Cybersicherheit

Wie die Seite sich selbst schützt, und dich

Eine Seite, die Menschen beibringt, ihre eigenen Systeme zu verwalten, muss mit gutem Beispiel vorangehen. Diese Seite zeigt, wie breaktherule.org geschützt ist: der Ablauf, die Logik und das Design, in einfachen Worten.

Der Ablauf

Drei Kreisläufe laufen gleichzeitig: einer bei jedem Besuch, einer jeden Tag, einer bei jeder Änderung.

Die Logik

• In Schichten. Kein Schutz ist allein perfekt, deshalb gibt es mehrere, einer hinter dem anderen, wie die Mauern, das Tor und der Tresor einer Burg.
• Im Zweifel nein. Wenn eine Prüfung nicht laufen oder nicht antworten kann, lautet die Antwort nein. Eine Nachricht wird abgelehnt statt auf Vertrauen angenommen, und eine tägliche Prüfung, die nicht gelaufen ist, zählt als Fund.
• So wenig Daten wie möglich. Was nie gesammelt wird, kann nicht abfließen: kein Konto, kein Cookie, und kein Name, keine E-Mail und keine IP-Adresse bei einer Nachricht gespeichert.
• Geheimnisse außerhalb des Codes. Der Code ist so geschrieben, als könnte ihn jeder lesen, denn eines Tages wird das so sein. Das einzige Geheimnis liegt bei Cloudflare, und die täglichen Prüfungen suchen in der gesamten Geschichte des Codes nach Geheimnissen und verbotenen Dateien.
• Maschinen schauen jeden Tag, Menschen entscheiden. Vier automatische Prüfungen suchen jeden Morgen nach neuen Schwachstellen und schreiben einen Bericht, auch wenn nichts passiert ist. Ein Mensch liest ihn und entscheidet.
• Nichts geht ohne ein Okay online. Jede Änderung wird geprüft und dokumentiert, bevor sie veröffentlicht wird. Die einzige Ausnahme ist eine Sicherheitskorrektur in einer Abhängigkeit, die nur dann von selbst veröffentlicht wird, wenn sie klein ist und jede Prüfung grün ist.

Das Design

Alles ist kostenlos und Open Source: der kostenlose Tarif von Cloudflare, die kostenlosen Werkzeuge von GitHub und Scanner, die jeder herunterladen kann. Nichts ruft eine KI auf und nichts braucht einen bezahlten Dienst, sodass jeder, der eine kleine Seite betreibt, dieselben Schutzmaßnahmen kopieren kann.

Alles ist aufgeschrieben. Die Dokumentation des Projekts beschreibt jeden Schutz, seinen Stand und wie man ihn von jedem Computer aus prüft, damit eine Änderung, die niemand erwartet hat, sofort auffällt.

Alles folgt den vier Schritten der Seite selbst: den Prozess annehmen, ihn verstehen, den Teil finden, der nicht funktioniert, die Regel brechen und ihn verbessern. Der tägliche Bericht ist dazu da, diesen Teil zu finden, bevor es jemand anderes tut.

Ein Sicherheitsproblem gefunden?

Schreib an 59495@proton.me und beschreibe das Problem und wie es sich nachstellen lässt. Dieselbe Adresse steht in security.txt, der Standarddatei, in der eine Seite sagt, wem man es melden soll.