei-URL hat, oder e gedeelte Browser. En ofgelafenen Datenexport konnt nach ëmmer iwwer eng opgehuewen URL ouni nei Authentifikatioun erofgeluede ginn. E Bearbechter konnt eng original Sproochopnam eroflueden, ier hir Anonymiséierung ofgeschloss war. Nodeems eng Sessioun widderruff gouf, konnt den Zréck-Knäppche vum Browser eng Meldung aus sengem Cache nees uweisen. Behuewen den 2026-09-10: D’Dateiliwwerung setzt elo déiselwecht Regele fir Oflaf, nei Authentifikatioun a Veraarbechtung duerch wéi d’Säit, déi op d’Datei verlinkt, a sensibel Säiten a privat Fichiere ginn net méi vum Browser gespäichert. Zougrëff tëscht Organisatiounen an duerch ewechgeholl Membere gouf an all gepréiften Fall refuséiert |
| 2026-09-26 | Iwwerpréifung vun der Sessiounsverwaltung op Code-Niveau | Identifikatioun vu Sessiounen an hiert Verhalen no engem Restore vun der Datebank | Sessioune goufen iwwer hir Datebank-ID identifizéiert. E Restore setzt d’IDen zréck, sou datt eng nei Umeldung eng ID kréie konnt, déi e weiderhi bestoende Cookie nach enthalen huet, an esou d’Sessioun vun dësem Benotzer weidergefouert konnt ginn. Deeselwechten Dag behuewen: Sessioune ginn iwwer en zoufällegen Token identifizéiert, an all bestoend Sessioun gouf beendegt |
| 2026-09-28 | Iwwerpréifung vun de Logbicher vum Meldekanal | Logbicher op Applikatiounssäit, déi geschriwwe ginn, während e Whistleblower de Meldekanal benotzt | Zwou Komponente hunn nach ëmmer IP-Adresse vu Whistlebloweren opgeschriwwen: d’Ufroprotokoll vum Webserver an d’Warnung vum Spamschutz. Béid deeselwechten Dag ewechgeholl. D’eegent Ufroprotokoll vum TLS-Proxy, dat d’IP-Adress vun all Ufro erfaasst, ass onverännert an op Security#ip-addresses beschriwwen |
| 2026-10-16 | Iwwerpréifung op Code-Niveau op Basis vun aktueller Fuerschung zu Ugrëffer op Rails | Upload-Veraarbechtung, Bilddekodéierung, Veraarbechtung vu signéierte Messagen, Ufroprotokoller, gespäichert Echtzäit-Messagen, generéierte Code fir d’Autorisatioun | D’Entfernung vu Metadaten huet hir Method no dem Typ gewielt, deen de Browser uginn hat, sou datt e Foto, dat als generesch Datei eropgeluede gouf, seng Standuert- an Apparatmetadaten behalen huet. Den SVG-Decoder vun der Bildbibliothéik, beim Start gespaart, gouf fir de ganze Prozess nees aktivéiert, soubal e Link-Preview-Bild generéiert gi war. Signéiert a verschlësselt Messagen hunn nach ëmmer e Serialiséierungsformat akzeptéiert, dat en duerchgesickert Applikatiounsgeheimnis an eng Code-Ausféierung verwandelt. Ufroprotokoller hunn Dateinimm vun Unhänken a kuerzlieweg Download-Tokens opgeschriwwen. Echtzäit-Notifikatiounen, déi d’Dossier-ID vun der Meldung enthalen, goufen een Dag laang onverschlësselt gespäichert. D’Virlag fir nei Autorisatiounsrichtlinne huet den Organisatiounsfilter ausgelooss; keng bestoend Richtlinn war betraff. Alles deeselwechten Dag behuewen |
| 2026-10-16 | Forensesch Iwwerpréifung vun der Produktioun (CVE-2026-66066) | Nëmme liesend Iwwerpréifung vun all Datei, déi virun der Korrektur gespäichert gouf, op manipuléiert Bild-Header, Biller, deenen hir Pixele sech als Serverdateien dekodéieren, an iwwreg identifizéierend Metadaten | Keng Hiweiser op eng Ausnotzung an den opgehuewenen Donnéeën, a kee Bild vun enger Meldung, dat nach identifizéierend Metadaten enthält. Fichieren, déi iwwer den exponéierten Direkt-Upload-Wee hätten eropgeluede kënne ginn, deen vum 2026-04-13 bis den 2026-05-12 op war, goufen duerch déi deeglech Botzaktioun vun net zougeuerdnete Fichieren geläscht a kënnen net méi ënnersicht ginn |
| 2026-10-17 | Iwwerpréifung vun der Produktiounsexpositioun | Ufroprotokoll vum Reverse Proxy, Gréisstbegrenzunge fir Ufroen, Schwachstellescan vum Container-Image | De Reverse Proxy protokolléiert all Ufrowee, an d’Download-Weeër vun Unhänken hunn den Dateinumm enthalen. Ufrokierper vu bis zu 1 GB goufen op der Festplack zwëschegespäichert, ier d’Applikatioun se validéiert huet. D’Container-Image gouf all Mount op Schwachstelle vum Betribssystem gescannt, géintiwwer enger Zouso vu 7 Deeg fir kritesch Korrekturen. Deeselwechten Dag behuewen: A kengem vun den zwee Schrëtt vun engem Unhang-Download enthält de Wee den Dateinumm, Ufrokierper si knapp iwwer der gréisster legitimer Meldung begrenzt, an d’Image gëtt all Woch gescannt |
| 2026-10-17 | Mutatiounstester vun den Autorisatiounsregelen | D’Zougrëffsrichtlinne fir Meldungen, Meldungsdokumenter a Meldekanäl, wou all Regel bewosst verännert gouf, fir ze bestätegen, datt d’Testsuite d’Ännerung erkennt | All Ännerung un dëse Richtlinne gouf erkannt. Keen Autorisatiounsmangel festgestallt |
| 2026-10-18 | Code-Review virun der onofhängeger Évaluatioun | Eropluedfelder an Zougang zu Fichieren, Entfernung vu Metadaten, Spär bis zum Malware-Scan, Rollen an Dossieren, Plattformverwaltung, Protokolléierung vun der Authentifizéierung, Feelerberichter, Passwierder vun den Hiwäisgeber | Zéng Feststellungen. Néng am selwechten Dag behuewen: E Fichiersfeld huet d’Kennung vun engem schonn gespäicherte Fichier akzeptéiert, sou datt e Benotzer e Fichier uhänke konnt, deen hien net eropgelueden hat, an en dono opmaache konnt (Linken op Fichieren lafen elo och no enger Stonn of); nodeems d’Metadate vun engem PDF ewechgeholl goufen, konnt den ursprénglechen Auteur aus enger fréierer Versioun vum Fichier erëmhiergestallt ginn; den Datenexport huet Fichieren enthalen, déi de Malware-Scan net bestanen haten, an e Fichier, deem säi Scan ni ageplangt gouf, gouf ongepréift geliwwert; e Beobachter, deen engem Dossier zougewise war, konnt dran handelen; den Admin-Panel vun der Plattform huet keen zweete Faktor verlaangt; Eemol-Umeldecoden an SAML-Assertiounen sinn um Déngscht fir d’Feeleriwwerwaachung ukomm; feelgeschloen Umeldungen, feelgeschloen Dossierssich an ausgeléist Rate-Limits hunn keng Spuer hannerlooss; d’Hiwäisgeber hunn hiert sechsstellegt Passwuert selwer gewielt, dofir gouf och eng heefeg Wiel wéi 123456 akzeptéiert (nei Meldunge kréien e 16-stellegt Passwuert, dat de System generéiert; fréier agereechte Meldunge behalen hiert, kuckt Bekannt oppe Feststellungen). Eng reng liesend Kontroll vun der Produktioun huet kee gespäicherte Meldungs-PDF a kee Beobachter-Kont fonnt, sou datt keng vun deenen zwee Problemer en Dossier betraff hat. Déi verbleiwend steet ënner de bekannten oppene Feststellungen |
Bekannt oppe Feststellungen #
| Feststellung | Positioun |
|---|---|
| Keng Web Application Firewall a kee CDN virum Applikatiouns-Origin | Bewosst Entscheedung. Den direkten Hosting vun der Applikatioun an de Fichieren ass an der EU, während d’E-Mail- an Telemetriekette eng nogeschalt Veraarbechtung ausserhalb vum EWR mat sech bréngen kann. DDoS-Schutz op Netzniveau beim Hosting-Ubidder zesumme mat der Ratebegrenzung op Applikatiounsniveau ass den aktuelle Kompromëss. |
| Profilfotoe vu Mataarbechter gi mat hiren ursprénglechen Fichiersmetadate gespäichert | Bewosst. D’Entfernung vu Metadate schützt Hiwäisgeber an hir Beweiser. E Profilfoto gëtt vun der Persoun gewielt an eropgelueden, déi drop ze gesinn ass. |
| Meldungen, déi virum 18. Oktober 2026 agereecht goufen, behalen dat 6-stellegt Passwuert, dat beim Areeche gewielt gouf, vum Whistleblower oder, bei enger Meldung, déi d’Personal erfaasst huet, vum Bearbechter | Akzeptéiert. Dës Passwierder funktionéieren weiderhin a ginn net ersat. D’Umeldung erlaabt 10 Passwuertversich pro Dossier-ID an 10 Minutten, vun all IP. |
Wat dat net beleet #
- De Betreiber huet den Ëmfang festgeluecht, d’Tester duerchgefouert an d’Resultater bericht. Näischt dovunner gouf onofhängeg verifizéiert.
- En Duerchgang ouni Feststellungen ass e Beleg iwwer déi gepréifte Fäll, net iwwer déi net gepréift goufen.
- D’Kontroll A.5.35 vun der ISO/IEC-27001:2022-Selbstevaluatioun, déi onofhängeg Iwwerpréifung vun der Informatiounssécherheet, bleift aus dësem Grond op. Et ass déi eenzeg Annexe-A-Kontroll op där Säit, déi als a Bearbechtung gefouert gëtt, an déiselwecht Aschränkung hält de Kapitel 9.2 (intern Audit) op deelweis erfëllt — kuck den Rapport vun den interne Auditen.
Zulescht aktualiséiert: