op aanvraag
Beveiligingsonderzoek. Wat we kunnen laten zien, en wat nog niet.
Wij vinden de lekken. Een deel van wat we vonden mogen we laten zien, een deel niet, en een deel volgt zodra de reparatie er is.
Wat we doen
Wij lezen de pijplijnen en automatisering van softwareprojecten zoals een aanvaller dat doet: de bestanden die draaien als iemand een issue of pull request opent, en de inloggegevens die die runs kunnen bereiken. Vinden we een gat, dan melden we dat privé aan de beheerders, en als je ons vraagt naar het jouwe te kijken, vertellen we je wat we vinden.
Het openbare voorbeeld
Een gepubliceerd GitHub-beveiligingsadvisory met ernst High: promptinjectie in een workflow die issues afhandelt kon inloggegevens van de workflow blootleggen. Ons account staat als melder vermeld. De ernst is die uit het gepubliceerde advisory, bepaald door het project, en er is geen CVE. Het opent zonder login.
Het hele dossier
Uit onze eigen administratie: we deden tot nu toe 81 meldingen. De ontvanger bevestigde er 5, van twee bekende technologiebedrijven en drie open-sourceprojecten, waaronder het advisory hierboven. Bij 2 andere erkende de ontvanger de melding of repareerde hij het zonder ons te antwoorden. De rest werd afgewezen, bleek een duplicaat van eerdere meldingen, is door ons ingetrokken omdat onze analyse niet klopte, kreeg geen antwoord of wacht nog. De namen blijven privé.
Dit is onze eigen administratie. Het is geen audit van ons door een buitenstaander.
Verzegelde dossiers (gepland)
Meldingen onder embargo kunnen we niet tonen. We willen elk ervan op een openbare lijst zetten met zijn datum en een vingerafdruk, zonder de inhoud. Zodra de reparatie er is publiceren we het dossier, en iedereen kan de vingerafdruk narekenen en zien dat we het op die datum al hadden. Het is hetzelfde idee als ons Signal log. Het is nog niet live.
Waar het ophoudt
Geen penetratietest van je productiesystemen en geen certificaat. Je krijgt privé een schriftelijk rapport, met het bewijs dat we per vondst hebben en wat nog open staat.