Zwakke plekken

1Kwetsbare bibliotheken

Odoo-projecten worden gedekt door de modulelijst die de Blipit-module al verstuurt: een serie die geen beveiligingsupdates meer krijgt, en standaardmodules die nog op een oudere serie draaien. Voor andere apps stuur je de pakketlijst met PUT https://in.blipit.io/api/v1/sdk/packages, header X-Blipit-Key met de geheime sleutel en body {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (ecosystemen npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; maximaal 3.000). Elke upload vervangt de vorige lijst. Blipit controleert elke versie binnen enkele minuten en daarna dagelijks tegen de OSV-database, en toont de advisory, de ernst en de versie die het oplost.

2Blootstellingscontroles

Eén keer per dag controleert Blipit elk domein dat je in Uptime monitort (HTTP-, SSL- en domeinmonitors, tot 20 per workspace): het verlopen van het TLS-certificaat (waarschuwing onder 14 dagen) en of TLS 1.0 of 1.1 nog wordt geaccepteerd, een beoordeling van zes beveiligingsheaders (HSTS, Content-Security-Policy, framebeveiliging, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), of /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php of /wp-config.php.bak kunnen worden gedownload (een 200 waarvan de inhoud overeenkomt met het bestand, niet zomaar een pagina), geheime API-sleutels in de eigen JavaScript-bundels van de homepage, en SPF en DMARC op het hoofddomein. Verzoeken gebruiken GET, korte time-outs en een pauze ertussen, identificeren zich als Blipit-SecurityCheck, volgen nooit een redirect naar een andere host en bereiken nooit privéadressen.

3Score en eerst oplossen

Elk project begint op 100. Open kwetsbaarheden trekken er 25 (kritiek), 15 (hoog), 5 (gemiddeld of niet beoordeeld) of 2 (laag) af, tot 60 in totaal. Mislukte controles trekken er elk tot 30 af (een openbare .env, .git of configuratieback-up, of een gelekte sleutel) en waarschuwingen minder. Open beveiligingsmeldingen van de laatste 7 dagen trekken er elk 3 af, tot 15. Eerst oplossen toont de vijf punten die het meest kosten. Een domein telt mee voor een project als het de host van de Odoo-instantie is, of als de workspace één project heeft.

4Meldingen en de wekelijkse e-mail

Een nieuwe hoge of kritieke kwetsbaarheid, een nieuw blootgesteld bestand of een gelekte sleutel geeft eenmalig een beveiligingsmelding via je meldingskanalen. Eigenaren van de workspace kunnen ook een wekelijkse beveiligingsmail krijgen met de score en de lijst eerst oplossen; zet die uit in Instellingen.

Goed om te weten

• Waarom alleen gemonitorde domeinen: door een domein aan Uptime toe te voegen laat een workspace zien dat het van hem is. Blipit controleert nooit een domein dat niemand in de workspace monitort.
• Gelekte sleutels worden gemaskeerd getoond; Blipit slaat nooit de volledige sleutel op.
• OSV vermeldt geen advisories voor de Odoo-kern, dus de Odoo-kern wordt beoordeeld op zijn ondersteuningsstatus.