Защита
изоляция, выход наружу по списку, ключи, снимки базы, второй фактор; паспорт одним файлом для службы безопасности заказчика
Раздел «Защита приложения» отвечает на вопрос, который рано или поздно задаёт служба безопасности заказчика: что именно защищает это приложение и чем это подтверждено. Паспорт собран из фактов, которые платформа проверяет сама - настройки сервера приложения, ежедневная проверка безопасности, проверка публичного адреса снаружи и журнал выкладок. Своих чисел паспорт не выдумывает.
Каждая строка это одна защита с состоянием: «защищено», «частично», «нет» или «не проверяли». Рядом сказано, что это значит на человеческом языке, и стоит ссылка на экран, где это настраивается. Настроить прямо в паспорте ничего нельзя намеренно: второй путь к настройке разошёлся бы с первым.
Кнопка «Скачать паспорт» отдаёт один файл, который можно отправить в службу безопасности заказчика или приложить к тендеру. В файле нет ни адресов, ни портов, ни ключей: только состояния защиты словами, поэтому его не страшно передать наружу.
Из чего складывается паспорт
Публичная часть: как отдаются страницы, оценка проверки снаружи, защитные заголовки, посторонние источники на страницах.
Граница и вход: один вход в приложение, файрвол сервера, лишние открытые порты, доступность базы из интернета.
Сервис приложения: изоляция, закрытые служебные данные площадки, состав образа, уязвимости в библиотеках и опасные приёмы в коде.
Выход наружу: список адресов, к которым приложению разрешено обращаться, совпадение списка с применённым и число отбитых попыток за сутки.
Данные: снимки базы, хранение паролей, права приложения в базе.
Ключи и доступ к платформе: как зашифрованы ключи, что приложению разрешено просить у платформы, где лежат загруженные файлы.
Люди и доступ: сколько человек имеют доступ и у скольких включён второй фактор.
Сборка и происхождение: совпадает ли работающая версия с тем, что лежит в репозитории.
Наблюдение: когда проходила последняя проверка и сколько замечаний открыто.
- «Не проверяли» - это отдельное состояние, а не «защиты нет». Так помечены строки, по которым источник не ответил или такой проверки у платформы пока нет; в счёт «подтверждено N из M» они не входят.
- Строки со статусом «нет» показываются честно, в том числе те, что мы обещаем и ещё не сделали. Паспорт, где всё зелёное, ничего не проверяет.
- Кнопка «Обновить» пересобирает паспорт мимо кэша. Файл собирается по свежим фактам всегда.
- Раздел есть только у сайтов с собственным сервером и базой. Проверка публичного адреса снаружи живёт в разделе «Проверки» и работает у любого сайта.
Что вы увидите
Страница «Защита приложения»: «Паспорт сайта» со строкой «Проверок в паспорте N: защищено N, частично N, нет N, не проверяли N», кнопки «Обновить» и «Скачать паспорт» (PDF). Разделы: «Публичная часть», «Граница и вход», «Сервис приложения», «Выход наружу», «Данные», «Ключи и доступ к платформе», «Люди и доступ», «Сборка и происхождение», «Наблюдение»; у строки состояние «защищено», «частично», «нет», «не проверяли», «сведение» и ссылка «Настроить».
Сами находки сканеров приложения (зависимости, ключи в коде, заголовки, сервер, версии, код, переменные, живая проверка, хранение паролей) показываются в «Паспорте безопасности» в меню «Проверки», с важностью «Критично», «Высокая», «Средняя», «Низкая». Сканеры проходят раз в сутки.
Частые вопросы
- Что значит «не проверяли»? Ровно это: источник не ответил, и строка не оценена. Это не «защиты нет». Список источников, которые не ответили, стоит над паспортом.
- Как закрывается находка? Только удачным прогоном сканера её вида после исправления; упавший сканер ничего не закрывает. Что чинится правкой кода, исправляют кнопки «Исправить это» / «Исправить всё» в паспорте безопасности; ключ, попавший в код, отзывают и выпускают заново руками.
- Заменяет ли паспорт аудит безопасности? Нет: он собран из фактов, которые платформа проверяет сама. Проверка публичного адреса снаружи в разделе «Безопасность».
Если не сработало
- Написано «Паспорт защиты есть только у приложений». У статического сайта нет своего сервера и базы: смотрите «Паспорт безопасности».
- Написано «Не удалось собрать файл» или «Не удалось собрать паспорт». Нажмите «Обновить» ещё раз; при повторе напишите нам.
- Сканеры ничего не показали. Первый проход идёт в течение суток после создания приложения, а находки видят владелец и администратор компании.