Bezpieczeństwo i zaufanie

Architektura minimalnego zaufania

Skanowanie podatności odbywa się lokalnie na maszynie klienta - Secvalis nigdy nie ma dostępu do Twojej infrastruktury. Do platformy trafiają wyłącznie metadane skanu (nazwa hosta, zainstalowane pakiety, wersje, dopasowane CVE).

Nie ma agenta ani demona działającego w tle - skrypt uruchamiany jest w kontrolowanym przez Ciebie harmonogramie i można go wyłączyć w każdej chwili. Klucz API wydany skryptowi ma zakres ograniczony wyłącznie do bezpiecznej wysyłki wyników skanu.

Pełna specyfikacja wysyłanego payloadu: Jakie dane są wysyłane.

Ochrona danych

Hosting: OVHcloud, serwery zlokalizowane w Warszawie, Polska (UE / EOG).

Szyfrowanie: TLS 1.2+ w tranzycie. Jawnie i uczciwie: sama baza danych nie jest szyfrowana at rest, natomiast kopie zapasowe są szyfrowane (restic) przed wysłaniem i przechowywane codziennie, offsite, w OVH Object Storage (S3, region Polska), z polityką retencji 7 kopii dziennych, 4 tygodniowych i 6 miesięcznych, wraz z cotygodniowym testem odtworzenia.

Separacja danych klientów: izolacja per konto (multi-tenancy).

Retencja / usuwanie: po zgłoszeniu usunięcia konta jest 30 dni na anulowanie, potem usuwamy dane konta w codziennym cyklu porządkowym; jeżeli zakończenie subskrypcji albo usunięcie się nie powiedzie, ponawiamy próbę w kolejnych cyklach. Zostają wpisy rejestru rozliczeń, techniczny rekord konta i rejestr odmów dostępu (90 dni od wpisu), opisane w polityce prywatności; kopie zapasowe wygasają w rotacji. Eksport jest dostępny do dnia usunięcia konta, więc potrzebne dane i raporty trzeba pobrać wcześniej.

RODO: administratorem danych jest SYSDEVOPS.EU Jarosław Karsznia. Podprocesorzy: OVHcloud (hosting + przechowywanie kopii zapasowych, EOG) oraz Resend (wysyłka e-maili transakcyjnych, USA - na podstawie Data Privacy Framework / Standardowych Klauzul Umownych).

Pełne informacje: Umowa Powierzenia Przetwarzania Danych Osobowych (DPA).

Bezpieczeństwo platformy

Dostęp: role w platformie oraz MFA per-konto - właściciel konta może wymusić MFA dla wszystkich użytkowników. Dziennik działań (tylko do dopisywania, dopóki konto istnieje) rejestruje akcje i jest dostępny dla roli AUDITOR. Przy usunięciu konta jest kasowany razem z pozostałymi danymi konta, podobnie jak zamrożone raporty.

Testy bezpieczeństwa: każda funkcjonalność testowana jest wewnętrznie pod kątem podatności przed wydaniem.

Hardening transportu: wymagamy HTTPS (HSTS) i wysyłamy nagłówki odpowiedzi chroniące przed zgadywaniem typów treści (MIME sniffing), osadzaniem w ramkach (clickjacking), wyciekiem referrera oraz nadmiarowymi uprawnieniami przeglądarki.

Responsible disclosure

Znalazłeś podatność w Secvalis? Napisz na [email protected]. Odpowiadamy w ciągu 72 h, nie podejmujemy kroków prawnych wobec badaczy działających w dobrej wierze.

Program jest bez wynagrodzenia: za zgłoszenia nie płacimy.

Działanie w dobrej wierze oznacza testy wyłącznie na własnym koncie i w granicach Regulaminu. Te zasady nie dają uprawnień ponad Regulamin: nadal obowiązuje zakaz zakłócania działania Usługi i obchodzenia limitów dostępu (pkt 7). W szczególności działaniem w dobrej wierze nie są:

• dostęp do cudzych danych,
• ataki odmowy usługi (DoS),
• skanowanie Secvalis narzędziami automatycznymi,
• spam,
• żądanie zapłaty jako warunku ujawnienia szczegółów albo powstrzymania się od ich publikacji.

Jeśli przypadkiem trafisz na podatność, zobaczysz cudze dane albo obejdziesz limit dostępu, przerwij od razu, niczego nie kopiuj ani nie zmieniaj, nie testuj dalej i zgłoś to na [email protected] bez przesyłania tych danych. Takie zdarzenie, zgłoszone niezwłocznie, samo w sobie nie oznacza działania w złej wierze.

Obietnica braku kroków prawnych dotyczy tylko nas: nie wiąże klientów, innych osób ani organów i nie ogranicza obowiązków, które nakłada na nas prawo, na przykład zgłoszenia naruszenia ochrony danych.

Kim jesteśmy

Secvalis rozwija Jarosław Karsznia (SYSDEVOPS.EU), z ponad 17-letnim doświadczeniem w administracji i utrzymaniu infrastruktury (DevOps/SysOps). Narzędzie powstało z własnej potrzeby zarządzania podatnościami setek maszyn bez budżetu enterprise.

Więcej o mnie