Konieczność ponowienia audytu prywatności i bezpieczeństwa

ProteGO-Safe / specs

Opis, specyfikacja i zadania. Zacznij tutaj.

GNU General Public License v3.0

118 stars 29 forks source link

Konieczność ponowienia audytu prywatności i bezpieczeństwa #240

Open potiuk opened 3 years ago

potiuk commented 3 years ago

Ze względu na funkcnjonalność ogłoszoną w #238 zgłaszam konieczność ponowienia audytu prywatności i bezpieczeństwa w aplikacji. Zostaje dodana - zupełenie niepotrzebnie w aplikacji która ma potencjalnie dostęp do prywatnych danych - cała nowa funkcjonalność, korzystająca z "Push Notification" oraz komunikacji z internetem. \

Ze względu na wrażliwość aplikacji audyty o których pisaliśmy w #209 są już nieaktualne i wymagają ponownego ich przejścia.

Przy okazji zwracam uwagę na kwestię poruszoną w #235 - dotyczącą "Push Notification". Dotychczasowe audyty prywatności pomijały tą funkcjonalność. W ponownych audytach powinna się ona znaleźć.

olekstomek commented 3 years ago

Powiązane https://github.com/ProteGO-Safe/specs/issues/223#issuecomment-701636975

pkleczko commented 3 years ago

Audyt - jasne Natomiast bądźmy precyzyjni:

Nie ma w tej funkcjonalności Push Notifications
Komunikacja z backend to dokładniej pobranie jednego, stałego pliku z publicznego CDN

potiuk commented 3 years ago

Audyt - jasne

To stwierdzi audyt (mam nadzieję). Na razie wiemy że dodany jest nowy, duży moduł.

Push notification to jest funkcjonalność którą społeczność przypadkiem odkryła w #235 i która nie była ujawniona w poprzednim audycie, więc to jest niezwiązane z nową funkcjonalnością, ale warto przy okazjii (niezbędnego) nowego audytu tą funkcjonalność też zaudytować bo ewidentnie (nie wiem czy zaniedbanie, pomyłka, czy niedopatrzenie) było to pominięte,

Warto naprawić ten błąd w kolejnym audycie.

olekstomek commented 3 years ago

Czy został rozpoczęty/zakończony audyt aplikacji w wersji >4.2.1?

pkleczko commented 3 years ago

Audyt dla wersji 4.9.0, która zawierała duże zmiany wprowadzone przed Świętami został rozpoczęty. Damy znać o jego wynikach jak tylko dostaniemy raport (jakieś 2 tygodnie).

pkleczko commented 3 years ago

Niestety z przyczyn od nas niezależnych i formalnych audyt się przesunie i obejmie wersję 4.10.0, w której aplikacja będzie wyświetlać większą ilośc statystyk COVID-19 i szczepień oraz informacje na temat procesu szczepień w Polsce. Będę informował jak tylko uda mi się otrzymać potwierdzenie na temat dat.

olekstomek commented 3 years ago

@pkleczko obecnie jest już wersja 4.11 aplikacji od ~3 tygodni. Co z publicznym udostępnieniem audytu prywatności i bezpieczeństwa?