Biztonság a Barlivánál
Komolyan vesszük az adataid biztonságát. Ez az oldal összefoglalja azokat a technikai és szervezési intézkedéseket, amelyekkel védjük a Barliva Szolgáltatásokat, valamint azt, hogyan jelenthetsz be egy sebezhetőséget, ha találsz egyet.
Titkosítás továbbítás közben
Minden forgalmat kizárólag HTTPS-en keresztül szolgálunk ki, modern TLS-sel. A HTTP átirányításra kerül HTTPS-re, és HSTS fejléceket küldünk.
Titkosítás nyugalmi állapotban
A hitelesítő adatokat kizárólag sózott hashként tároljuk. A felhasználói adatokat tartalmazó adatbázisok és objektumtárolók nyugalmi állapotban titkosítva vannak.
Megerősített infrastruktúra
A szolgáltatások hozzáférés-vezérelt Linux-gazdagépeken futnak, alapértelmezetten tiltó tűzfallal, automatikus biztonsági javítással és behatolásmegelőzéssel.
Legkisebb jogosultság
A belső szolgáltatások (gyorsítótár, objektumtároló, metrikák) privát interfészekhez vannak kötve, és soha nincsenek nyilvánosan elérhetővé téve. Az adminisztrátori hozzáférés kulcsalapú és hatókörrel korlátozott.
01Gyakorlatunk
- Hálózati biztonság. A tűzfal csak az app kiszolgálásához szükséges portokat (HTTPS) és a biztonságos adminisztratív hozzáférést engedélyezi. A háttér-adattárolók, gyorsítótárak és metrikavégpontok csak a loopback vagy privát hálózatokon figyelnek.
- Hitelesítés. A távoli szerverhozzáférés SSH-kulcsokat igényel; a jelszavas hitelesítés le van tiltva. Az alkalmazásfiókok hashelt hitelesítő adatokat használnak, és támogatják a munkamenet lejáratát.
- Javítás. Az operációs rendszer és a függőségek biztonsági frissítéseit haladéktalanul alkalmazzuk, engedélyezett felügyelet nélküli biztonsági frissítésekkel.
- Megfigyelés és naplózás. Rendszer- és alkalmazásmetrikákat gyűjtünk, és auditnaplókat őrzünk meg az anomáliák észlelésére és kivizsgálására.
- Biztonsági mentések. A felhasználói adatokról rendszeres ütemezés szerint, meghatározott megőrzéssel készítünk biztonsági mentést, támogatva az incidensekből való helyreállítást.
- Adatminimalizálás. Csak azt gyűjtjük, amire szükségünk van, és a vonalkódképeket alapértelmezetten az eszközön dolgozzuk fel, nem töltjük fel. Lásd az Adatvédelmi szabályzatunkat.
02Felelős bejelentés
Szívesen fogadjuk a biztonsági kutatók bejelentéseit. Ha úgy véled, hogy találtál egy sebezhetőséget, írj a security@barliva.com címre az alábbiakkal:
- A probléma leírása és lehetséges hatása;
- A reprodukálás lépései (lehetőség szerint proof-of-concept);
- Minden releváns URL, kérés vagy képernyőkép.
Kérjük, adj nekünk ésszerű időt a kivizsgálásra és orvoslásra bármilyen nyilvános közzététel előtt, és kerüld más felhasználók adatainak elérését vagy módosítását, a szolgáltatásaink rontását vagy olyan automatizált vizsgálatok futtatását, amelyek kárt okozhatnak. Visszaigazoljuk a bejelentésedet, tájékoztatunk a fejleményekről, és — ha kívánod — elismerjük azokat a kutatókat, akik felelősen jelentenek be.
03Kapcsolat
Biztonsági csapat: security@barliva.com
Adatvédelmi kérdésekért lásd az Adatvédelmi szabályzatunkat.
Ez az oldal általános jelleggel írja le a biztonsági programunkat, és az infrastruktúránk fejlődésével változhat. Átláthatóság céljából áll rendelkezésre, és nem minősül szerződéses jótállásnak.