Saugumas
Tavo duomenys – ne mūsų prekė. Štai kaip juos saugome, ko dar neturime ir ką daryti, jei radai spragą.
Radai spragą? Parašyk mums
Jei radai saugumo spragą Dumpli, labai ačiū, kad pirmiausia pranešei mums. Rašyk:
labas@dumpli.app- kas tai per spraga ir kur (adresas, ekranas ar API kelias);
- kaip ją pakartoti – žingsniai, užklausos, ekrano nuotraukos;
- kokį poveikį ji gali turėti (pvz., kieno duomenys pasiekiami).
Kas tikrinama
- dumpli.app – svetainė
- app.dumpli.app – programėlė ir jos API (/api)
Kas netikrinama
- kitų įmonių paslaugos, kuriomis naudojamės (Hetzner, Cloudflare, Zoho, Open Food Facts, Apple, Google, Anthropic) – joms rašyk tiesiogiai;
- apkrovos ir DoS bandymai, šlamštas, socialinė inžinerija, fizinė prieiga;
- pranešimai be įrodymo, kad tai realiai išnaudojama (pvz., tik trūkstamos antraštės ar automatinio skenerio ataskaita).
Sąžiningo tyrėjo taisyklės
- Tikrink su savo paskyra. Svetimų duomenų nežiūrėk, nekeisk ir nekopijuok daugiau, nei būtina spragai parodyti.
- Netrikdyk paslaugos kitiems žmonėms.
- Kol spraga nesutaisyta, apie ją viešai nepasakok – duok mums laiko.
- Duomenis, kuriuos netyčia gavai, ištrink ir niekam neperduok.
Ką pažadame mes
- Prieš sąžiningai, pagal šias taisykles veikusį tyrėją nesikreipsime į teismą ir policiją.
- Perskaitysime kiekvieną pranešimą ir pasakysime, ką nusprendėme.
- Spragas, kurios kelia pavojų žmonių duomenims, taisome pirmiausia.
Štai kaip yra: pinigų už rastas spragas (vadinamojo „bug bounty“) nemokame. Esame maža komanda ir nenorime žadėti to, ko negalime. Galime pasiūlyti nuoširdų ačiū.
Mašinoms skaitomas kontaktas: /.well-known/security.txt
Kaip saugome duomenis
Tik saugus ryšys
Svetainė ir programėlė veikia tik per HTTPS, o naršyklėms liepiame visada jungtis saugiai (HSTS). Saugumo antraštės draudžia, pavyzdžiui, rodyti mūsų puslapius svetimuose rėmeliuose.
Užšifruoti įrašai
Programėlės įrašas (planas, dienynas, svoris ir kt.) serveryje saugomas užšifruotas AES-256-GCM. Raktas laikomas tame pačiame serveryje, todėl tai apsauga nuo pavogtų diskų ar kopijų, bet ne nuo mūsų pačių. Sakome atvirai.
Slaptažodžiai
Slaptažodžio nesaugome – tik jo scrypt maišos reikšmę su atskira „druska“ kiekvienam žmogui. Prisijungimo ir slaptažodžio atkūrimo žetonai irgi saugomi tik kaip maišos reikšmės. Bandymų prisijungti skaičius ribojamas.
Prisijungimo slapukas
Vienintelis slapukas – prisijungimo. Puslapio skriptai jo perskaityti negali, jis siunčiamas tik saugiu ryšiu, o svetimos svetainės negali juo pasinaudoti siųsdamos duomenis mūsų serveriui.
Kas lieka tavo telefone
Sveikatos testo atsakymai niekada neišeina iš įrenginio. Nuotraukos irgi lieka jame – išskyrus „Kalorijos iš nuotraukos“ ir recepto skaitymą (abu Plus), kai pats(-i) nusprendi nuotrauką nusiųsti įvertinti ar perskaityti. Be paskyros niekas nesinchronizuojama.
Kur ir kiek
Serveris – Hetzner duomenų centras Vokietijoje (ES). IP adresų nesaugome, svetainėje nėra trečiųjų šalių skriptų, šriftai įkeliami iš mūsų pačių. Ištrinti duomenys iš atsarginių kopijų dingsta per 14 dienų.
Ko dar neturime
Dviejų veiksnių prisijungimo (kodo telefone) kol kas nėra. Todėl naudok ilgą, tik Dumpli skirtą slaptažodį, o telefone – ekrano užraktą: duomenys įrenginyje yra tiek saugūs, kiek saugus pats įrenginys.
Daugiau apie tai, ką saugome ir kodėl – privatumo politikoje.