YPCad
Íslenska
Pantið kynningu

Öryggi

Þessi síða segir bæði hvað við verjum og hvað við getum ekki varið. Öryggisfrásögn sem vantar seinni helminginn fær lesandann til að rugla lista saman við ábyrgð.

Upphafspunktur

Að gefa út pakka er að keyra kóða í tölvu hvers einasta verkfræðings sem setur hann upp. Hver öryggisákvörðun í þessari vöru hefur fyrst verið vegin gagnvart einni spurningu: gerir þessi breyting það auðveldara að gefa út án réttinda?

  • Pakkarnir eru undirritaðir (ECDSA P-256)

    Undirskriftarskráin ferðast inni í pakkanum. Hún undirritar skrárlýsingu með fingraförum skránna, auðkenni pakkans og útgáfunni — ekki bara fingrafar safnskrárinnar.

    Væri aðeins fingrafarið undirritað mætti lauma gamalli, rétt undirritaðri safnskrá undir nýju útgáfunúmeri: undirskriftin stæðist athugunina og notandinn setti upp verkfæri með þekktum veikleika sem „uppfærslu“.

  • Einkalykillinn er EKKI á netþjóninum

    Netþjónninn athugar aðeins. Undirritunin fer fram í tölvu þess sem gefur út, með sérstöku verkfæri.

    Lægi lykillinn á netþjóninum gæti sá sem nær honum breytt pakka og undirritað hann aftur — sem gerði undirskriftina að engu.

  • Biðlarinn athugar líka

    Viðbótin í tölvu verkfræðingsins athugar undirskriftina fyrir sitt leyti, og listinn yfir treysta lykla sem hún notar kemur ekki frá netþjóninum.

    Undirskriftin er til einmitt vegna þess að ekki er hægt að trúa netþjóninum í orði. Að sækja traustslistann á sama netþjón myndi hljóðlega ógilda upphaflegu forsenduna.

  • Úttektarskrá sem er ekki eytt

    Hver útgáfa, hver réttindabreyting og hver ákvörðun um rás eru skráð að eilífu. Það er vísvitandi engin leið til breytinga eða eyðingar, og hreinsun eftir geymslutímann snertir hana ekki.

    „Hvernig komst þetta verkfæri hingað“ er yfirleitt spurt mánuðum síðar. Þann dag er færsla sem hefði mátt eyða færsla sem aldrei var til.

  • Fjögurra augna reglan, valfrjáls

    Að dreifa útgáfu í breiðari rás getur krafist samþykkis annars stjórnanda, og sá sem bað um það getur ekki samþykkt sína eigin beiðni. Afturköllun krefst aldrei samþykkis.

    Sjálfgefið er slökkt á henni. Í þriggja manna teymi breytist hindrunin á fáeinum vikum í skilaboð sem eru samþykkt án lestrar; eftirlit sem talið er verja en ver ekki er verra en ekkert eftirlit.

  • Að taka upp safnskrá er í sjálfu sér árásarflötur

    Innsendar safnskrár eru athugaðar með tilliti til útbrots úr möppunni (zip-slip) og upptökusprengja, og stærðin eftir upptöku er takmörkuð.

    Að taka upp safnskrá lítur sakleysislega út. Sérstaklega undirbúin getur skrifað skrár utan markmöppunnar eða fyllt disk netþjónsins.

  • Innskráning án lykilorðs

    Notendur skrá sig inn með einnota kóða sem sendur er á netfang þeirra. Setan gengur á skammlífu teikni; endurnýjunarteiknið er aldrei sýnilegt kóðanum í vafranum.

    Sé engin lykilorðahirsla til að sinna er heldur enginn lykilorðagrunnur sem gæti lekið. Og endurnotkun á endurnýjunarteikni sem þegar hefur verið afturkallað er meðhöndluð sem merki um þjófnað: setunni er lokað.

  • Þið sjáið hvað þið setjið upp

    Uppsetningarmappan inniheldur vélleshæfan íhlutalista (SBOM CycloneDX) og flutningsskriftur fyrir báða gagnagrunna.

    Tölvudeildin ykkar verður að geta athugað hvað berst á netþjóninn áður en það berst. Þegar veikleiki er tilkynntur í einhverju aðfangi verður „eigum við hann?“ að leit í skrám.

Hvað við getum ekki varið

Þetta eru ekki gallar heldur mörk. Þau leiða af byggingunni, og að halda öðru fram væri ósatt.

  • Tveir stjórnendur sem vinna saman. Fjögurra augna reglan stöðvar einn, ekki tvo.
  • Kerfisstjóri netþjónsins. Fyrir þann sem hefur aðgang að gagnagrunninum og skráakerfinu er ekkert eftirlit á forritsstigi hindrun.
  • Vinnustöðin þar sem undirskriftarlykillinn liggur. Lykillinn er ekki á netþjóninum, en hann er einhvers staðar; falli sú vél fellur undirskriftin með.
  • Vísvitandi falin illgjörn hegðun. Skoðun okkar á pökkum er reynslubundin og við höldum því ekki fram að hún nái kóða sem reynir að fela sig.
  • Gagnaleki. Uppsett verkfæri keyrir með réttindum verkfræðingsins sjálfs og getur lesið allt sem þau ná til. Það takmarkast af eftirliti stýrikerfisins og netsins, ekki af þessari vöru.
  • Öryggi öryggisafritanna ykkar. Afrit gagnagrunnsins er í ykkar höndum, og allt í því er nákvæmlega jafn mikils virði og lifandi kerfið.

Tilkynna veikleika

Hafið þið fundið einhvern, skrifið okkur. Við tökum tilkynningum alvarlega, útilokum ekki þann sem tilkynnir frá ferlinu, og segjum frá hvenær lagfæringin kemur.

security@ypcad.com