Biztonság az ePulz.io-nál

Kizárólag EU-s infrastruktúra

A teljes platform saját infrastruktúrán fut az Európai Unióban (Szlovákia). A monitoringadatok soha nem hagyják el az EGT területét, és nem dolgozza fel őket amerikai nyilvános felhő. A több régióban működő szondákat izolált WireGuard alagutak kötik össze.

Titkosítás

Az ePulz.io felé irányuló és onnan érkező teljes forgalom TLS 1.3 titkosítással védett; a HSTS engedélyezett, a domain pedig be lett jelentve a böngészők preload listájára. A jelszavakat bcrypt hashként tároljuk, és soha nem naplózzuk.

Biztonsági mentések és helyreállítás

Az adatbázisról naponta készül mentés folyamatos WAL archiválással, és egy másolat minden nap külön fizikai helyszínre replikálódik. A helyreállítást rendszeresen teszteljük - az a mentés, amelyet soha nem állítottak helyre, nem mentés.

Fiókvédelem

Kétfaktoros hitelesítés (TOTP) tartalék kódokkal, szigorú sebességkorlátozás a bejelentkezésnél és a jelszó-visszaállításnál (IP-nként és fiókonként), biztonságos munkamenet-sütik és Content-Security-Policy nonce-okkal az egész alkalmazásban.

API- és ügynöktokenek

Minden token epulzio_ előtaggal rendelkezik (könnyen kiszúrható a szivárgáskeresőkben), szűk jogosultsági körrel - az ügynöktoken csak a saját ellenőrzési listáját töltheti le és az eredményeket küldheti be -, és bármikor visszavonható a vezérlőpulton.

LAN ügynök

Az ügynök egyetlen, kb. 600 soros Python fájl (csak standard könyvtár), amelyet futtatás előtt elolvashat. Kizárólag kimenő irányban, HTTPS-en keresztül kommunikál, és jogosultságok nélküli felhasználóként fut systemd sandboxban. Hogyan működik a LAN ügynök

Ki őrzi az őrzőket

A platform több node-ról monitorozza önmagát, és egy független szonda külön helyszínről, a hálózatunkon kívülről percenként ellenőrzi az ePulz.io-t. Az aktuális állapot nyilvánosan elérhető itt: status.epulz.io.

Responsible disclosure

Sebezhetőséget talált? Írjon a [email protected] címre - gyorsan válaszolunk, még gyorsabban javítunk, és a felelősen jelentő kutatókat köszönetnyilvánításban tüntetjük fel. Jóhiszemű biztonsági kutatás ellen nem indítunk jogi eljárást. Részletek: security.txt.

Megfelelőség

Az ePulz.io-t egy uniós cég üzemelteti a GDPR-nak megfelelően. Jelenleg nem rendelkezünk SOC 2 vagy ISO 27001 tanúsítvánnyal - kis európai cég vagyunk, és ezt nyíltan vállaljuk; a tanúsítványokat a növekedéssel együtt tervezzük. Kapcsolódó dokumentumok: Adatvédelem (GDPR) · Aladatfeldolgozók · DPA.