Zgłoszenie podatności
Problemy z bezpieczeństwem zgłaszaj prywatnie, nie w publicznym zgłoszeniu: otwórz kartę Security repozytorium i kliknij Report a vulnerability, podając wersję i sposób odtworzenia problemu. Potwierdzamy zgłoszenia w ciągu kilku dni roboczych, naprawiamy potwierdzone problemy w nowym wydaniu i wymieniamy zgłaszającego w informacjach o wydaniu, chyba że woli inaczej.
Poprawki bezpieczeństwa wydawane są dla najnowszej wersji. Kontakt czytelny maszynowo: security.txt.
Jak BackupZit chroni Twoje dane
Kopie
Szyfrowanie AES-256-GCM, klucze chronione kluczem odzyskiwania (Argon2id), każdy fragment sprawdzany skrótem SHA-256 przy przywracaniu. Niezmienny magazyn z S3 Object Lock lub utwardzonym repozytorium; wykrywanie ransomware i automatyczne testy przywracania.
Konsola
Ciasteczka sesji HttpOnly i SameSite=Strict, ochrona przed CSRF i clickjackingiem, ścisła Content-Security-Policy, limit prób logowania, logowanie dwuskładnikowe, role, opcjonalna zasada czterech oczu i dziennik audytu powiązany skrótami, który można wysyłać do serwera syslog lub SIEM.
Agenci
Agenci łączą się wychodząco z konsolą — bez otwartych portów na chronionych maszynach — i przy rejestracji przypinają certyfikat konsoli. Każdy agent ma własny sekret; sekrety na konsoli są przechowywane w postaci zaszyfrowanej.
Tylko Twoja sieć
Bez usługi w chmurze, bez telemetrii, bez konta u nas. Sprawdzanie aktualizacji pobiera podpisane wydania z GitHuba; konsole bez internetu aktualizuje się przez wgranie plików wydania.
Jak chronione są wydania
- Każde wydanie jest podpisane kluczem wydań Ed25519 BackupZit; konsole i agenci sprawdzają podpis i sumy kontrolne przed instalacją aktualizacji.
- Skrypt instalacyjny sprawdza podpis i sumę kontrolną pobieranego wydania.
- Pakiety są budowane z otagowanych commitów; obrazy zawierają pisemną ofertę kodu źródłowego (
SOURCE-CODE.txt). - Aktualizacja konsoli najpierw tworzy kopię bazy i automatycznie wraca do poprzedniej wersji, jeśli nowa się nie uruchomi.
Jak testowany jest BackupZit
Przy każdej zmianie (GitHub Actions)
| Kontrola | Co wykrywa |
|---|---|
| CI | go vet i pełny zestaw testów z wbudowanym PostgreSQL oraz symulatorami SFTP, S3 i vSphere; kompilacja dla Windows |
| CodeQL | Wstrzykiwanie, path traversal, niebezpieczne przekierowania i inne błędy przepływu danych (Go, JavaScript, workflowy) |
| govulncheck | Znane podatności w Go i w zależnościach faktycznie wywoływanych przez kod |
| staticcheck | Błędy i martwy kod |
| Dependabot | Podatne lub przestarzałe moduły Go i akcje |
| Secret scanning | Przypadkowo zatwierdzone dane uwierzytelniające (z ochroną przy push) |
| OpenSSF Scorecard | Praktyki łańcucha dostaw repozytorium |
Przed wydaniami (w laboratorium testowym)
| Kontrola | Co wykrywa |
|---|---|
| gosec | Niebezpieczne wzorce w Go: wykonywanie poleceń, uprawnienia plików, słaba kryptografia |
| Semgrep | Wstrzykiwanie, XSS, niebezpieczne ciasteczka, otwarte przekierowania (Go, JavaScript, sekrety, reguły OWASP Top 10) |
| Trivy | Podatne zależności, sekrety i błędna konfiguracja |
| Gitleaks | Sekrety w całej historii git |
| OWASP ZAP | Pełne skanowanie jako zalogowany administrator: XSS, SQL injection, CSRF, path traversal, problemy z nagłówkami |
| OpenVAS i nmap | Podatności sieciowe, otwarte porty i ustawienia TLS appliance |
| QA end-to-end | Kopia i przywracanie każdego obsługiwanego źródła do każdego rodzaju magazynu na prawdziwych systemach; role, LDAP/SSO, API |
Wykryte problemy są naprawiane przed wydaniem; zaakceptowane ryzyka są opisane w informacjach o wydaniu.
Ta strona
backupzit.com to strona statyczna: bez ciasteczek, bez analityki, bez śledzenia, bez skryptów i czcionek firm trzecich, z Content-Security-Policy, która nie dopuszcza żadnych skryptów. Zobacz politykę prywatności.