YPCad
Кыргызча
Көрсөтмө суроо

Коопсуздук

Бул барак эмнени коргоорубузду да, эмнени коргой албасыбызды да айтат. Экинчи бөлүгү жок коопсуздук аңгемеси окурманга тизмени кепилдик менен аралаштырат.

Башталыш чекити

Пакет жарыялоо — аны орноткон ар бир инженердин компьютеринде код аткаруу дегени. Бул продукттагы ар бир коопсуздук чечими адегенде бир суроого каршы ченелген: бул өзгөртүү уруксатсыз жарыялоону жеңилдетеби?

  • Пакеттер кол тамгаланат (ECDSA P-256)

    Кол тамга файлы пакеттин ичинде жүрөт. Ал файлдардын хештери, пакеттин идентификатору жана версиясы бар манифестке кол коёт — архивдин жылаңач хешине эмес.

    Хешке гана кол коюлса, эски, туура кол тамгаланган архивди жаңы версия номеринин астына түртүүгө болмок: кол тамга текшерүүдөн өтүп, колдонуучу «жаңыртуу» катары белгилүү алсыздыгы бар куралды орнотмок.

  • Жабык ачкыч серверде ЭМЕС

    Сервер текшерет гана. Кол тамгалоо жарыялоочунун компьютеринде өзүнчө курал менен жасалат.

    Ачкыч серверде болсо, аны ээлеген адам пакетти өзгөртүп кайра кол тамгалай алмак — бул кол тамганы бекер кылмак.

  • Кардар да текшерет

    Инженердин компьютериндеги кошумча кол тамганы өз тарабынан текшерет, ал эми анын колдонгон ишенимдүү ачкычтар тизмеси серверден келбейт.

    Кол тамга дал ошол үчүн бар: серверге сөзү менен ишенүүгө болбойт. Ишеним тизмесин ошол эле серверден алуу баштапкы божомолду үнсүз жокко чыгармак.

  • Өчүрүлбөгөн аудит журналы

    Ар бир жарыялоо, ар бир уруксат өзгөрүүсү жана ар бир канал чечими түбөлүккө жазылат. Өзгөртүү же өчүрүү жолу атайын жок, жана сактоо мөөнөтүнөн кийинки тазалоо ага тийбейт.

    «Бул курал бул жерге кайдан келди» деген суроо адатта бир нече айдан кийин берилет. Ошол күнү өчүрүлүшү мүмкүн болгон жазуу — эч качан болбогон жазуу.

  • Төрт көз принциби, каалооңуз боюнча

    Версияны кеңири каналга таратуу экинчи администратордун бекитүүсүн талап кылышы мүмкүн, ал эми сурамды жиберген адам өз сурамын беките албайт. Кайтаруу эч качан бекитүүнү талап кылбайт.

    Демейде ал өчүк. Үч адамдык командада тоскоол бир нече жумада окулбай бекитилчү билдирүүгө айланат; коргойт деп ишенилген, бирок коргобогон текшерүү — текшерүүнүн таптакыр жоктугунан жаман.

  • Архив чечүү өзү кол салуу бети

    Жөнөтүлгөн архивдер папкадан чыгуу (zip-slip) жана чечүү бомбаларына текшерилет, жана чечүүдөн кийинки жалпы көлөм чектелген.

    Архив чечүү күнөөсүз көрүнөт. Атайын даярдалганы максаттуу папканын сыртына файл жаза алат же сервердин дискин толтурат.

  • Сырсөзсүз кирүү

    Колдонуучулар дарегине жөнөтүлгөн бир жолку код менен киришет. Сеанс кыска мөөнөттүү жетон менен жүрөт; жаңыртуу жетону браузердин кодуна эч качан көрүнбөйт.

    Кармап туруучу сырсөз казынасы жок болсо, агып кетиши мүмкүн болгон сырсөз базасы да жок. Ал эми күчү жоюлган жаңыртуу жетонун кайра колдонуу уурулуктун белгиси деп эсептелет: сеанс жабылат.

  • Эмне орнотуп жатканыңызды көрөсүз

    Орнотуу папкасында машина окуй турган курам тизмеси (SBOM CycloneDX) жана эки маалымат базасына арналган көчүрүү скрипттери бар.

    IT командаңыз серверге эмне барарын, ал ошол жерге баруудан мурун текшере алышы керек. Кайсы бир көз карандылык боюнча алсыздык жарыяланганда «бизде ал барбы?» деген суроо файлдардан издөөгө айланат.

Биз коргой албаган нерселер

Булар кемчилик эмес, чек. Алар түзүлүштөн келип чыгат, ал эми тескерисин айтуу жалган болмок.

  • Чогуу аракеттенген эки администратор. Төрт көз принциби бирин токтотот, экөөнү эмес.
  • Сервердин системалык администратору. Маалымат базасына жана файл системасына жеткиликтүүлүгү бар адамга колдонмо деңгээлиндеги эч бир текшерүү тоскоол эмес.
  • Кол тамга ачкычы турган жумуш станциясы. Ачкыч серверде эмес, бирок ал бир жерде; ошол компьютер кулаганда кол тамгалоо аны менен кошо кулайт.
  • Атайын жашырылган зыянкеч жүрүм-турум. Пакеттерди текшерүүбүз эвристикалык, жана жашынганга аракет кылган кодду кармайт деп айтпайбыз.
  • Маалымат агуусу. Орнотулган курал инженердин өз уруксаттары менен иштейт жана алар жеткен нерсенин баарын окуй алат. Аны чектеген — операциялык система менен тармак текшерүүлөрү, бул продукт эмес.
  • Камдык көчүрмөлөрүңүздүн коопсуздугу. Маалымат базасынын көчүрмөсү Сиздин колуңузда, жана андагы нерсенин баары тирүү система менен дал бирдей баалуу.

Алсыздык жөнүндө билдирүү

Мындайды тапсаңыз, бизге жазыңыз. Билдирүүлөрдү олуттуу кабыл алабыз, билдирүүчүнү процесстен чыгарбайбыз жана оңдоо качан жарыяланарын айтабыз.

security@ypcad.com