Varsayılan olarak güvenli, testlerle doğrulanabilir
Güvenlik varsayılanları ilk istekten itibaren etkindir. Plerino 1.0 öncesi aşamadadır ve bağımsız bir denetimden geçmemiştir; aşağıdaki ifadeler depoda uygulanmış ve test edilmiş davranışı anlatır.
01Varsayılanlar
Açmayı hatırlamanıza bağlı olmayan koruma.
Tek kriptografi sağlayıcısı
Tek kriptografi sağlayıcısı libsodium’dur: kimlik doğrulamalı şifreleme, hash’leme, imzalama ve rotasyonlu anahtarlıklar.
Gizli bilgiler gizli kalır
Gizli bilgiler tipli değerlerdir. Derlenmiş yapılandırmanın dışında tutulur, günlüklerde ve telemetride maskelenir.
Şablonlar varsayılan olarak kaçışlar
Weft her ara değeri kaçışlar, ifadeleri kısıtlar ve nonce’lu katı bir içerik güvenliği politikasını destekler.
Korumalı giden istekler
HTTP istemcisinde SSRF koruması açık gelir ve yönlendirmeler denetlenir.
Sıkılaştırılmış HTTP
Bir middleware, nonce tabanlı içerik güvenliği politikasını ve ilgili başlıkları ekler. İstek ayrıştırma katıdır ve gövde boyutları sınırlıdır.
Gizli davranış yok
Proje statik analiz kuralları; değişken değişkenleri, sihirli metotları, goto’yu, exit’i ve değiştirilebilir statik özellikleri reddeder.
Güvenli yükler
İşler serileştirilmiş PHP nesneleri olarak değil, JSON zarfları olarak taşınır. Sorgu değerleri her zaman bağlanır, tanımlayıcılar doğrulanır.
ASVS ile eşlenen kimlik doğrulama
Kimlik doğrulama paketi, OWASP ASVS 4.0.3 Seviye 3 gereksinimlerini onları doğrulayan testlerle eşler. Bu bir öz değerlendirmedir, sertifika değildir.
Güvenlik açığını gizli olarak bildirin
Güvenlik sorunları için herkese açık kayıt açmayın. security@plerino.dev adresine yazın ve hassas bilgileri projenin OpenPGP anahtarıyla şifreleyin.
Etkilenen paketi ve sürümü, etkinin açıklamasını ve yeniden üretme adımlarını ekleyin.
OpenPGP parmak iziCE54 B9BD 090A 77C8 76F1 6469 5738 9547 7EB3 C109
Yanıt hedefleri
- Alındı bildirimi
- 48 saat
- Kritik bir açık için düzeltme
- 7 gün
- Yüksek önemde bir açık için düzeltme
- 30 gün
- Kamuya açıklama
- Düzeltme yayımlandıktan sonra veya 90 gün sonra; hangisi önce gerçekleşirse
İyi niyetli araştırma güvencesi
Bu politikaya uyan, gizlilik ihlallerinden ve hizmet kesintisinden kaçınan ve projeye sorunu gidermesi için zaman tanıyan iyi niyetli araştırmalar hakkında yasal yola başvurulmaz.
Kötüye kullanım
Bu sitenin veya adreslerinin kötüye kullanımını bildirmek için abuse@plerino.dev adresine yazın.
1.0’a giden yolu izleyin
Bugün var olanları keşfedin ya da proje hakkında konuşmak isterseniz bize yazın.