Zayıf noktalar

1Güvenlik açığı olan kütüphaneler

Odoo projeleri, Blipit modülünün zaten gönderdiği modül listesiyle kapsanır: artık güvenlik düzeltmesi almayan bir sürüm serisi ve hâlâ eski bir seride kalan standart modüller. Diğer uygulamalar için paket listesini PUT https://in.blipit.io/api/v1/sdk/packages ile, gizli anahtarı içeren X-Blipit-Key başlığı ve {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} gövdesiyle gönderin (ekosistemler npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; en fazla 3.000). Her yükleme önceki listenin yerini alır. Blipit her sürümü birkaç dakika içinde ve ardından her gün OSV veritabanıyla karşılaştırır; güvenlik bildirimini, önem derecesini ve sorunu düzelten sürümü gösterir.

2Açıkta kalma kontrolleri

Blipit günde bir kez Çalışma süresi bölümünde izlediğiniz her alan adını kontrol eder (HTTP, SSL ve alan adı monitörleri, çalışma alanı başına en fazla 20): TLS sertifikasının sona ermesi (14 günün altında uyarı) ve TLS 1.0 veya 1.1'in hâlâ kabul edilip edilmediği, altı güvenlik başlığı için bir not (HSTS, Content-Security-Policy, çerçeve koruması, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php veya /wp-config.php.bak dosyalarının indirilip indirilemediği (herhangi bir sayfa değil, içeriği dosyayla eşleşen bir 200), ana sayfanın kendi JavaScript paketlerindeki gizli API anahtarları ve ana alan adındaki SPF ile DMARC. İstekler GET, kısa zaman aşımları ve aralarında bir bekleme kullanır, kendilerini Blipit-SecurityCheck olarak tanıtır, başka bir sunucuya yönlendirmeyi asla izlemez ve özel adreslere asla ulaşmaz.

3Puan ve önce düzeltilecekler

Her proje 100 puanla başlar. Açık güvenlik açıkları 25 (kritik), 15 (yüksek), 5 (orta veya derecelendirilmemiş) ya da 2 (düşük) puan düşürür, toplamda en fazla 60. Başarısız kontroller her biri en fazla 30 puan düşürür (herkese açık bir .env, .git veya yapılandırma yedeği ya da sızdırılmış bir anahtar), uyarılar daha az. Son 7 günün açık güvenlik uyarıları her biri 3 puan düşürür, en fazla 15. Önce düzelt, en çok puan kaybettiren beş öğeyi listeler. Bir alan adı, projenin Odoo örneğinin sunucusu olduğunda veya çalışma alanında tek proje olduğunda o proje için sayılır.

4Uyarılar ve haftalık e-posta

Yeni bir yüksek veya kritik güvenlik açığı, yeni açığa çıkan bir dosya ya da sızdırılmış bir anahtar, uyarı kanallarınız üzerinden bir kez güvenlik uyarısı oluşturur. Çalışma alanı sahipleri ayrıca puanı ve önce düzeltilecekler listesini içeren haftalık bir güvenlik e-postası alabilir; bunu Ayarlar'dan kapatabilirsiniz.

Bilmekte fayda var

• Neden yalnızca izlenen alan adları: Bir alan adını Çalışma süresi bölümüne eklemek, çalışma alanının o alan adının kendisine ait olduğunu göstermesinin yoludur. Blipit, çalışma alanında kimsenin izlemediği bir alan adını asla kontrol etmez.
• Sızdırılmış anahtarlar maskelenmiş olarak gösterilir; Blipit tam anahtarı asla saklamaz.
• OSV, Odoo çekirdeği için güvenlik bildirimlerini listelemez; bu nedenle Odoo çekirdeği destek durumuna göre değerlendirilir.