Lastno varnostno testiranje #
To je lastno testiranje. Izvaja ga upravljavec, ne neodvisni ocenjevalec, in ne nadomešča neodvisnega zunanjega penetracijskega testa, ki je zabeležen na strani Zaupanje. Objavljeno je, ker je vsebina za pregledovalca uporabna tudi tam, kjer neodvisnosti ni.
Zadnja posodobitev: 2026-10-18.
Opravljeno testiranje #
| Datum | Vrsta | Obseg | Izid |
|---|---|---|---|
| 2026-05-26 | Varnostna ocena na ravni kode | Statična analiza, revizija odvisnosti ter ročni pregled avtentikacije, avtorizacije in ravnanja z datotekami | Obravnava nalaganja datotek je bila prepoznana kot najbolj tvegano področje. Ugotovitve so bile zabeležene v sledilniku težav in odpravljene: omejitve števila prilog na strani strežnika, avtorizacija neposrednega nalaganja ter čiščenje parametrov in naslovov IP v dnevnikih |
| 2026-05-26 | Zunanji produkcijski test, nedestruktiven | Glave odgovorov, nastavitev TLS, javne strani in sondiranje metapodatkov na produkcijskem gostitelju | Vrzeli v pokritosti glav odgovorov in manjkajoči metapodatki o varnostnem stiku; odvisnost od omrežij CDN tretjih oseb za sredstva ocenjena kot srednje tveganje. Odpravljeno 2026-05-27: objavljeni metapodatki o varnostnem stiku, zaščita pred ugibanjem vrste vsebine razširjena na statična sredstva |
| 2026-06-09 | Pregled avtentikacije | Ravnanje s piškotki, življenjski cikel seje, tokovi čarobnih povezav in povabil | Dve informativni ugotovitvi. Odpravljeno 2026-06-14: piškotek za čakajočo avtentikacijo prestavljen v šifrirano hrambo, da naslov ni berljiv na strani odjemalca; navedeni potek piškotka seje zdaj ustreza 14-dnevni časovni omejitvi nedejavnosti na strežniku. Ena ugotovitev nizke resnosti: naslovi poti za prijavo so bili izpeljani iz zaporednih identifikatorjev, zato je bilo mogoče popisati nabor organizacij strank. Odpravljeno 2026-08-12: vsaka pot za prijavo ima zasebni naključni naslov, stran, prikazana za neaktivno pot za prijavo, pa organizacije ne imenuje več |
| 2026-08-27 | Avtenticiran test s poznavanjem sistema | Dostop med najemniki, stopnjevanje pravic, množično dodeljevanje, dostop do prijav znotraj najemnika, zaupnost prilog, izolacija SCIM, zaupanje trditvam SAML | Napak v avtorizaciji ni bilo. Meje najemnikov in vlog so vzdržale v vseh testiranih primerih |
| 2026-08-27 | Pregled produkcijske izpostavljenosti | Omrežna izpostavljenost, utrjevanje gostitelja, obravnava posredniških glav, ravnanje s skrivnostmi | Glavam za posredovanje, ki jih pošlje odjemalec, se je zaupalo na izvoru, neposredno izpostavljenem internetu, kar bi omogočilo obid omejitev pogostosti na naslov IP. Popravljeno isti dan. Odstranjena je bila tudi glava s časovnimi meritvami strežnika na zahtevo. Nadomeščena glava Feature-Policy je bila 2026-09-05 zamenjana s Permissions-Policy |
| 2026-09-08 | Avtenticiran pregled dostave datotek in hrambe v brskalniku | Neposreden prenos izvozov podatkov in glasovnih posnetkov, dostop z znanimi URL-ji datotek med najemniki in po odstranitvi članstva, gumb Nazaj v brskalniku po odjavi | Tri ugotovitve, pri čemer je vsaka zahtevala uporabnika, ki je bil že pooblaščen in je imel podpisan URL datoteke, ali deljen brskalnik. Izvoz podatkov, ki mu je potekla veljavnost, je bilo še vedno mogoče prenesti z ohranjenega URL-ja brez ponovne avtentikacije. Obravnavalec je lahko prenesel izvirni glasovni posnetek, preden je bila njegova anonimizacija dokončana. Po preklicu seje je lahko gumb Nazaj v brskalniku znova prikazal prijavo iz predpomnilnika brskalnika. Odpravljeno 2026-09-10: dostava datotek zdaj uveljavlja enaka pravila o poteku veljavnosti, ponovni avtentikaciji in obdelavi kot stran s povezavo do datoteke, brskalnik pa občutljivih strani in zasebnih datotek ne shranjuje več. Dostop med najemniki in dostop odstranjenih članov je bil v vseh testiranih primerih zavrnjen |
| 2026-09-26 | Pregled ravnanja s sejami na ravni kode | Identifikacija sej in njeno vedenje po obnovitvi podatkovne baze | Seje so bile identificirane z identifikatorjem iz podatkovne baze. Obnovitev identifikatorje vrne nazaj, zato je lahko nova prijava v sistem prejela identifikator, ki ga je še vseboval preostali piškotek, in nadaljevala sejo tega uporabnika. Odpravljeno isti dan: seje so identificirane z naključnim žetonom, vse obstoječe seje pa so bile končane |
| 2026-09-28 | Pregled dnevnikov poti za prijavo | Dnevniki na strani aplikacije, zapisani med uporabo poti za prijavo s strani prijavitelja | Dve komponenti sta še vedno zapisovali naslove IP prijaviteljev: dnevnik zahtev spletnega strežnika in opozorilo zaščite pred neželeno pošto. Oboje je bilo odstranjeno isti dan. Lastni dnevnik zahtev posredniškega strežnika TLS, ki beleži naslov IP vsake zahteve, je nespremenjen in opisan na strani varnost |
| 2026-10-16 | Pregled na ravni kode glede na aktualne raziskave napadov na Rails | Obdelava naloženih datotek, dekodiranje slik, ravnanje s podpisanimi sporočili, dnevniki zahtev, shranjena sporočila v realnem času, generirana programska koda za avtorizacijo | Odstranjevanje metapodatkov je metodo izbiralo glede na vrsto, ki jo je navedel brskalnik, zato je fotografija, naložena kot splošna datoteka, ohranila metapodatke o lokaciji in napravi. Dekodirnik SVG v knjižnici za slike, ob zagonu blokiran, je bil za celoten proces znova omogočen, ko je bila ustvarjena slika za predogled povezave. Podpisana in šifrirana sporočila so še vedno sprejemala format serializacije, ki razkriti tajni ključ aplikacije spremeni v izvajanje kode. Dnevniki zahtev so beležili imena priloženih datotek in kratkotrajne žetone za prenos. Obvestila v realnem času, ki vsebujejo oznako zadeve prijave, so bila en dan shranjena nešifrirana. Predloga za nove avtorizacijske politike je izpustila filter organizacije; to ni vplivalo na nobeno obstoječo politiko. Vse je bilo odpravljeno isti dan |
| 2026-10-16 | Forenzični pregled v produkciji (CVE-2026-66066) | Pregled vsake datoteke, shranjene pred popravkom, samo za branje, glede posebej oblikovanih glav slik, slik, katerih slikovne pike se dekodirajo kot datoteke strežnika, in preostalih identifikacijskih metapodatkov | V ohranjenih podatkih ni dokazov o izkoriščanju niti slike iz prijave, ki bi še vsebovala identifikacijske metapodatke. Datoteke, ki bi lahko bile naložene prek izpostavljene poti za neposredno nalaganje, odprte od 2026-04-13 do 2026-05-12, je izbrisalo dnevno čiščenje nepriloženih datotek in jih ni več mogoče pregledati |
| 2026-10-17 | Pregled produkcijske izpostavljenosti | Dnevnik zahtev povratnega posredniškega strežnika, omejitve velikosti zahtev, pregledovanje slike vsebnika glede ranljivosti | Povratni posredniški strežnik beleži pot vsake zahteve, poti za prenos prilog pa so vsebovale ime datoteke. Telesa zahtev do 1 GB so se medpomnila na disk, preden jih je aplikacija preverila. Slika vsebnika je bila glede ranljivosti operacijskega sistema pregledana enkrat mesečno, čeprav zaveza za kritične popravke znaša 7 dni. Odpravljeno isti dan: noben od obeh korakov prenosa priloge ne vsebuje imena datoteke v svoji poti, telesa zahtev so omejena tik nad največjo legitimno prijavo, slika pa se pregleduje tedensko |
| 2026-10-17 | Mutacijsko testiranje avtorizacijskih pravil | Politike dostopa za prijave, dokumente prijav in poti za prijavo, pri čemer je bilo vsako pravilo namerno spremenjeno, da se potrdi, da zbirka testov zazna spremembo | Vsaka sprememba teh politik je bila zaznana. Napake v avtorizaciji ni bilo |
| 2026-10-18 | Pregled kode pred neodvisno oceno | Polja za nalaganje in dostop do datotek, odstranjevanje metapodatkov, zapora do protivirusnega pregleda, vloge v zadevah, upravljanje platforme, beleženje overjanja, poročanje o napakah, gesla prijaviteljev | Deset ugotovitev. Devet odpravljenih isti dan: polje za nalaganje je sprejelo identifikator že shranjene datoteke, zato je lahko uporabnik priložil datoteko, ki je ni naložil, in jo nato odprl (povezave do datotek zdaj potečejo tudi po eni uri); po odstranitvi metapodatkov iz PDF-ja je bilo izvirnega avtorja mogoče obnoviti iz prejšnje različice datoteke; izvoz podatkov je vključeval datoteke, ki niso prestale protivirusnega pregleda, datoteka, katere pregled ni bil nikoli uvrščen v čakalno vrsto, pa je bila posredovana nepregledana; Opazovalec, dodeljen zadevi, je lahko v njej ukrepal; skrbniška plošča platforme ni zahtevala drugega faktorja; enkratne kode za vpis in trditve SAML so prihajale do storitve za spremljanje napak; neuspeli vpisi, neuspela iskanja zadev in dosežene omejitve zahtev niso pustili sledi; prijavitelji so si sami izbrali šestmestno geslo, zato je bila sprejeta tudi pogosta izbira, kot je 123456 (nove prijave dobijo 16-mestno geslo, ki ga ustvari sistem; prej oddane prijave ohranijo svoje, glejte Znane odprte ugotovitve). Preverjanje produkcije samo za branje ni našlo nobenega shranjenega PDF-ja prijave in nobenega računa Opazovalca, zato nobena od teh dveh težav ni prizadela zadeve. Preostala ugotovitev je navedena med znanimi odprtimi ugotovitvami |
Znane odprte ugotovitve #
| Ugotovitev | Stališče |
|---|---|
| Pred izvorom aplikacije ni požarnega zidu za spletne aplikacije ali omrežja CDN | Namerno. Neposredno gostovanje aplikacije in datotek je v EU, medtem ko lahko veriga e-pošte in telemetrije vključuje nadaljnjo obdelavo zunaj EGP. Zaščita pred napadi DDoS na omrežni ravni pri ponudniku gostovanja skupaj z omejevanjem pogostosti na ravni aplikacije je trenutni kompromis. |
| Profilne fotografije zaposlenih so shranjene z izvirnimi metapodatki datoteke | Namerno. Odstranjevanje metapodatkov ščiti prijavitelje in njihove dokaze. Profilno fotografijo izbere in naloži oseba, ki je na njej. |
| Prijave, oddane pred 18. oktobrom 2026, ohranijo 6-mestno geslo, ki ga je ob oddaji izbral prijavitelj ali, pri prijavi, ki jo je zabeležilo osebje, obravnavalec | Sprejeto. Ta gesla še vedno delujejo in se ne zamenjajo. Vpis dovoljuje 10 poskusov gesla na oznako zadeve v 10 minutah, s katerega koli naslova IP. |
Česa to ne dokazuje #
- Upravljavec je izbral obseg, izvedel teste in poročal o rezultatih. Nič od tega ni bilo neodvisno preverjeno.
- Test brez ugotovitev je dokaz o testiranih primerih, ne o tistih, ki niso bili testirani.
- Kontrola A.5.35 iz samoocene po ISO/IEC 27001:2022 — neodvisen pregled informacijske varnosti — zaradi tega ostaja odprta. To je edina kontrola iz Priloge A na tisti strani, zabeležena kot v obravnavi, ista omejitev pa zadržuje točko 9.2 (notranja presoja) na delno izpolnjeni — glejte zapis notranje presoje.
Zadnja posodobitev: