ACCESS01
Fehlende Zugriffskontrolle
Der Endpunkt prüft die Anmeldung, aber nicht, ob der Benutzer die jeweilige Aktion ausführen darf.
Sicherheitstests für KI-basierte Anwendungen
Bevor Sie eine KI-Anwendung bereitstellen, prüfen Sie ihre Sicherheit
Wir testen Anwendungen, Websites und Onlineshops, die mit KI und Vibe Coding erstellt wurden. Wir führen den Code in einer isolierten Umgebung aus, erkennen Schwachstellen und liefern einen klaren Maßnahmenplan.
AUDIT-ABLAUFTESTUMGEBUNG
CODEANALYSEABHÄNGIGKEITENAPI- UND ZUGRIFFSTESTSMAßNAHMENPLAN
Die schwerwiegendsten Fehler beeinträchtigen die Funktion oft nicht
Das Formular speichert Daten, die API antwortet und die Anmeldung funktioniert. Problematisch wird es, wenn ein anderer Benutzer dieselbe Aktion ausführen, fremde Daten lesen oder die Validierung umgehen kann.
DEPS02
Anfällige Bibliotheken und Abhängigkeiten
Das Projekt verwendet Pakete mit bekannten Schwachstellen oder veraltete Komponenten, deren Risiko nicht bewertet wurde.
SECRETS03
Zugangsdaten im Code
API-Schlüssel, Token oder Passwörter gelangen in das Repository, das Container-Image oder in browserseitig zugänglichen Code.
INPUT04
Fehlerhafte Eingabevalidierung
Die Anwendung vertraut Formular- oder API-Daten. Dadurch lassen sich Abfragelogik, Benutzerrolle oder Umfang einer Aktion verändern.
API05
Ungeschützte API-Endpunkte
Eine nur im Admin-Bereich sichtbare Funktion kann weiterhin über einen direkten API-Aufruf erreichbar sein.
IDOR06
Zugriff auf fremde Daten
Durch Ändern einer Kennung in URL oder Anfrage kann ein Datensatz eines anderen Kontos abgerufen werden.
WAS WIR PRÜFEN
Zugriffskontrolle, Eingabevalidierung und Verhalten außerhalb des vorgesehenen Ablaufs
FÜR WEN
Für Projekte vor dem Start oder einer wichtigen Änderung
Ein Audit ist sinnvoll, wenn der Code schnell entstanden ist, viele Abhängigkeiten nutzt oder noch keine unabhängige Sicherheitsprüfung durchlaufen hat.
FÜR DEN START
Sie benötigen kein eigenes Sicherheitsteam.
Für den Start des Audits genügen:
- Projektcode
- Startanleitung
- Beschreibung der wichtigsten Funktionen
WANN EIN TEST SINNVOLL IST6 BEISPIELE
Betreiber von SaaS-Anwendungen
Wenn das Produkt Konten, Zahlungen oder Kundendaten verarbeitet.
Start-ups vor dem Launch
Wenn das MVP den ersten Benutzern oder einem Investor vorgestellt werden soll.
Teams mit Vibe Coding
Wenn der Code schnell und ohne vollständige Sicherheitsprüfung entstanden ist.
Entwickler von MVPs und Prototypen
Wenn aus einem Prototyp ein produktiv eingesetztes Produkt wird.
Betreiber von Onlineshops
Wenn das System Bestellungen, Kundendaten und Integrationen verarbeitet.
Softwareagenturen
Wenn vor der Projektabnahme eine unabhängige Kontrolle erforderlich ist.
TESTUMFANG
Wir prüfen den Code und das Anwendungsverhalten
OWASP TOP 10OWASP APICWE
Standards strukturieren unsere Arbeit. Die Ergebnisse beschreiben wir anhand von Problem, Auswirkung und Korrektur.
PRÜFBEREICHE 12 MODULE
01CODEQuellcodeanalyse✓
02APPAnwendungs- und API-Tests✓
03AUTHAuthentifizierung und Sitzungen✓
04ROLEAutorisierung und Berechtigungen✓
05DATAZugriff auf Daten anderer Benutzer✓
06DEPSAbhängigkeiten und bekannte Schwachstellen✓
07KEYZugangsdaten im Code✓
08ENVUmgebungskonfiguration✓
09INPUTDaten- und Formularvalidierung✓
10FILEDatei-Uploads und Verarbeitung✓
11ERRORFehler und offengelegte Informationen✓
12RISKRisikoreiche Codebereiche✓
UNSER ABLAUF
So läuft das Sicherheitsaudit ab
Vor dem Start stimmen wir Umfang, Codeübertragung, zu testende Funktionen und den Termin für die Löschung der Umgebung ab.
- 01SCHRITT 01
Codeübertragung
Repository, Projektarchiv oder zeitlich begrenzter Codezugriff zusammen mit einer Startanleitung.
- 02SCHRITT 02
Anwendung einrichten
Wir starten das Projekt lokal in einer isolierten Docker-Umgebung mit Testdaten.
- 03SCHRITT 03
Analyse und Tests
Wir prüfen Code, Konfiguration, Abhängigkeiten, API und die wichtigsten Anwendungsabläufe.
- 04SCHRITT 04
Ergebnisbericht
Wir dokumentieren Schwachstellen, Nachweise, Risiko, mögliche Auswirkungen und konkrete Korrekturen.
- 05SCHRITT 05
Retest
Nach Umsetzung der Korrekturen prüfen wir die gemeldeten Probleme erneut und aktualisieren ihren Status.
BEISPIELBERICHTEin Bericht, mit dem Entwickler
Ein Bericht, mit dem Entwickler
sofort arbeiten können
Jeder Befund wird im Kontext der Anwendung beschrieben. Der Bericht nennt Fundstelle, Reproduktionsschritte, mögliche Auswirkung und empfohlene Korrektur.
ZUSAMMENFASSUNG
Analyseergebnisse
2Kritische Befunde
4Befunde mit hohem Risiko
7Befunde mit mittlerem Risiko
5Empfehlungen zur Codequalität
VS-IDOR-01HOHES RISIKO
Ein Benutzer kann durch Ändern der Kennung in der API-Adresse Daten eines anderen Kontos abrufen
PROBLEMBESCHREIBUNG
Der Endpunkt prüft die Sitzung, vergleicht die Kontokennung jedoch nicht mit dem anfragenden Benutzer. Durch Ändern des Parameters wird ein Datensatz einer anderen Organisation zurückgegeben.
MÖGLICHE AUSWIRKUNG
Offenlegung von Profildaten, Abrechnungsverlauf und Einstellungen eines anderen Kunden.
STATUS NACH RETEST
Nach der Korrektur zu prüfen
Kritisch Hoch Mittel Niedrig
ERGEBNIS
Was Sie nach den Tests erhalten
Das Ergebnis hilft, Arbeiten zu priorisieren, Aufgaben an Entwickler zu übergeben und eine fundierte Entscheidung über die Bereitstellung zu treffen.
ERGEBNISBefunde nach Projektrisiko priorisiert.
- 01
PDF-Bericht
- 02
Befundliste nach Risikostufe
- 03
Hinweise auf anfällige Dateien und Codebereiche
- 04
Anleitung zur Reproduktion jedes Fehlers
- 05
Korrekturempfehlungen für Entwickler
- 06
Zusammenfassung für den Projektverantwortlichen
- 07
Möglichkeit zur Ergebnisbesprechung
- 08
Optionaler Retest nach Korrekturen
Vertrauen und Erfahrung sind die Grundlage
VernoSec ist eine Leistung von NetCoding.pl
Die Tests führt ein Full-Stack-Entwickler von NetCoding.pl durch, der mit 17 Programmiersprachen arbeitet. Er verfügt über mehr als 20 Jahre Erfahrung in der Softwareentwicklung, darunter 17 Jahre in der Umsetzung von Webprojekten. Der Bericht nennt nicht nur die Schwachstelle, sondern auch die konkrete Korrekturstelle und deren Einfluss auf die weitere Bereitstellung.
NetCoding.pl besuchen17Jahre Umsetzung von
Webprojekten
Webprojekten
20+Jahre als
Softwareentwickler
Softwareentwickler
17Programmiersprachen
in der Full-Stack-Arbeit
in der Full-Stack-Arbeit
VERTRAULICHKEIT
Ihr Code bleibt unter Kontrolle
Wir führen das Projekt lokal in einer isolierten Umgebung aus. Nur die mit dem Test beauftragten Personen erhalten Zugriff auf den Code. Aufbewahrung und Löschung der Daten werden vor Beginn vereinbart.
NDA
Vor der Codeübertragung können wir Vertraulichkeitsregeln vereinbaren und unterzeichnen.
TRANSFER
Gemeinsam wählen wir einen sicheren Weg zur Übertragung des Repositorys oder Archivs.
ACCESS
Der Zugriff wird auf die Personen und Ressourcen beschränkt, die für den Test erforderlich sind.
CLEANUP
Nach Abschluss schließen wir die Umgebung und löschen Kopien zum vereinbarten Termin.
FAQ
Häufige Fragen vor dem Test
Wichtige Informationen zur Vorbereitung von Code, Umgebung und Testdaten.
Sie können ein privates Repository freigeben, ein verschlüsseltes Archiv senden oder einen anderen sicheren Kanal mit uns vereinbaren. Vor Beginn bestätigen wir Zugriffsumfang und Löschtermin.
VOR DER BEREITSTELLUNG
Prüfen Sie Ihre Anwendung, bevor es jemand ohne Ihre Zustimmung tut
Senden Sie uns die wichtigsten Projektinformationen.Sie erhalten einen Vorschlag für Testumfang und Preis.
KONTAKT
Beschreiben Sie Ihr Projekt und wir definieren den passenden Testumfang
Für den Start genügen Angaben zu Technologie, Projektphase und besonders prüfungsrelevanten Funktionen. Sie können auch die geplante Codeübertragung nennen oder einen Repository-Link hinzufügen.
!
Senden Sie keine Passwörter, API-Schlüssel, Token oder Produktionsdaten. Eine sichere Codeübertragung vereinbaren wir separat.
E-Mail: contactvernosec.eu