Architecture de sécurité, limites de reporting et attentes en matière de divulgation responsable pour le site Web Lucius.
La livraison statique, l'absence de compte et l'absence de backend général réduisent l'exposition, mais ne suppriment pas la nécessité de pratiques de sécurité minutieuses.
La version de production contient des pages statiques et des ressources fournies via Cloudflare. Il n'y a pas de base de données de site Web, de système d'authentification, de caisse, de portail patient ou de backend général de formulaire de contact dans la version actuelle.
Les réponses de production utilisent une protection du type de contenu, des restrictions de cadrage, des contrôles de référent, une politique de sécurité du contenu et une politique d'autorisations qui désactive les fonctionnalités inutiles de l'appareil. Cloudflare fournit la livraison TLS, la mise en cache périphérique et les contrôles de sécurité du trafic.
Le site évite les comptes, les informations sur les patients, les paiements en ligne, les trackers publicitaires et les bases de données de formulaires. Les préférences linguistiques sont stockées localement. La réduction des informations personnelles stockées réduit les conséquences d’une compromission de la couche application.
Des problèmes de sécurité peuvent être initiés via la route Contact jusqu'à ce qu'une boîte aux lettres de sécurité dédiée vérifiée soit publiée. Incluez l'URL concernée, le comportement observé, la date, le navigateur et les étapes de reproduction sécurisée. Ne pas accéder, télécharger, conserver ou transmettre des données personnelles, confidentielles ou des patients.
N'effectuez pas de tests de déni de service, d'analyse automatisée de gros volumes, d'attaques d'identifiants, de persistance, de déploiement de logiciels malveillants, d'ingénierie sociale ou de tests sur des services tiers. Arrêtez les tests si des informations sensibles sont rencontrées et signalez le problème sans inclure ces informations.
Lucius peut demander des éclaircissements, reproduire le problème, prioriser les mesures correctives et coordonner le calendrier de divulgation. Cette déclaration ne crée pas de programme de bug bounty, d'obligation de paiement ou d'autorisation de tester des systèmes au-delà du site Web public Lucius.
