Два рівні перевірки
Ми поєднуємо внутрішні перевірки, у яких атакуємо самих себе, з незалежною зовнішньою оцінкою.
Внутрішня перевірка з позиції зловмисника
Незалежні команди випробовували код реальними сценаріями атак у кілька раундів і закривали виявлені проблеми структурно на рівні бази даних і сервера.
Зовнішня перевірка — AEGISonar
Незалежна зовнішня оцінка нашої поверхні атаки та веб-вразливостей за допомогою AEGISonar від WebEASM.
Внутрішня перевірка з позиції зловмисника — як ми це робили
Не «ми писали код обережно» — ми справді намагалися проникнути. Незалежні команди з різними методологіями паралельно переглядали код у кілька раундів, і кожне виявлення підтверджувалося лише після незалежних спроб спростувати його досяжність.
Наш метод
Сценарії атак, які ми перевірили
Ми справді намагалися здійснити наведені нижче атаки та переконалися, що вони блокуються на рівні бази даних і серверного коду.
✓Обхід ізоляції орендарів
Спроби прочитати або записати клієнтів, документи чи запити іншої фірми. Не лише читання — записи (INSERT/UPDATE) також прив’язані до зв’язку фірма↔клієнт і блокуються.
✓Вертикальне підвищення привілеїв
Спроби піднятися від співробітника→власника або від клієнта→члена фірми. Рішення щодо ролей і прийняття запрошень застосовуються на сервері та в базі даних.
✓Перехоплення посилання-запрошення
Спроби прийняти запрошення з невідповідною електронною адресою. Адреса для входу має збігатися із запрошеною.
✓Обхід MFA
Спроби отримати доступ до даних лише за паролем. Щойно фактор зареєстровано, база даних вимагає сесію aal2 (двофакторну).
✓Зловживання ретрансляцією сповіщень/листів та впровадження фішингу
Спроби впровадити підроблені посилання для входу через канали сповіщень. Ідентичність відправника та домени посилань закріплені за довіреними значеннями.
✓Зловживання воронкою реєстрації
Анонімні масові виклики API реєстрації, щоб вивести сервіс з ладу або захопити адреси фірм. Блокується серверною маршрутизацією, обмеженням частоти запитів і прив’язкою до платіжної сесії.
✓Розкриття секретів, XSS, відкриті перенаправлення
Перевірки на витік серверних секретів у браузер, виконання введених користувачем даних як скрипту та зловживання перенаправленнями.
✓Підробка вхідних SMS-вебхуків
Спроби підробити вхідні вебхуки, щоб змінити згоду на SMS. Блокується обов’язковою перевіркою підпису.
Підтверджені реальні проблеми було закрито на рівні політик бази даних і серверного коду, здебільшого ще до підключення реальних клієнтів.
Чесна межа
Безпека — це безперервний процес, у якого немає «готово». Наші внутрішні перевірки ґрунтуються на статичному аналізі та сценаріях і доповнюються зовнішньою оцінкою AEGISonar. Зі зростанням кількості клієнтів ми продовжуємо розширювати тестування. Замість того щоб заявляти про досконалість, ми обираємо прозорість щодо того, що саме й як ми перевірили.