Intern uitgevoerde beveiligingstests #
Dit zijn tests in eigen beheer. Ze worden uitgevoerd door de exploitant, niet door een onafhankelijke beoordelaar, en ze vervangen niet de onafhankelijke externe penetratietest die op Trust staat vermeld. Ze worden gepubliceerd omdat de inhoud bruikbaar is voor een beoordelaar, ook al ontbreekt de onafhankelijkheid.
Laatst bijgewerkt: 2026-10-18.
Uitgevoerde tests #
| Datum | Soort | Reikwijdte | Uitkomst |
|---|---|---|---|
| 2026-05-26 | Beveiligingsbeoordeling op codeniveau | Statische analyse, afhankelijkheidsaudit en handmatige beoordeling van authenticatie, autorisatie en bestandsverwerking | De verwerking van uploads is aangemerkt als het gebied met het hoogste risico. Bevindingen vastgelegd in de issuetracker en verholpen: serverzijdige limiet op het aantal bijlagen, autorisatie van directe uploads en het schonen van parameters en IP-adressen in logbestanden |
| 2026-05-26 | Externe productietest, niet-destructief | Responseheaders, TLS-configuratie, openbare pagina’s en metadataverzoeken tegen de productiehost | Hiaten in de dekking van responseheaders en ontbrekende metadata van het beveiligingscontact; de afhankelijkheid van externe asset-CDN’s is beoordeeld als middelgroot risico. Verholpen op 2026-05-27: metadata van het beveiligingscontact gepubliceerd en bescherming tegen content-type-sniffing uitgebreid naar statische assets |
| 2026-06-09 | Beoordeling van de authenticatie | Cookieverwerking, sessielevenscyclus, magic-link- en uitnodigingsstromen | Twee bevindingen met informatieve ernst. Verholpen op 2026-06-14: de cookie voor de openstaande authenticatie is verplaatst naar een versleutelde opslag, zodat het adres niet aan de clientzijde leesbaar is; de vermelde vervaltijd van de sessiecookie komt nu overeen met de serverzijdige inactiviteitstermijn van 14 dagen. Eén bevinding met lage ernst: de adressen van meldkanalen waren afgeleid van opeenvolgende identificatoren, waardoor de verzameling klantorganisaties kon worden opgesomd. Verholpen op 2026-08-12: elk meldkanaal heeft een privé, willekeurig adres, en de pagina die voor een inactief meldkanaal wordt getoond, noemt de organisatie niet meer |
| 2026-08-27 | Geauthenticeerde graybox-test | Toegang tussen organisaties, rechtenescalatie, mass assignment, toegang tot meldingen binnen dezelfde organisatie, vertrouwelijkheid van bijlagen, SCIM-isolatie en vertrouwen in SAML-asserties | Geen autorisatiefouten aangetroffen. De grenzen van organisatie en rol hielden stand in alle geteste gevallen |
| 2026-08-27 | Beoordeling van de productieblootstelling | Netwerkblootstelling, hardening van de host, verwerking van proxyheaders en omgang met geheimen | Door de client aangeleverde doorstuurheaders werden vertrouwd op een direct vanaf internet bereikbare origin, waardoor de snelheidslimieten per IP omzeild hadden kunnen worden. Dezelfde dag verholpen. Ook is een header verwijderd die de serververwerkingstijd per verzoek prijsgaf. De achterhaalde header Feature-Policy is op 2026-09-05 vervangen door Permissions-Policy |
| 2026-09-08 | Geauthenticeerde beoordeling van bestandslevering en opslag in de browser | Direct downloaden van gegevensexports en spraakopnamen, toegang met bekende bestands-URL’s tussen organisaties en na verwijdering van het lidmaatschap, de Terug-knop van de browser na het afmelden | Drie bevindingen, die elk een gebruiker vereisten die al geautoriseerd was en over een ondertekende bestands-URL beschikte, of een gedeelde browser. Een verlopen gegevensexport kon via een bewaarde URL nog steeds zonder nieuwe authenticatie worden gedownload. Een behandelaar kon een originele spraakopname downloaden voordat de anonimisering ervan was voltooid. Nadat een sessie was ingetrokken, kon de Terug-knop van de browser een melding opnieuw uit zijn cache tonen. Verholpen op 2026-09-10: bestandslevering hanteert nu dezelfde regels voor verloop, herauthenticatie en verwerking als de pagina die naar het bestand linkt, en gevoelige pagina’s en privébestanden worden niet langer door de browser opgeslagen. Toegang tussen organisaties en door verwijderde leden werd in alle geteste gevallen geweigerd |
| 2026-09-26 | Beoordeling op codeniveau van de sessieafhandeling | Identificatie van sessies en het gedrag ervan na een databaseherstel | Sessies werden geïdentificeerd aan de hand van hun database-ID. Een herstel zet ID’s terug, zodat een nieuwe aanmelding een ID kon krijgen die een nog bestaande cookie bevatte, waarmee de sessie van die gebruiker kon worden voortgezet. Dezelfde dag verholpen: sessies worden geïdentificeerd aan de hand van een willekeurig token, en alle bestaande sessies zijn beëindigd |
| 2026-09-28 | Logbeoordeling van het meldkanaal | Logs aan de applicatiezijde die worden geschreven terwijl een melder het meldkanaal gebruikt | Twee componenten schreven nog IP-adressen van melders weg: de verzoeklog van de webserver en de waarschuwing van de spambescherming. Beide dezelfde dag verwijderd. De eigen verzoeklog van de TLS-proxy, die het IP-adres van elk verzoek vastlegt, is ongewijzigd en beschreven op Security#ip-addresses |
| 2026-10-16 | Beoordeling op codeniveau aan de hand van actueel onderzoek naar aanvallen op Rails | Verwerking van uploads, decodering van afbeeldingen, verwerking van ondertekende berichten, verzoeklogs, opgeslagen realtimeberichten, gegenereerde code voor autorisatie | De verwijdering van metadata koos haar methode op basis van het type dat de browser opgaf, waardoor een foto die als generiek bestand was geüpload zijn locatie- en apparaatmetadata behield. De SVG-decoder van de beeldbibliotheek, bij het opstarten geblokkeerd, werd voor het hele proces opnieuw ingeschakeld zodra er een afbeelding voor een linkvoorbeeld was gegenereerd. Ondertekende en versleutelde berichten accepteerden nog een serialisatieformaat dat een uitgelekt applicatiegeheim omzet in code-uitvoering. Verzoeklogs legden bestandsnamen van bijlagen en kortlevende downloadtokens vast. Realtimenotificaties, die het zaak-ID van de melding bevatten, werden een dag lang onversleuteld opgeslagen. Het sjabloon voor nieuwe autorisatiebeleidsregels liet het organisatiefilter weg; er was geen bestaande beleidsregel getroffen. Alles dezelfde dag verholpen |
| 2026-10-16 | Forensische controle in productie (CVE-2026-66066) | Alleen-lezen inspectie van elk bestand dat vóór de correctie was opgeslagen op gemanipuleerde afbeeldingsheaders, afbeeldingen waarvan de pixels als serverbestanden worden gedecodeerd, en achtergebleven identificerende metadata | Geen aanwijzingen voor misbruik in de bewaarde gegevens, en geen afbeelding bij een melding die nog identificerende metadata bevat. Bestanden die via het blootgestelde pad voor directe uploads hadden kunnen worden geüpload, open van 2026-04-13 tot 2026-05-12, zijn verwijderd door de dagelijkse opschoning van niet-gekoppelde bestanden en kunnen niet meer worden onderzocht |
| 2026-10-17 | Beoordeling van de productieblootstelling | Verzoeklog van de reverse proxy, limieten voor de verzoekgrootte, kwetsbaarheidsscans van de containerimage | De reverse proxy logt elk verzoekpad, en downloadpaden van bijlagen bevatten de bestandsnaam. Verzoekbody’s tot 1 GB werden op schijf gebufferd voordat de applicatie ze valideerde. De containerimage werd maandelijks gescand op kwetsbaarheden in het besturingssysteem, tegenover een toezegging van 7 dagen voor kritieke fixes. Dezelfde dag verholpen: in geen van beide stappen van een bijlagedownload bevat het pad de bestandsnaam, verzoekbody’s zijn begrensd op net boven de grootste legitieme melding, en de image wordt wekelijks gescand |
| 2026-10-17 | Mutatietests van autorisatieregels | Het toegangsbeleid voor meldingen, meldingsdocumenten en meldkanalen, waarbij elke regel opzettelijk werd gewijzigd om te bevestigen dat de testsuite de wijziging detecteert | Elke wijziging aan dat beleid werd gedetecteerd. Geen autorisatiefout aangetroffen |
| 2026-10-18 | Codereview voorafgaand aan de onafhankelijke beoordeling | Uploadvelden en bestandstoegang, verwijdering van metadata, blokkering tot de malwarescan, rollen binnen zaken, platformbeheer, logging van authenticatie, foutrapportage, wachtwoorden van melders | Tien bevindingen. Negen dezelfde dag verholpen: een uploadveld accepteerde de identificatie van een al opgeslagen bestand, zodat een gebruiker een bestand kon toevoegen dat hij niet had geüpload en het daarna kon openen (bestandslinks verlopen nu ook na een uur); na het verwijderen van de metadata uit een pdf bleef de oorspronkelijke auteur herstelbaar uit een eerdere revisie van het bestand; de gegevensexport bevatte bestanden die de malwarescan niet hadden doorstaan, en een bestand waarvan de scan nooit was ingepland, werd ongescand aangeboden; een Lezer die aan een zaak was toegewezen, kon erin handelen; het beheerpaneel van het platform vereiste geen tweede factor; eenmalige inlogcodes en SAML-asserties kwamen bij de foutmonitoringdienst terecht; mislukte aanmeldingen, mislukte zaakopzoekingen en bereikte limieten lieten geen spoor na; melders kozen zelf hun zescijferige wachtwoord, dus ook een veelgebruikte keuze als 123456 werd geaccepteerd (nieuwe meldingen krijgen een wachtwoord van 16 cijfers dat door het systeem wordt gegenereerd; eerder ingediende meldingen behouden hun wachtwoord, zie Bekende openstaande bevindingen). Een alleen-lezen controle van de productie vond geen opgeslagen meldings-pdf en geen Lezer-account, zodat geen van die twee problemen een zaak had geraakt. De overige bevinding staat onder de bekende openstaande bevindingen |
Bekende openstaande bevindingen #
| Bevinding | Standpunt |
|---|---|
| Geen webapplicatiefirewall of CDN vóór de applicatie-origin | Bewuste keuze. De directe hosting van de applicatie en de bestanden vindt plaats in de EU, terwijl de e-mail- en telemetrieketen verdere verwerking buiten de EER kan omvatten. DDoS-bescherming op netwerkniveau bij de hostingprovider, samen met snelheidsbeperking op applicatieniveau, is de huidige afweging. |
| Profielfoto’s van medewerkers worden met hun oorspronkelijke bestandsmetadata opgeslagen | Bewust. Het verwijderen van metadata beschermt melders en hun bewijs. Een profielfoto wordt gekozen en geüpload door de persoon die erop staat. |
| Meldingen die vóór 18 oktober 2026 zijn ingediend, behouden het 6-cijferige wachtwoord dat bij het indienen is gekozen, door de melder of, bij een melding die medewerkers hebben vastgelegd, door de behandelaar | Geaccepteerd. Deze wachtwoorden blijven werken en worden niet vervangen. Bij het inloggen zijn 10 wachtwoordpogingen per zaak-ID per 10 minuten toegestaan, vanaf elk IP. |
Wat dit niet aantoont #
- De exploitant heeft de reikwijdte gekozen, de tests uitgevoerd en de resultaten gerapporteerd. Niets hiervan is onafhankelijk geverifieerd.
- Een ronde zonder bevindingen is bewijs over de geteste gevallen, niet over de gevallen die niet zijn getest.
- Beheersmaatregel A.5.35 uit de ISO/IEC 27001:2022-zelfbeoordeling, de onafhankelijke beoordeling van informatiebeveiliging, blijft om deze reden open. Het is de enige Bijlage A-beheersmaatregel op die pagina die als in behandeling staat geregistreerd, en dezelfde beperking houdt hoofdstuk 9.2 (interne audit) op gedeeltelijk — zie het verslag interne audit.
Laatst bijgewerkt: