帐户和支付服务的安全审计

2023年2月17日

Assured AB 受委托于 2022 年 11 月 7 日至 2022 年 11 月 29 日之间进行我们帐户和支付服务的安全评估。

报告中摘录：

在渗透测试过程中未发现任何关键、高或中等级别的问题，API 的整体安全性被认为良好。

请阅读 Assured 网站上的
。

需要注意的问题

大多数问题在报告完成时已经修补，并在最终版本中作了记录。然而，少数问题需要进行较大幅度的重新设计，但我们认为这些风险较低，因此决定公开报告。

3.1 (低) Redis 的网络流量未加密

正如问题描述所指出的，流量在网络层是加密的，但审计人员正确指出在应用层进行加密将是个不错的补充。我们将遵循他们的建议，为与 Redis 的连接添加服务器
TLS。

3.3 (注意) docker-compose.yml 和环境变数中的秘密

这些服务运行在全磁碟加密的专用硬体上，因此我们认为这些凭证得到了充分保护。我们知道这可以改进，并且一直在努力寻找基于更合适的秘密管理工具来存储凭证的长期方案。

4.3 (低) IP 阻止可能会被绕过

我们也意识到这一点，并知道还有改进的空间。我们不断监控所有的 API端点，以寻找滥用的迹象，并根据需要调整我们的速率限制政策。某些面向公众的端点往往会吸引更多滥用，因此需要更严格的政策，而内部端点可以更放松以方便使用。

4.4 (低) URL 中的敏感信息

大多数以这种方式引用帐户的端点都是内部的，并且有非常严格的日志记录政策，以确保没有敏感信息被持久化。然而，我们正在逐步摆脱这种做法，并将遵循审计人员的建议，只在
POST 请求中发送帐户号码。

4.5 (低) 管理员密码变更不强制执行政策

我们已有的政策是被执行的，但它们并不够严格以防止
Sommar2022!。该管理界面仅限于少数几名员工使用，他们都使用非常严格的密码政策，因此不太可能有弱密码的使用。同时值得指出的是，这个 Web界面也受到客户证书验证和堡垒 IP 白名单的保护。不过，没有理由不实际上强制执行我们已经遵循的更严格的政策，因此我们已经将最低密码长度提高到 48 个字符。

我们感谢 Assured AB 在整个审计过程中付出的努力和卓越的合作。