S nadšením vám to oznamujeme AhaSlides uspěl v komplexním Greybox Pentestu, který spravuje společnost Viettel Cyber Security. Toto hloubkové bezpečnostní testování se zaměřilo na naše dvě vlajkové online platformy: aplikaci Presenter (presenter.ahaslides.com) a aplikaci Publikum (audience.ahaslides.com).
Bezpečnostní test, který probíhal od 20. prosince do 27. prosince 2023, zahrnoval pečlivé zkoumání různých bezpečnostních slabin. Tým z Viettel Cyber Security provedl hloubkovou analýzu a označil několik oblastí pro zlepšení v našem systému.
Klíčové body:
- Zkušební období: 20.–27. prosince 2023
- Rozsah: Hloubková analýza různých potenciálních bezpečnostních slabin
- Výsledek: AhaSlides prošel testem po opravě zjištěných zranitelností
- Dopad: Lepší zabezpečení a spolehlivost pro naše uživatele
Co je Pentest Viettel Security?
Pentest, zkratka pro Penetration Test, je v podstatě falešný kybernetický útok na váš systém s cílem odhalit zneužitelné chyby. V kontextu webových aplikací je Pentest vyčerpávajícím hodnocením, které umožňuje určit, analyzovat a informovat o bezpečnostních nedostatcích v aplikaci. Berte to jako zátěžový test obrany vašeho systému – ukazuje, kde by mohlo dojít k potenciálnímu narušení.
Tento test, který provedli ostřílení profesionálové z Viettel Cyber Security, špičkového psa v oblasti kybernetické bezpečnosti, je součástí jejich rozsáhlé sady bezpečnostních služeb. Metodika testování Greybox použitá v našem hodnocení zahrnuje aspekty testování černé i bílé skříňky. Testeři mají nějaké informace o vnitřním fungování naší platformy, napodobují útok hackera, který má nějakou předchozí interakci se systémem.
Systematickým využíváním různých aspektů naší webové infrastruktury, od chybných konfigurací serverů a skriptování mezi stránkami až po nefunkční ověřování a vystavení citlivých dat, nabízí Pentest realistický obraz potenciálních hrozeb. Je důkladný, zahrnuje různé útočné vektory a je veden v kontrolovaném prostředí, aby nedošlo k žádnému skutečnému poškození zúčastněných systémů.
Závěrečná zpráva nejen identifikuje zranitelnosti, ale také je seřadí podle závažnosti a obsahuje doporučení pro jejich odstranění. Absolvování takového komplexního a přísného testu podtrhuje sílu kybernetické bezpečnosti organizace a je základním stavebním kamenem důvěry v digitálním věku.
Zjištěné slabiny a opravy
Během testovací fáze bylo nalezeno několik zranitelností, od Cross-Site Scripting (XSS) po problémy s Broken Access Control (BAC). Abychom byli konkrétní, test odhalil zranitelnosti, jako je uložený XSS napříč různými funkcemi, nezabezpečené přímé odkazy na objekt (IDOR) ve funkci mazání prezentace a eskalace privilegií napříč různými funkcemi.
Jedno AhaSlides Technický tým, který spolupracuje ruku v ruce se společností Viettel Cyber Security, vyřešil všechny identifikované problémy.. Pro posílení naší obrany byla implementována opatření, jako je filtrování vstupních dat, kódování výstupu dat, použití příslušných hlaviček odpovědí a přijetí robustní zásady zabezpečení obsahu (CSP).
AhaSlides Úspěšně prošel penetračním testem od Viettel Security
Aplikace Presenter i Audience úspěšně prošly komplexním penetračním testem, který provedla Viettel Security. Toto přísné hodnocení podtrhuje náš závazek k robustním bezpečnostním postupům a ochraně uživatelských dat.
Test provedený v prosinci 2023 využíval metodologii Greybox, která simulovala scénář útoku v reálném světě. Bezpečnostní experti Viettel pečlivě vyhodnotili naši platformu z hlediska zranitelnosti a identifikovali oblasti, které je třeba zlepšit.
Zjištěné zranitelnosti byly řešeny AhaSlides inženýrský tým ve spolupráci se společností Viettel Security. Mezi implementovaná opatření patří filtrování vstupních dat, kódování výstupních dat, robustní zásady zabezpečení obsahu (CSP) a vhodné hlavičky odpovědí pro další posílení platformy.
AhaSlides investovala také do pokročilých monitorovacích nástrojů pro detekci hrozeb a reakci na ně v reálném čase. Naše protokoly pro reakci na incidenty byly navíc zdokonaleny, aby byla zajištěna rychlá a efektivní akce v případě narušení bezpečnosti.
Bezpečná a zabezpečená platforma
Uživatelé si mohou být jisti, že jejich data jsou chráněna a jejich interaktivní zážitky zůstávají v bezpečí. Díky neustálým bezpečnostním hodnocením a neustálému zlepšování jsme odhodláni vybudovat spolehlivou a bezpečnou platformu pro naše uživatele.
