Zabezpečení ve společnosti Barliva
Bezpečnost vašich údajů bereme vážně. Tato stránka shrnuje technická a organizační opatření, která používáme k ochraně Služeb Barliva, a způsob, jak nahlásit zranitelnost, pokud nějakou objevíte.
Šifrování při přenosu
Veškerý provoz je obsluhován výhradně přes HTTPS s moderním TLS. HTTP je přesměrováno na HTTPS a odesíláme hlavičky HSTS.
Šifrování v klidu
Přihlašovací údaje jsou ukládány pouze jako solené hashe. Databáze a objektové úložiště obsahující uživatelská data jsou šifrovány v klidu.
Zpevněná infrastruktura
Služby běží na hostitelích Linux s řízeným přístupem, výchozím zákazem na firewallu, automatickým bezpečnostním záplatováním a prevencí narušení.
Nejnižší možná oprávnění
Interní služby (cache, objektové úložiště, metriky) jsou vázány na privátní rozhraní a nikdy nejsou veřejně přístupné. Administrátorský přístup je založen na klíčích a omezený rozsahem.
01Naše postupy
- Zabezpečení sítě. Firewall povoluje pouze porty potřebné k obsluze aplikace (HTTPS) a zabezpečený administrátorský přístup. Backendová úložiště dat, cache a koncové body metrik naslouchají pouze na loopbacku nebo v privátních sítích.
- Autentizace. Vzdálený přístup k serveru vyžaduje SSH klíče; autentizace heslem je vypnuta. Aplikační účty používají hashované přihlašovací údaje a podporují vypršení relace.
- Záplatování. Bezpečnostní aktualizace operačního systému a závislostí jsou nasazovány neprodleně, s povoleným bezobslužným bezpečnostním aktualizováním.
- Monitoring a protokolování. Sbíráme systémové a aplikační metriky a uchováváme auditní protokoly k detekci a vyšetřování anomálií.
- Zálohy. Uživatelská data jsou pravidelně zálohována s definovaným uchováváním, což umožňuje obnovu po incidentech.
- Minimalizace dat. Sbíráme jen to, co potřebujeme, a snímky čárových kódů jsou ve výchozím nastavení zpracovávány přímo v zařízení, nikoli nahrávány. Viz naše Zásady ochrany osobních údajů.
02Odpovědné zveřejňování
Hlášení od bezpečnostních výzkumníků vítáme. Pokud se domníváte, že jste objevili zranitelnost, napište na security@barliva.com a uveďte:
- Popis problému a jeho potenciálního dopadu;
- Kroky k reprodukci (pokud možno proof-of-concept);
- Veškeré relevantní URL, požadavky nebo snímky obrazovky.
Před jakýmkoli veřejným zveřejněním nám prosím poskytněte přiměřený čas na prošetření a nápravu a vyhněte se přístupu k datům jiných uživatelů nebo jejich úpravě, zhoršování našich služeb či spouštění automatizovaných skenů, které by mohly způsobit škodu. Vaše hlášení potvrdíme, budeme vás informovat a tam, kde si to přejete, uvedeme výzkumníky, kteří odpovědně zveřejní, jako autory.
03Kontakt
Bezpečnostní tým: security@barliva.com
Otázky k soukromí najdete v našich Zásadách ochrany osobních údajů.
Tato stránka popisuje náš bezpečnostní program v obecné rovině a může se vyvíjet spolu s naší infrastrukturou. Je poskytována pro účely transparentnosti a není smluvní zárukou.