Sicherheitsmaßnahmen

Hosting

Die Website und das Kundenportal werden in Frankreich gehostet, in den Rechenzentren von OVH SAS, société par actions simplifiée.

Abschottung zwischen Kunden

Die Plattform ist ein mandantenfähiges SaaS: Jede Kundenorganisation hat einen eigenen Tenant, abgeschottet von den anderen, auf einer gemeinsamen Infrastruktur. Die Daten einer Übung — das beschriebene Informationssystem, genannte Lieferanten, angenommene Schwachstellen — sind von Natur aus sensibel: Die Abschottung zwischen Tenants ist ein Architekturprinzip, keine Konfigurationsoption.

Konkret gehört jedes Datum — Szenario, Übung, Konto, Bericht — zu genau einer Organisation, und jede Anfrage wird serverseitig nach der Organisation des angemeldeten Kontos gefiltert: Ein Nutzer kann die Daten einer anderen Organisation weder lesen noch ändern. Innerhalb einer Organisation sehen Teilnehmende weder das Szenario noch die kommenden Injects noch das Bewertungsraster.

Bereitstellung und Zahlung

Die Website, die Sie lesen, hat keinen Zugriff auf die Datenbank oder den Zahlungsanbieter: Sie ist eine statische Website ohne Sitzung. Instanzen werden von einem eigenen Dienst angelegt und gesperrt, der nie direkt aus dem Web erreichbar ist; Zahlungsereignisse werden protokolliert und anschließend idempotent verarbeitet, damit ein Netzwerkvorfall beim Zahlungsanbieter keine doppelte Instanz anlegen kann.

Authentifizierung

Passwörter haben mindestens 12 Zeichen und werden nur gehasht gespeichert; wiederholte Anmeldeversuche für ein Konto werden verlangsamt. Der zweite Authentifizierungsfaktor (TOTP, Einmalcode) ist für die Plattformverwaltung Pflicht, und jede Kundenorganisation kann ihn für ihre Administratoren vorschreiben. Teilnehmende können sich über das Single Sign-on (OpenID Connect) ihrer Organisation anmelden. Sitzungen können jederzeit widerrufen werden.

Verschlüsselung

Der Datenverkehr mit der Plattform ist mindestens mit TLS 1.2 verschlüsselt, bevorzugt TLS 1.3, auch zwischen der Anwendung und ihrer Datenbank. Datenbanksicherungen sind verschlüsselt (AES-256). Sensible Geheimnisse in der Datenbank — zweiter Authentifizierungsfaktor, SSO-Konfiguration der Kunden — sind verschlüsselt (AES-256-GCM); Passwörter werden nur gehasht gespeichert.

Protokollierung und Nachweis

Eine Übung erzeugt eine zeitgestempelte Chronologie der Entscheidungen, die im Auswertungsbericht als Nachweis dient. Diese Chronologie ist nach Abschluss der Sitzung unveränderlich und exportierbar. Sie ist getrennt vom technischen Audit-Protokoll der Plattform (Anmeldungen, Rechteänderungen, Verwaltungsaktionen), das jede Organisation per Syslog an ihr eigenes SIEM weiterleiten kann.

Eine Schwachstelle melden

Schreiben Sie an contact@vordurcyber.com, Betreff „[Sicherheit]“: betroffene Adresse oder Funktion, Schritte zur Reproduktion, mögliche Auswirkung. Noch keine PGP-Verschlüsselung: Beschreiben Sie personenbezogene Daten Dritter, statt sie beizufügen. Siehe auch security.txt.

Umfang. Die Plattform Crisis Room und diese Website. Ausgeschlossen: Denial of Service und Lasttests, Social Engineering, physischer Zugang, Dienste Dritter (Hosting, E-Mail, Identitätsanbieter der Kunden), Befunde ohne nachgewiesene Auswirkung (fehlender Header, Versionsbanner, ungeprüfte Scanner-Ausgabe).

Testregeln. Testen Sie mit Ihrem eigenen Konto (Testkonto auf Anfrage). Greifen Sie auf Daten eines anderen Kunden nur so weit zu, wie es für den Nachweis unbedingt nötig ist, und hören Sie auf, sobald Sie personenbezogene oder Übungsdaten erreichen. Ändern oder löschen Sie nichts, was Ihnen nicht gehört, halten Sie keinen Zugang aufrecht, beachten Sie die Ratenbegrenzungen und behandeln Sie den Befund bis zur Behebung vertraulich.

Unsere Zusagen. Eingangsbestätigung innerhalb von 3 Werktagen, erste Bewertung (Zulässigkeit, Schweregrad nach CVSS) innerhalb von 10 Werktagen. Angestrebte Behebung innerhalb von 30 Tagen bei kritischen oder hohen Schwachstellen, 90 Tage bei den übrigen. Veröffentlichung in Abstimmung mit Ihnen, andernfalls 90 Tage nach der Meldung; betroffene Kunden werden vorher informiert. Öffentliche Danksagung auf Wunsch; derzeit keine finanzielle Belohnung.

Forschung in gutem Glauben. Gegen Forschung, die diese Regeln einhält, gehen wir nicht rechtlich vor; sollte ein Dritter dies tun, würden wir erklären, dass die Forschung erlaubt war.