Daten und Sicherheit

Was der Zugangscode ist und was nicht

DEIV ist durch einen einzigen Zugangscode geschützt, den sich alle Besucherinnen und Besucher teilen. Er hält zufällige Besucher fern, ist aber eine Komfort-Schranke und keine starke Sicherheit: Wer den Code hat, kann sich anmelden, und es gibt keine persönlichen Konten. Deshalb kann DEIV zwei Personen, die denselben Browser nutzen, nicht unterscheiden.

Umgesetzte Maßnahmen

• Die Anmeldung wird auf dem Server geprüft. Jede Seite und jede Anfrage braucht eine gültige Sitzung, außer dem Anmeldebildschirm und seinen Dateien, diesen Rechtsseiten und einer Zustandsprüfung, die der Hosting-Anbieter nutzt. Der Betreiber meldet sich auf demselben Bildschirm mit separaten geheimen Zugangsdaten an, und allein der Server entscheidet, nur anhand der Zugangsdaten, ob eine Anmeldung vom Betreiber oder von einer Besucherin oder einem Besucher stammt. Die Zugangsdaten des Betreibers haben einen eigenen Schutz: Nach 3 falschen Versuchen von einem Client beginnt eine wachsende Wartezeit, und eine globale Obergrenze begrenzt falsche Versuche unbekannter Clients. Die eigenen Werkzeuge des Betreibers können dieselben Zugangsdaten als Token senden; falsche Tokens werden ebenfalls gezählt und gebremst.
• Das Sitzungs-Cookie ist HttpOnly (Skripte können es nicht lesen), Secure (wird nur über HTTPS gesendet) und SameSite=Strict. Es wird vom Server signiert, damit es nicht gefälscht werden kann, läuft nach 24 Stunden ab (nach 8 Stunden bei der Anmeldung des Betreibers), und das Abmelden beendet es auch auf dem Server: Eine Kopie eines abgemeldeten Cookies wird abgelehnt, auch nach einem Neustart.
• Das Erraten von Passwörtern wird gebremst: Jeder falsche Versuch wird verzögert, wiederholte Fehlversuche eines Clients führen zu einer wachsenden Wartezeit von bis zu 15 Minuten, und eine globale Obergrenze begrenzt die Fehlversuche unbekannter Clients zusammen. Browser und Verbindungen, die sich kürzlich erfolgreich angemeldet haben, hält diese Obergrenze nicht auf, sodass Angreifer sie nicht aussperren können.
• Die Konsole des Betreibers verwendet eine eigene Zugangsberechtigung und ein eigenes Cookie. Der Zugangscode für Besucherinnen und Besucher gewährt nie Zugriff darauf.
• Aktionen, die von allen Besucherinnen und Besuchern geteilte Daten ändern, etwa das Aktualisieren von Spieldaten oder das erneute Prüfen der Ranglistenquelle, sind dem Betreiber vorbehalten, und Abfragen aktueller Spielpreise durch Besucherinnen und Besucher sind begrenzt.
• Anfragen, die etwas ändern, sind durch Prüfungen auf gleiche Herkunft (und bei Anfragen der App einen erforderlichen Header) gegen Cross-Site Request Forgery geschützt.
• Jede Seite wird mit Sicherheits-Headern gesendet: einer Content Security Policy, die nur die eigenen Skripte von DEIV erlaubt, einer Richtlinie, die Kamera, Mikrofon, Standort, Zahlungen und USB sperrt, HTTP Strict Transport Security im Produktivbetrieb, kein Einbetten durch andere Websites, kein Content-Type-Sniffing und kein Referrer an andere Websites.
• DEIV lädt keine Skripte von Dritten; sein gesamter Code wird von DEIV selbst ausgeliefert.
• Besucherinnen und Besucher sind voneinander getrennt: Ein Arbeitsbereich auf dem Server kann nur zusammen mit der Sitzung verwendet werden, die ihn geöffnet hat, und die Daten Ihres Arbeitsbereichs werden weder in die Datenbank noch auf die Festplatte des Servers geschrieben und normalerweise auch nicht in seine Protokolle (siehe Datenschutzerklärung).
• Die Ansichten des Betreibers zeigen nur anonyme Summen, pseudonyme Kennungen für Sicherheitsereignisse und Fehlereinträge ohne Anfragedetails.
• Antworten des Servers sind als nicht zwischenspeicherbar gekennzeichnet, und die Offline-Kopie speichert nie Antworten des Servers oder den Anmeldebildschirm.
• Die Größe von Anfragen ist begrenzt: Komprimierte Anfrageinhalte werden vor allem anderen abgelehnt, gewöhnliche Anfragen sind auf 1 MB begrenzt, und die Kopie Ihres Arbeitsbereichs hat eine eigene Größengrenze, ein Speicherbudget und Grenzen je Sitzung. Ungültige Zahleneingaben werden abgelehnt.
• Die Anfragen von DEIV an Sim Companies und SimcoTools sind rein lesend, gehen nur an freigegebene Adressen, enthalten keine Cookies und sind in ihrer Häufigkeit begrenzt.
• Der Server läuft ohne Administratorrechte (root), und seine Softwareabhängigkeiten werden nur in festgelegten Versionen mit geprüften Prüfsummen installiert.

Laut seinem Auftragsverarbeitungsvertrag verschlüsselt der Hosting-Anbieter (Railway) Daten bei der Übertragung und im Ruhezustand und wendet auf seiner Seite Zugriffskontrollen an.

Bekannte Grenzen

• Wenn Sie den Browser schließen, ohne sich abzumelden, bleibt Ihre Sitzung gültig, bis sie abläuft (höchstens 24 Stunden nach der Anmeldung), und der Server behält seine vorübergehende Kopie Ihres Arbeitsbereichs bis 30 Minuten nach Ihrer letzten Anfrage. Melden Sie sich ab, um beides sofort zu beenden.
• Beim Abmelden bleibt Ihr Arbeitsbereich absichtlich in diesem Browser erhalten. Auf einem gemeinsam genutzten Gerät kann die nächste Person, die sich mit dem Zugangscode anmeldet, ihn sehen. Entfernen Sie Ihre Daten, bevor Sie ein gemeinsam genutztes Gerät verlassen.
• Die meisten aus Ihren Daten abgeleiteten Ergebnisse werden zusammen mit der Kopie Ihres Arbeitsbereichs auf dem Server gelöscht, aber einige zwischengespeicherte Zwischenergebnisse können im Arbeitsspeicher des Servers bleiben, bis sie ersetzt werden oder der Server neu startet.
• Local Data & Backup › Remove löscht Ihren Arbeitsbereich, aber derzeit noch nicht die letzten Eingaben einiger Rechner und Werkzeuge, die Zahlen Ihres Unternehmens enthalten können. Löschen Sie die Daten dieser Website in Ihrem Browser, um auch sie zu entfernen.
• Einige weitere Verbesserungen aus einer Sicherheitsprüfung sind noch in Arbeit.
• Kein System ist vollkommen sicher, und DEIV wurde von keiner dritten Stelle zertifiziert.

Was Sie tun können

• Behalten Sie den Zugangscode für sich.
• Laden Sie Sicherungen Ihres Arbeitsbereichs herunter und bewahren Sie sie sicher auf: Sie enthalten die Daten Ihres Unternehmens.
• Verwenden Sie auf einem gemeinsam genutzten oder öffentlichen Gerät den Nur-Sitzungs-Modus, melden Sie sich ab und löschen Sie die Daten dieser Website, wenn Sie fertig sind.

Eine Schwachstelle melden

Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, melden Sie es bitte vertraulich dem Betreiber, mit genügend Details, um es nachzuvollziehen, und lassen Sie angemessen Zeit für eine Behebung, bevor Sie es veröffentlichen. Greifen Sie nicht auf Daten anderer zu, stören Sie den Dienst nicht und testen Sie nicht mehr als nötig, um das Problem zu zeigen.

Melden Sie es über das Kontaktformular auf der Kontaktseite (Art „Sicherheitsmeldung“), ohne Passwörter, Tokens oder Daten anderer Personen, oder schreiben Sie billbuffett auf Discord.

Wenn etwas schiefgeht

Betrifft ein Sicherheitsvorfall personenbezogene Daten, wird der Betreiber ihn bewerten und, soweit gesetzlich vorgeschrieben, die zuständige Behörde und die betroffenen Personen benachrichtigen.