Pravidla skeneru
Tahle stránka je pro správce serverů. Popisuje přesně, co náš skener dělá, jak ho poznáte a jak ho zastavíte.
Identifikace
Náš provoz poznáte v logu.
- User-Agent
- Tegmia-Checker/0.1 (+https://tegmia.cz/scanner)
- Protokoly a porty
- Pouze TCP 80 a 443.
- Metody HTTP
- Pouze GET: na „/“, na dva veřejné soubory security.txt a robots.txt a na ověřovací soubor /.well-known/tegmia-verification.txt.
- Kontakt
- security@tegmia.cz
Co posíláme
Úplný výčet. Nic jiného z naší strany nepřijde.
- Jedno TLS spojení na port 443 pro přečtení metadat certifikátu. Nic se neposílá, spojení hned zavíráme.
- Nejvýše jedno druhé TLS spojení omezené na TLS 1.1, kterým zjišťujeme, zda server zastaralé verze protokolu stále přijímá.
- Nejvýše pět požadavků GET na „/“ — jeden na začátku a pak po jednom na každé přesměrování. Tělo odpovědi zahazujeme hned po hlavičkách.
- Jeden požadavek GET na „/“ přes nezabezpečené HTTP, kterým kontrolujeme přesměrování na HTTPS.
- Po jednom požadavku GET na /.well-known/security.txt a /robots.txt, dvou souborech, které web zveřejňuje pro kohokoli.
- Před kontrolami, které se připojují k serveru, jeden požadavek GET na /robots.txt, abychom věděli, jestli nás web nevylučuje. Odpověď si pamatujeme 10 minut.
- Při ověření domény souborem nejdřív GET na /robots.txt (jestli nás web nevylučuje) a pak jeden GET na ověřovací soubor, a jen když ověření zákazník sám spustí.
- Jeden požadavek GET na „/“ s přečtením nejvýše 128 kB stránky. Z hlaviček a z kódu stránky (značka generator, komentáře, odkazy na soubory, které stránka načítá) poznáme software webu a jeho verzi.
- Přesměrování u všech požadavků výše sledujeme jen v rámci ověřeného webu: stejná doména, její subdomény a holá doména za „www.“. Když web přesměrovává na cizí server, nepošleme tam nic a kontrolu označíme jako nezměřenou.
- Dotazy na veřejné DNS záznamy: A, AAAA, TXT, MX, CAA, NS a TXT na _dmarc, _mta-sts a _smtp._tls.
- Mimo server domény: zjištěný software porovnáváme s databází zranitelností NVD (posíláme název a verzi) a u WordPressu s WordPress.org (seznam podporovaných verzí jádra a nejnovější verze pluginu, posíláme jen název pluginu). Doménu ani jednomu z nich neposíláme.
Co neděláme
Hranice, které nepřekračujeme.
- Nezkoušíme zranitelnosti zneužít a nic se nepokoušíme prolomit.
- Nehádáme hesla, nepoužíváme získané přihlašovací údaje, nezkoušíme přihlášení.
- Neprocházíme web, nehledáme skryté adresy, neskenujeme porty.
- Neposíláme požadavky na adresy, které nejsou veřejné — privátní, loopback a link-local rozsahy, včetně obcházení přes IPv6 a NAT64, odmítáme.
- Kontroly webu nespustíme, dokud zákazník nedoloží, že doménu spravuje, nebo dokud přihlášený návštěvník bezplatného auditu nepotvrdí, že je to jeho firma. Jedinou výjimkou je samotné ověření souborem: na žádost zákazníka přečteme /robots.txt a stáhneme ověřovací soubor, a tím ověření probíhá. Bez toho čteme jen veřejné DNS záznamy přes resolver; dotaz přitom dostane i DNS server domény, stejně jako při každé návštěvě webu.
Frekvence a limity
Nejkratší možný interval je dán tarifem zákazníka.
Plánované kontroly běží nejčastěji jednou za 24 hodin, u tarifu Start jednou měsíčně. Ruční kontrolu může zákazník spustit u každé domény nejvýše 3 až 25krát za den podle tarifu. Spojení se serverem domény a s WordPress.org mají timeout 8 sekund, dotaz do databáze zranitelností NVD 20 sekund. Spojení se serverem při chybě neopakujeme, jen dotaz na DNS položí resolver každému DNS serveru nejvýše dvakrát. Kontrolu, kterou se nepodařilo změřit, zopakujeme až v dalším plánovaném termínu.
Jak nás zablokovat
Respektujeme to a zákazníkovi to vysvětlíme.
Pokud si nepřejete, aby náš skener na váš server chodil, máte tři cesty. Do robots.txt přidejte záznam pro náš skener, pak se na server kromě načtení robots.txt nepřipojíme. Nebo zablokujte požadavky s uvedeným User-Agentem. Nebo nám napište na security@tegmia.cz a doménu vyřadíme ze všech kontrol, které se připojují k serveru, i z kontrol našich zákazníků. Zákazníkovi pak v rozhraní ukážeme, že kontrola je zablokovaná na straně serveru — ne že je vše v pořádku.
User-agent: Tegmia-Checker Disallow: /
Poznámka pro správce
Naše kontroly čtou jen to, co server sám veřejně zveřejňuje. Pokud vám náš provoz přijde nepřiměřený, napište nám konkrétní čas a IP a dohledáme, co se stalo.