Bezpečnost

Rozsah přístupu k údajům

K vašemu bankovnímu účtu se přímo nepřipojujeme. Neznáme přihlašovací údaje do bankovnictví, nemáme přístup k úplné historii účtu a nemůžeme zadávat platby. Zpracováváme pouze zaslaná oznámení. Zůstatek účtu sami nezjišťujeme. Banka ho ale může uvést přímo v oznámení. Do záznamu platby se neukládá a k hlídání plateb se nepoužívá. Zůstane jen v původním e-mailu, který po 90 dnech mažeme.

Služba může rozpoznat pouze platby, o kterých obdrží oznámení. Pokud delší dobu žádné nepřijde, upozorníme vás, že stav plateb nelze spolehlivě ověřit.

Provozní infrastruktura

Služba je provozována v Evropské unii. Výjimkou je příjem e-mailů přes globální síť Cloudflare.

Šifrování

• Komunikace aplikace je šifrována pomocí TLS. V produkci používáme hlavičku HSTS, která prohlížeči nařizuje šifrované připojení.
• Databáze MongoDB Atlas používá při uložení dat šifrování AES-256.
• Bezpečnostní hlavičky omezují vložení aplikace do cizího rámu a automatické odhadování typu obsahu. Aplikace zakazuje přístup ke kameře, mikrofonu a poloze.

Ověřování příchozích zpráv

Při přijetí a zpracování zprávy používáme následující kontroly. Nejde o záruku pravosti každé platby, jejich omezení popisujeme níže.

1. 1.Cloudflare při doručení odmítá zprávy, které neprojdou ani SPF, ani DKIM, a uplatňuje politiku DMARC odesílající domény. Tyto kontroly ověřují oprávnění odesílatele používat danou doménu.
2. 2.Přijímací program podepisuje předávanou zprávu sdíleným klíčem pomocí HMAC-SHA256. Podpis se vztahuje k přesným bajtům zprávy, platí pět minut a porovnává se v konstantním čase. Aplikace zprávu bez platného podpisu nepřijme.
3. 3.Jazykový model lze použít pouze pro zprávy z domén známých bank. Samotné uvedení názvu banky v textu zprávy nestačí.

Přidělená adresa obsahuje dvacet náhodných znaků z abecedy bez samohlásek, což odpovídá přibližně 96 bitům náhodnosti. Její znalost ale slouží jako oprávnění k odesílání zpráv pro váš účet. Zpráva ve formátu podporovaného bankovního oznámení může vytvořit záznam platby, i když ji neodeslala banka. Omezení na domény bank platí pro jazykový model, nikoli pro vlastní parsery. Adresu proto nezveřejňujte. Příjem zpráv lze kdykoli vypnout bez její změny.

Přihlášení a přístup

• Služba nepoužívá vlastní přihlašovací hesla. Přihlašovací odkaz zaslaný e-mailem platí 15 minut a lze ho použít pouze jednou. Chraňte proto přístup ke své e-mailové schránce.
• Přihlásit se lze také účtem Google. Heslo k účtu zadáváte přímo u Googlu, naše aplikace ho nevidí a neukládá. Google nám sdělí e-mailovou adresu, jméno a profilový obrázek.
• Přihlášení platí 7 dní. Cookie má příznak httpOnly, který brání přístupu ze skriptů, a v produkci také Secure pro přenos pouze šifrovaným spojením.
• Data v aplikaci jsou omezena na váš pracovní prostor a toto omezení platí i pro databázové dotazy. Výjimkou jsou sdílené popisy formátů vytvořené modelem. Ty popisují strukturu bankovních zpráv, nikoli jednotlivé platby.

Zpracování jazykovým modelem

• Model se použije pouze tehdy, když zprávu nedokáže zpracovat žádný z našich parserů.
• Zpracování je omezeno na EU. Pokud zde požadavek nelze obsloužit, neprovede se a nepřesune se jinam.
• Poskytovatel tato data nepoužívá k trénování modelů a maže je do 30 dnů.
• Model popisuje formát zprávy, nikoli stav vaší platby. Popis ukládáme pro daný typ zprávy a další oznámení stejného formátu zpracováváme bez modelu.
• Počet požadavků je omezen na pět za pracovní prostor denně a dvě stě celkem za den.

Popis formátu ověřujeme na zprávě, ze které vznikl. Pokud ji podle něj nelze zpracovat, popis nepoužijeme. Tato kontrola potvrzuje čitelnost údajů jako platby, nikoli správnost výběru jednotlivých polí modelem.

Údaje, které neuchováváme

• Originály zpráv, které rozpoznáme jako spam, zprávy bez platebních údajů a ověřovací zprávy Gmailu do archivu neukládáme.
• Přihlašovací hesla ke službě. Přihlášení probíhá bez vlastního hesla.
• Přihlašovací údaje do bankovnictví. Nikdy je nepožadujeme. Pokud je někdo vyžaduje jménem Hlídám platby, nejde o náš požadavek.

Chyby a incidenty

Provozní chyby zaznamenáváme do logů a systému Sentry. Tyto záznamy slouží k vyšetření příčiny a nápravě.

1. 1.Detekce. Incident zjistíme z provozních záznamů nebo hlášení uživatele.
2. 2.Izolace. Omezíme přístup k dotčené části služby, abychom zabránili dalším dopadům.
3. 3.Náprava. Zjistíme a odstraníme příčinu, následně ověříme správnost dat.
4. 4.Oznámení. Dotčené uživatele a Úřad pro ochranu osobních údajů vyrozumíme do 72 hodin od zjištění, jak ukládají čl. 33 a 34 GDPR.

Hlášení zranitelností

Zjištěnou zranitelnost nahlaste na info@silentdevs.com. Odpovíme do pěti pracovních dnů a informujeme vás o výsledku řešení.

• Informujte nás před zveřejněním nálezu.
• Uveďte postup, kterým lze problém reprodukovat.
• Neprovádějte testy, které by mohly narušit dostupnost služby nebo poškodit data ostatních.
• Nepřistupujte k cizím datům ani je neměňte.