Un altro passo avanti sulla sicurezza

Oggi abbiamo rafforzato di nuovo la protezione dei servizi Vascend. Nessun incidente e nessun dato esposto: è lavoro preventivo, nato anche dall'analisi del traffico che riceviamo ogni giorno.

Certificati sotto sorveglianza

• Ogni ora controlliamo i log pubblici di Certificate Transparency per tutti i certificati emessi sui nostri domini e sottodomini.
• Un certificato rilasciato da un'autorità che non usiamo, o per un sottodominio mai visto, fa scattare subito un avviso allo staff: un certificato non autorizzato verrebbe scoperto entro un'ora.
• Audit della configurazione TLS: solo TLS 1.2 e 1.3, cifrari deboli rifiutati, HTTPS obbligatorio con HSTS esteso ai sottodomini.

Accesso e corsi più blindati

• Il firewall applicativo ora lavora in blocco su tutto il percorso di accesso con Vascend ID e sulla piattaforma corsi.
• Le poche eccezioni necessarie al funzionamento valgono solo per valori dal formato esatto (indirizzi di ritorno, ricerche, preferenze cookie): un tentativo di iniezione negli stessi campi resta bloccato.
• Content Security Policy più stretta: niente eval, connessioni solo verso destinazioni previste, CORS limitato alle origini ufficiali.

<:sc_identita:1566437085160931431> Identità opache

• L'identificativo con cui i servizi Vascend riconoscono il tuo account non è più un numero progressivo ma un valore casuale a 128 bit: non rivela quanti siamo e non si può indovinare quello di un altro utente.
• Il passaggio è stato trasparente: gli account e le app collegate restano collegati.

Se noti qualcosa di strano, apri un ticket in #open-a-ticket.