Sådan arbejder vi sikkert
Sådan bygger og driver Engineer ApS sikkert: de principper, vi følger, hvordan dette site er hærdet, og hvor du melder en sårbarhed.
Sikkerhed er ikke en ydelse, vi sælger separat. Det er sådan, arbejdet udføres: trusselsmodellen er en del af designet, hærdningen er en del af udviklingen, og beviset er en del af overdragelsen.
Sådan bygger vi
- Færrest mulige rettigheder som udgangspunkt. Tjenester kører som deres egne brugere uden privilegier og med den snævreste adgang, der lader dem virke. En kompromitteret komponent er en komponent, der ikke kan nå den næste.
- Hemmeligheder når aldrig ind i kodebasen. Legitimationsoplysninger ligger i en hemmelighedstjeneste eller i udrulningslaget, aldrig i kildekoden og aldrig i et byggeartefakt. Automatisk scanning kører ved hvert eneste commit, og et fund stopper committet.
- Infrastruktur beskrevet som kode. Servere bygges ud fra en beskrivelse, der kan læses, gennemgås og genopbygges — så en maskines opsætning er et dokument under versionsstyring og ikke en erindring i nogens hoved.
- Afhængigheder låst og gennemgået. Hvad et system består af, er skrevet ned, og listen tjekkes mod offentliggjorte sikkerhedsadvarsler i stedet for at blive stolet på, fordi den virkede sidste måned.
- Kryptering under overførsel, overalt. Certifikater udstedes og fornys automatisk, og fornyelsen overvåges, for det typiske TLS-svigt er et certifikat, ingen holdt øje med.
- Backups, der gendannes, ikke bare tages. En backup er en påstand, indtil nogen har gendannet fra den. Vi tester gendannelsen.
Hver linje ovenfor er en ganske almindelig arbejdsdag — ikke en fase, der skrues på til sidst.
Sikkerhed tænkt ind koster en uge; sikkerhed skruet på bagefter koster hele ombygningen.
Sådan er dette site bygget
Vi stiller samme krav til vores eget site, og alt herunder kan du efterprøve fra din egen browser.
- Ingen backend, ingen database, intet administrationslogin. Hver side er en statisk fil, skrevet ud, før du bad om den, så der er ingen applikation at udnytte, ingen session at stjæle og slet ingen flade for injektionsangreb.
- Ét førstepartsscript på under en kilobyte. Det filtrerer en liste, mens du skriver. Det sender ingen forespørgsler, gemmer intet og kører ingen andre steder.
- En stram Content Security Policy, erklæret i siden
selv, med
form-action 'none'— sitet sender ingen formularer nogen steder. - Subresource Integrity på stilarket. Bundtet får et fingeraftryk og en hash, når sitet bygges, så din browser kan verificere, at det kom frem uændret.
- Ingen tredjepartsforespørgsler. Ingen webanalyse, ingen indlejrede skrifttyper, ingen kortwidget, intet samtykkebanner. Åbn browserens netværksfane, og tæl værterne: der er én, og den er vores.
- Ingen cookies. Hele spørgsmålet om, hvad der gemmes og ikke gemmes, står på siden om cookies.
- En maskinlæsbar politik for sårbarhedsmeldinger på
/.well-known/security.txt, så en forsker, der finder noget, ved, hvor det skal sendes hen uden at spørge først.
Sådan drives det
Én lille server i Toronto, beskrevet som kode, med en adgangslog, der sløres, allerede mens den skrives, og gemmes i omkring tredive dage. Kolofonen nævner hvert stykke software på den; privatlivssiden siger præcis, hvad den registrerer undervejs.
Meld en sårbarhed
Har du fundet en svaghed i dette site eller i noget, vi driver, så skriv til welcome@engineer.company, og fortæl, hvad du fandt, og hvordan det kan genskabes. Vi bekræfter modtagelsen, fortæller, hvad vi gør ved det, og krediterer dig, hvis du vil krediteres. Der er intet dusørprogram og ingen juridisk trussel — kun en adresse, der når en ingeniør.
Vil du have den samme grundighed anvendt på jeres egne systemer? bed os kigge.
Denne side er en påstand, du kan efterprøve — fra den browser, du læser den i.
Ingen backend, ingen cookies, ét førstepartsscript og en politik, siden selv erklærer.