Güvenlik
Hesabında parola yok, bilerek.
Bir Orbislo hesabında korunmaya değer olan şey, süresi dolmayan bir bakiye ve evden çok uzaktaki birini bağlayan bir eSIM profilidir. İkisi de göründüğünden değerli, o yüzden ikisinin tam olarak nasıl tutulduğu burada.
Varsayılan olarak parolasız
Hesapların çoğu zekice saldırılarla kaybedilmez. Bir parolanın sonradan sızan bir sitede yeniden kullanılması ve birinin aynı ikiliyi burada denemesiyle kaybedilir. Parolayı kaldırmak bu hata sınıfının tamamını kaldırır.
Giriş, taban olarak e postana gelen tek kullanımlık bir kod, önerilen ayar olarak ise bir geçiş anahtarıdır.
Geçiş anahtarı, cihazının oluşturup sakladığı bir anahtar çiftidir ve telefonu açan aynı yüz ya da parmak iziyle korunur. Özel yarısı cihazdan hiç çıkmaz ve bize hiç ulaşmaz.
Tarayıcı onu yalnızca gerçek orbislo.com kaynağına sunar; e postadaki bir kodun sağlayamadığı kimlik avı direncini veren şey budur. Kurmak hesabında tek dokunuş, ve cihazlarında istediğin kadar tutabilirsin.
Giriş yöntemleri karşılaştırması
| Giriş yöntemi | Kimlik avına dayanır | Başka yerdeki sızıntıya dayanır | Sinyalsiz çalışır |
|---|---|---|---|
| Geçiş anahtarı, önerilen | Evet, kaynağa bağlı | Evet, sızacak paylaşılmış bir şey yok | Evet, anahtar cihazda |
| E posta ile tek kullanımlık kod | Kısmen, inandırıcı bir sahte site yine de aktarabilir | Evet, saklanan bir sır yok | Hayır, e postana ulaşman gerekir |
| Parola, burada sunulmuyor | Hayır | Hayır, yeniden kullanım her zamanki sebeptir | Evet, ve tek avantajı bu |
| Kısa mesajla kod, burada sunulmuyor | Hayır | Kısmen | Hayır, ve tam da yurt dışındayken işlemez |
Kısa mesaj kodları bilerek yok. Yurt dışında alamayacağın bir ülke numarasına doğrulama mesajı gönderen bir seyahat ürünü, kendi kilidini kendisi tasarlamıştır.
Oturumlar, cihazlar ve geri girmek
Oturum bir kolaylıktır, bu yüzden anlamlı olacak kadar kısa ve kullanışlı olacak kadar uzundur. Aşağıdaki kurallar politikanın tamamıdır.
- Güvenilen bir cihazda oturum 30 günlük etkinlik boyunca sürer, sonra yeniden giriş yapmanı ister
- Satın almak, e posta adresini değiştirmek ya da bir profili yeni bir telefona taşımak, oturum ne kadar yeni olursa olsun her zaman yeniden kimlik doğrular
- Her etkin oturum cihazı, kabaca konumu ve son kullanımıyla listelenir ve herhangi biri bir diğerinden sonlandırılabilir
- Tüm oturumları sonlandırmak arkalarındaki jetonları da yeniler, böylece çalınmış bir çerez süresi dolduğunda değil anında çalışmayı bırakır
- Tanınmayan bir cihazdan giriş yapıldığında, sen olsan da olmasan da saati ve kabaca konumu içeren bir bildirim gönderilir
- Bakiyen telefona değil hesaba aittir, yani kayıp telefon kayıp cüzdan demek değildir
Ödemeler, ve neden kart verisi tutmuyoruz
Kart bilgileri, erişimimiz olmayan bir çerçeve içinde, en yüksek seviyede sertifikalı bir ödeme kuruluşu tarafından alınır. Numara cihazından onlara gider ve bizim işlettiğimiz hiçbir şeyden geçmez.
Bize yalnızca o kuruluş üzerinden ve yalnızca senin hesabın için kullanılabilen bir jeton gelir, bir de kartları birbirinden ayırabilesin diye marka ve son dört hane.
Pratik sonucu açıkça söylemekte fayda var. Sistemlerimiz yarın ele geçirilse, içinde alınacak kart numarası olmaz.
Bu, mühendislerimizin ne kadar iyi olduğuna dair bir iddia değil. Neyi saklamamayı seçtiğimize dair bir iddia ve dayanılacak çok daha sağlam bir şey. Başarısız bir tanımlamadan sonra çalışan otomatik iade dahil tüm iadeler aynı kuruluş üzerinden asıl karta döner.
Kapsama veri kümesi, seni tanımlamayacak şekilde tasarlandı
Kapsama sayfalarımızdaki her hız rakamı, sentetik hız testlerinden değil gerçek müşteri oturumlarındaki gerçek trafikten gelir, çünkü bir hız testi bize zaten bedava ölçebildiğimiz bir şeyi söylemek için senin verini harcar.
Bu tasarım bariz bir gizlilik sorusu doğuruyor, o yüzden cevabı güven verici sözlerle değil mühendislik diliyle veriyoruz.
1 km
geohash hassasiyeti, asla kesin konum değil
25
herhangi bir şey yayımlanmadan önce farklı örneklem
0
toplanan gezinme geçmişi veya mesaj içeriği
1 dokunuş
ölçümü kapatmak için, anında geçerli
Kontrol, örneklem alt sınırıdır
Bir ölçüm operatörü, telsiz türünü, zaten gönderdiğin trafikte gözlenen hızı ve yaklaşık bir kilometrelik bir geohash taşır. Kayıtlar, biz dahil kimse görmeden önce toplulaştırılır.
Asıl önemli olan 25 örneklem eşiğidir, çünkü bu bir k anonimliği tabanıdır. Yayımlanan bir rakam her zaman bir hücredeki en az 25 farklı kaynağın davranışıdır, bu da tek bir kişiyi ayırt etmeyi politika gereği değil kuruluş gereği kullanışsız kılar.
Bir hücrede 25'ten az örneklem varsa sayfa veri yok gösterir. Tek bir gezgini tarif eden bir sayı yerine bir boşluk olsun isteriz.
Ölçüm, gömülmek yerine kuruluş sırasında anlatılır ve tek anahtar onu kapatır. Kapatırsan yayımlanan veri kümesi senin katkını kaybeder, hizmetinde başka hiçbir şey değişmez. Ayrıntının tamamı gizlilik politikasında.
Nasıl geliştiriyoruz
Bunların hiçbiri sıra dışı değil. Listelenmelerinin sebebi, yalnızca heyecanlı kısımları anlatan bir güvenlik sayfasının sıradan olanları gizliyor olmasıdır.
- Varsayılan en az yetki, üretim erişimi bir görev için verilir ve kendiliğinden sona erer
- Her pull request'te bağımlılık ve konteyner taraması, kritik bir bulgu birleştirmeyi engeller
- Sırlar yönetilen bir kasada tutulur, asla depoda durmaz, takvime bağlı olarak ve her ayrılışta yenilenir
- Veriler aktarımda ve beklerken şifrelenir, Avrupalı müşteri kayıtları Avrupa Birliği içinde saklanır
- Yılda bir bağımsız sızma testi, ve kimlik doğrulama veya ödeme yolundaki her değişiklikten sonra bir kez daha
- Alt işleyenler yayımlanır ve liste bir değişiklik yürürlüğe girmeden önce güncellenir, sonrasında değil
Sorumlu açıklama
security at orbislo.com adresine yaz. 24 saat içinde bir insan yanıt verir ve 72 saat içinde bir sınıflandırma kararı gelir. Ne bulduğunu, nasıl tekrarlanacağını ve etkiyi nasıl gördüğünü anlat.
Kapanana kadar seni bilgilendiririz ve istersen düzeltme notlarında adını anarız.
Kapsam, ve araştırmacılara sözümüz
Kapsam içinde: orbislo.com ve alt alan adları, iOS ve Android uygulamaları ve genel API. Kapsam dışında: hizmet reddi testleri, çalışanlarımıza ya da operatörlerimize yönelik sosyal mühendislik, fiziksel saldırılar ve başka bir müşterinin verisine dokunan her şey.
Lütfen sana ait olmayan verilere erişme, onları değiştirme ya da saklama, ve yayımlamadan önce bize makul bir süre tanı.