Teste de securitate efectuate intern #
Acestea sunt teste proprii. Sunt efectuate de operator, nu de un evaluator independent, și nu înlocuiesc testul independent extern de penetrare consemnat pe Trust. Sunt publicate pentru că substanța lor este utilă unui evaluator, chiar dacă independența lipsește.
Ultima actualizare: 2026-10-18.
Teste efectuate #
| Data | Tip | Domeniu | Rezultat |
|---|---|---|---|
| 2026-05-26 | Evaluare de securitate la nivel de cod | Analiză statică, audit al dependențelor și revizuire manuală a autentificării, autorizării și gestionării fișierelor | Gestionarea încărcărilor a fost identificată drept zona cu cel mai ridicat risc. Constatări urmărite în registrul de sarcini și remediate: limită pe server a numărului de atașamente, autorizarea încărcărilor directe și curățarea parametrilor și a adreselor IP din jurnale |
| 2026-05-26 | Test extern în producție, nedistructiv | Anteturi de răspuns, configurație TLS, pagini publice și interogări de metadate către gazda de producție | Lacune în acoperirea anteturilor de răspuns și lipsa metadatelor contactului de securitate; dependența de rețele CDN terțe pentru resurse statice a fost evaluată drept risc mediu. Remediat la 2026-05-27: metadatele contactului de securitate publicate, iar protecția împotriva deducerii tipului de conținut extinsă la resursele statice |
| 2026-06-09 | Revizuirea autentificării | Gestionarea cookie-urilor, ciclul de viață al sesiunii, fluxurile de link magic și de invitație | Două constatări de gravitate informativă. Remediate la 2026-06-14: cookie-ul de autentificare în așteptare a fost mutat într-un depozit criptat, astfel încât adresa nu mai este lizibilă pe partea clientului; expirarea declarată a cookie-ului de sesiune corespunde acum termenului de inactivitate de 14 zile de pe server. O constatare de gravitate scăzută: adresele canalelor de raportare erau derivate din identificatori secvențiali, astfel încât setul organizațiilor clienților putea fi enumerat. Remediată la 2026-08-12: fiecare canal de raportare are o adresă privată aleatorie, iar pagina afișată pentru un canal de raportare inactiv nu mai numește organizația |
| 2026-08-27 | Test graybox autentificat | Acces între organizații, escaladarea privilegiilor, mass assignment, accesul la raportări în cadrul aceleiași organizații, confidențialitatea atașamentelor, izolarea SCIM și încrederea în afirmațiile SAML | Nu au fost identificate defecte de autorizare. Limitele de organizație și de rol au rezistat în fiecare caz testat |
| 2026-08-27 | Revizuirea expunerii în producție | Expunerea în rețea, întărirea gazdei, tratarea anteturilor de proxy și gestionarea secretelor | Anteturile de redirecționare furnizate de client erau considerate de încredere pe o origine expusă direct la internet, ceea ce ar fi permis eludarea limitelor de frecvență pe adresă IP. Remediat în aceeași zi. A fost eliminat și un antet care dezvăluia timpul de procesare al serverului pentru fiecare cerere. Antetul depășit Feature-Policy a fost înlocuit cu Permissions-Policy la 2026-09-05 |
| 2026-09-08 | Revizuire autentificată a livrării fișierelor și a păstrării în browser | Descărcarea directă a exporturilor de date și a înregistrărilor vocale, accesul cu URL-uri de fișiere cunoscute între organizații și după eliminarea calității de membru, butonul Înapoi al browserului după deconectare | Trei constatări, fiecare necesitând un utilizator deja autorizat care deținea un URL semnat al unui fișier, sau un browser partajat. Un export de date expirat putea fi încă descărcat de la un URL păstrat, fără o nouă autentificare. Un responsabil de caz putea descărca o înregistrare vocală originală înainte de finalizarea anonimizării acesteia. După revocarea unei sesiuni, butonul Înapoi al browserului putea reafișa o raportare din memoria cache a acestuia. Remediate la 2026-09-10: livrarea fișierelor aplică acum aceleași reguli de expirare, reautentificare și procesare ca pagina care face trimitere la fișier, iar paginile sensibile și fișierele private nu mai sunt stocate de browser. Accesul între organizații și accesul membrilor eliminați au fost refuzate în fiecare caz testat |
| 2026-09-26 | Revizuire la nivel de cod a gestionării sesiunilor | Identificarea sesiunilor și comportamentul acesteia după o restaurare a bazei de date | Sesiunile erau identificate prin identificatorul lor din baza de date. O restaurare readuce identificatorii la valori anterioare, astfel încât o nouă autentificare putea primi un identificator pe care un cookie încă existent îl conținea și putea relua sesiunea acelui utilizator. Remediat în aceeași zi: sesiunile sunt identificate printr-un token aleatoriu, iar toate sesiunile existente au fost încheiate |
| 2026-09-28 | Revizuirea jurnalelor canalului de raportare | Jurnalele de pe partea aplicației scrise în timp ce o persoană care raportează folosește canalul de raportare | Două componente încă înregistrau adresele IP ale persoanelor care raportează: jurnalul de cereri al serverului web și avertismentul protecției anti-spam. Ambele au fost eliminate în aceeași zi. Jurnalul propriu de cereri al proxy-ului TLS, care înregistrează adresa IP a fiecărei cereri, rămâne neschimbat și este descris în Securitate |
| 2026-10-16 | Revizuire la nivel de cod în raport cu cercetările actuale privind atacurile asupra Rails | Procesarea încărcărilor, decodarea imaginilor, gestionarea mesajelor semnate, jurnalele de cereri, mesajele în timp real stocate, codul-sursă generat pentru autorizare | Eliminarea metadatelor își alegea metoda după tipul declarat de browser, astfel încât o fotografie încărcată ca fișier generic își păstra metadatele de localizare și de dispozitiv. Decodorul SVG al bibliotecii de imagini, blocat la pornire, era reactivat pentru întregul proces odată ce fusese generată o imagine de previzualizare a unui link. Mesajele semnate și criptate acceptau încă un format de serializare care transformă un secret al aplicației divulgat în execuție de cod. Jurnalele de cereri înregistrau numele fișierelor atașate și tokenuri de descărcare cu valabilitate scurtă. Notificările în timp real, care conțin ID-ul cazului, erau stocate necriptat timp de o zi. Șablonul pentru noile politici de autorizare omitea filtrul de organizație; nicio politică existentă nu a fost afectată. Toate au fost remediate în aceeași zi |
| 2026-10-16 | Verificare criminalistică în producție (CVE-2026-66066) | Inspecție doar în citire a fiecărui fișier stocat înainte de remediere, pentru anteturi de imagine create special, imagini ai căror pixeli se decodează ca fișiere de pe server și metadate de identificare rămase | Nicio dovadă de exploatare în datele păstrate și nicio imagine dintr-o raportare care să mai conțină metadate de identificare. Fișierele care ar fi putut fi încărcate prin calea expusă de încărcare directă, deschisă între 2026-04-13 și 2026-05-12, au fost eliminate de curățarea zilnică a fișierelor neatașate și nu mai pot fi examinate |
| 2026-10-17 | Revizuirea expunerii în producție | Jurnalul de cereri al proxy-ului invers, limitele de dimensiune a cererilor, scanarea imaginii containerului pentru vulnerabilități | Proxy-ul invers înregistrează calea fiecărei cereri, iar căile de descărcare a atașamentelor includeau numele fișierului. Corpurile cererilor de până la 1 GB erau stocate temporar pe disc înainte ca aplicația să le valideze. Imaginea containerului era scanată lunar pentru vulnerabilități ale sistemului de operare, deși angajamentul pentru remedierile critice este de 7 zile. Remediat în aceeași zi: niciunul dintre cei doi pași ai descărcării unui atașament nu conține numele fișierului în cale, corpurile cererilor sunt limitate la o valoare puțin peste cea mai mare raportare legitimă, iar imaginea este scanată săptămânal |
| 2026-10-17 | Testarea prin mutații a regulilor de autorizare | Politicile de acces pentru raportări, documentele raportărilor și canalele de raportare, fiecare regulă fiind modificată deliberat pentru a confirma că suita de teste detectează schimbarea | Fiecare modificare a acestor politici a fost detectată. Nu a fost identificat niciun defect de autorizare |
| 2026-10-18 | Revizuire a codului înaintea evaluării independente | Câmpuri de încărcare și acces la fișiere, eliminarea metadatelor, blocare până la scanarea antivirus, roluri în cazuri, administrarea platformei, jurnalizarea autentificării, raportarea erorilor, parolele avertizorilor | Zece constatări. Nouă remediate în aceeași zi: un câmp de încărcare accepta identificatorul unui fișier deja stocat, astfel încât un utilizator putea atașa un fișier pe care nu îl încărcase și apoi să îl deschidă (linkurile către fișiere expiră acum și după o oră); după eliminarea metadatelor dintr-un PDF, autorul inițial rămânea recuperabil dintr-o revizie anterioară a fișierului; exportul de date includea fișiere care nu trecuseră de scanarea antivirus, iar un fișier a cărui scanare nu fusese niciodată programată era livrat nescanat; un Observator alocat unui caz putea acționa asupra lui; panoul de administrare al platformei nu cerea un al doilea factor; codurile de autentificare de unică folosință și aserțiunile SAML ajungeau la serviciul de monitorizare a erorilor; autentificările eșuate, căutările eșuate de cazuri și limitele de cereri atinse nu lăsau nicio urmă; avertizorii își alegeau singuri parola din șase cifre, așa că o alegere comună precum 123456 era acceptată (raportările noi primesc o parolă din 16 cifre generată de sistem; raportările trimise mai devreme o păstrează pe a lor, vezi Constatări deschise cunoscute). O verificare doar în citire a producției nu a găsit niciun PDF de raportare stocat și niciun cont de Observator, deci niciuna dintre aceste două probleme nu a afectat vreun caz. Cealaltă este enumerată la constatările deschise cunoscute |
Constatări deschise cunoscute #
| Constatare | Poziție |
|---|---|
| Nu există firewall pentru aplicații web și nici CDN în fața originii aplicației | Decizie deliberată. Găzduirea directă a aplicației și a fișierelor este în UE, în timp ce lanțul de e-mail și telemetrie poate implica prelucrări ulterioare în afara SEE. Protecția anti-DDoS la nivel de rețea la furnizorul de găzduire, împreună cu limitarea frecvenței la nivel de aplicație, este compromisul actual. |
| Fotografiile de profil ale personalului sunt stocate cu metadatele originale ale fișierului | Deliberat. Eliminarea metadatelor îi protejează pe avertizori și dovezile lor. O fotografie de profil este aleasă și încărcată de persoana pe care o înfățișează. |
| Raportările trimise înainte de 18 octombrie 2026 își păstrează parola din 6 cifre aleasă la trimitere de persoana care raportează sau, pentru o raportare înregistrată de personal, de responsabilul de caz | Acceptat. Aceste parole funcționează în continuare și nu sunt înlocuite. Autentificarea permite 10 încercări de parolă per ID al cazului la 10 minute, de la orice IP. |
Ce nu demonstrează acest lucru #
- Operatorul a ales domeniul, a rulat testele și a raportat rezultatele. Nimic din toate acestea nu a fost verificat independent.
- O trecere fără constatări este o dovadă despre cazurile testate, nu despre cele netestate.
- Controlul A.5.35 din autoevaluarea ISO/IEC 27001:2022, revizuirea independentă a securității informațiilor, rămâne deschis din acest motiv. Este singurul control din Anexa A de pe acea pagină consemnat ca fiind în tratare, iar aceeași limitare menține capitolul 9.2 (audit intern) la nivel parțial — vezi consemnarea auditului intern.
Ultima actualizare: