Güvenlik son commit değil ilk commit’tir.

Sorular

Güvenlik hakkında sorular

• 01Akıllı sözleşme denetimi neleri kapsar?

  Kod ve sözleşme denetimi, uygulamanın ve varsa akıllı sözleşmelerin satır satır incelenmesidir; her bulguda ikinci bir inceleyici vardır ve para yatırılabilir hale gelmeden önce yazılı onay verilir. Hasım incelemesi ayrı bir inceleyiciyle yapılan ayrı bir geçiştir ve ilk olaydan sonra değil, ilk para yatırılmadan önce yapılır. Denetlenmemiş bir akıllı sözleşmeyi üretim ağına dağıtmayız. Katalogda ayrıca denetim öncesi iç inceleme de var: statik analiz, invariant testleri, bulgular ve düzeltmeleri.

• 02Sızma testinde neyi test ediyorsunuz?

  Canlı sisteme dışarıdan biri gibi saldırırız: web sitesi, API, cüzdan akışları ve altındaki sunucular. Önce dışarıdan birinin ulaşabildiği her şey haritaya girer ve kapsam yazılı olarak kararlaştırılır: neyin dahil, neyin hariç olduğu ve kimin onaylayacağı. Önce elle çalışır, araçları sonra kullanırız; böylece kimsenin listelemediği kapılar dahil her kapıyı deneriz. Bulgular size maliyetine göre sıralanmış gelir ve düzeltildikten sonra yeniden test edilir.

• 03Raporda ne var ve düzeltmeleri doğruluyor musunuz?

  Üzerinde iş yapabileceğiniz tek bir rapor. Her bulgu önem derecesi ve çözümüyle gelir, en acil olan en üstte. Sisteminizde bulduğumuz bir açık, kendi yazdığımız bir parçada olsa bile, önem derecesi, yeniden üretim adımları ve çözümüyle size bildirilir; açık üçüncü taraf bir sistemdeyse o tedarikçinin bildirim sürecini izleriz. Bir bulguyu düzelttiğinizde düzeltmeyi kontrol eder, sonra bulguyu kapatırız. Katalogdaki sızma testi kalemi de aynı şekilde kapsamlanır: web uygulaması testi, bulgu raporu, doğrulanmış düzeltmeler.

• 04Zaten bir olay yaşadık. Adli analiz neleri içerir?

  Bir şey çoktan ters gittiyse zaman çizelgesini kayıtlardan, zincir verisinden ve ilgili makinelerden yeniden kurarız. Çalışma olayın yeniden kurgulanmasını, zincir üstü ve zincir dışı iz sürmeyi ve delillerin korunmasını kapsar. Elinize geçen, olayların sırası, nedeni ve çözümünün yazılı hâlidir; rapor bir karşı tarafın ya da düzenleyicinin önünde ayakta duracak şekilde yazılır. Proje brief’inden başlatabilirsiniz; oradaki güvenlik incelemesi denetimi, sızma testini ve adli analizi kapsar.

• 05Güvenlik çalışması sırasında erişimimizi, anahtarlarımızı ve verimizi nasıl ele alıyorsunuz?

  Erişim en az ayrıcalıkla verilir ve süreyle sınırlıdır. İşin yapılmasına yeten en dar kapsamı isteriz, platform izin verdiği her yerde ortak hesap yerine sizin hesabınızı kullanırız ve erişimi devirde kaldırırız. Çalışma sırasında oluşturulan dağıtım anahtarları, imza anahtarları, API token’ları ve servis kimlik bilgileri teslimatta döndürülür; yeni değerler sizde kalır, biz kopya tutmayız. Veriniz kendi altyapınızda kalır; bir hatayı yeniden üretmek için üretim verisine ihtiyaç duyarsak önce sorar, maskelenmiş bir kesiti tercih ederiz.