Nahlášení zranitelnosti
Bezpečnostní problémy hlaste soukromě, ne ve veřejném hlášení: otevřete kartu Security repozitáře a klikněte na Report a vulnerability, s uvedením verze a postupu reprodukce. Hlášení potvrzujeme během několika pracovních dní, potvrzené problémy opravujeme v novém vydání a oznamovatele uvádíme v poznámkách k vydání, pokud si nepřeje jinak.
Bezpečnostní opravy vycházejí pro nejnovější verzi. Strojově čitelný kontakt: security.txt.
Jak BackupZit chrání vaše data
Zálohy
Šifrování AES-256-GCM, klíče chráněné klíčem pro obnovu (Argon2id), každý blok ověřen hashem SHA-256 při obnově. Neměnné úložiště s S3 Object Lock nebo zabezpečeným repozitářem; detekce ransomwaru a automatické testy obnovy.
Konzole
Relační cookies HttpOnly a SameSite=Strict, ochrana proti CSRF a clickjackingu, přísná Content-Security-Policy, omezení pokusů o přihlášení, dvoufázové přihlášení, role, volitelný princip čtyř očí a auditní protokol propojený hashi, který lze odesílat na server syslog nebo do SIEM.
Agenti
Agenti se ke konzoli připojují odchozím spojením — na chráněných počítačích nejsou otevřené porty — a při registraci si připnou certifikát konzole. Každý agent má vlastní tajemství; tajemství jsou v konzoli uložena šifrovaně.
Jen vaše síť
Žádná cloudová služba, žádná telemetrie, žádný účet u nás. Kontrola aktualizací stahuje podepsaná vydání z GitHubu; konzole bez internetu se aktualizují nahráním souborů vydání.
Jak jsou chráněna vydání
- Každé vydání je podepsáno klíčem Ed25519 pro vydání BackupZit; konzole a agenti ověřují podpis a kontrolní součty před instalací aktualizace.
- Instalační skript ověřuje podpis a kontrolní součet vydání, které stahuje.
- Balíčky se sestavují z označených commitů; obrazy obsahují písemnou nabídku zdrojového kódu (
SOURCE-CODE.txt). - Aktualizace konzole nejprve zálohuje databázi a automaticky se vrátí, pokud se nová verze nespustí.
Jak se BackupZit testuje
Při každé změně (GitHub Actions)
| Kontrola | Co najde |
|---|---|
| CI | go vet a celá sada testů s vestavěným PostgreSQL a simulátory SFTP, S3 a vSphere; sestavení pro Windows |
| CodeQL | Injection, path traversal, nebezpečná přesměrování a další chyby v toku dat (Go, JavaScript, workflowy) |
| govulncheck | Známé zranitelnosti v Go a v závislostech, které kód skutečně volá |
| staticcheck | Chyby a mrtvý kód |
| Dependabot | Zranitelné nebo zastaralé moduly Go a akce |
| Secret scanning | Omylem odeslané přihlašovací údaje (s ochranou při push) |
| OpenSSF Scorecard | Postupy dodavatelského řetězce repozitáře |
Před vydáním (v testovací laboratoři)
| Kontrola | Co najde |
|---|---|
| gosec | Nebezpečné vzory v Go: spouštění příkazů, oprávnění souborů, slabá kryptografie |
| Semgrep | Injection, XSS, nezabezpečené cookies, otevřená přesměrování (Go, JavaScript, tajemství, pravidla OWASP Top 10) |
| Trivy | Zranitelné závislosti, tajemství a chybné konfigurace |
| Gitleaks | Tajemství v celé historii gitu |
| OWASP ZAP | Úplný sken jako přihlášený administrátor: XSS, SQL injection, CSRF, path traversal, problémy s hlavičkami |
| OpenVAS a nmap | Síťové zranitelnosti, otevřené porty a nastavení TLS appliance |
| End-to-end QA | Zálohování a obnova každého podporovaného zdroje na každý typ úložiště na skutečných systémech; role, LDAP/SSO, API |
Nálezy se opravují před vydáním; přijatá rizika jsou popsána v poznámkách k vydání.
Tento web
backupzit.com je statický web: žádné cookies, žádná analytika, žádné sledování, žádné skripty ani písma třetích stran a Content-Security-Policy, která nepovoluje žádné skripty. Viz zásady ochrany soukromí.