Dados e segurança

O que o código de acesso é e o que não é

O DEIV é protegido por um único código de acesso compartilhado por todos os visitantes. Ele mantém afastados os visitantes casuais, mas é uma barreira de conveniência, não uma segurança forte: qualquer pessoa com o código pode entrar, e não há contas individuais. Por isso, o DEIV não consegue distinguir duas pessoas que usam o mesmo navegador.

Medidas adotadas

• O login é verificado no servidor. Todas as páginas e requisições exigem uma sessão válida, exceto a tela de login e seus arquivos, estas páginas jurídicas e uma verificação de funcionamento usada pelo provedor de hospedagem. O operador entra na mesma tela com uma credencial secreta separada, e somente o servidor decide, apenas a partir da credencial, se um login é do operador ou de um visitante. A credencial do operador tem proteção própria: após 3 tentativas erradas de um mesmo cliente começa uma espera crescente, e um limite global restringe as tentativas erradas de clientes desconhecidos. As ferramentas do próprio operador podem enviar a mesma credencial como token; tokens errados também são contados e retardados.
• O cookie de sessão é HttpOnly (scripts não conseguem lê-lo), Secure (enviado apenas por HTTPS) e SameSite=Strict. Ele é assinado pelo servidor para não poder ser falsificado, expira após 24 horas (após 8 horas quando o operador entra), e sair da conta também o encerra no servidor: uma cópia do cookie de uma sessão encerrada é recusada, mesmo após uma reinicialização.
• As tentativas de adivinhar a senha são retardadas: cada tentativa errada sofre um atraso, falhas repetidas de um mesmo cliente geram uma espera crescente de até 15 minutos, e um limite global restringe as tentativas malsucedidas do conjunto de clientes desconhecidos. Navegadores e conexões que entraram com sucesso recentemente não são retidos por esse limite, de modo que atacantes não conseguem bloqueá-los.
• O console do operador usa uma credencial e um cookie próprios. O código de acesso dos visitantes nunca dá acesso a ele.
• As ações que alteram dados compartilhados por todos os visitantes, como atualizar os dados do jogo ou verificar novamente a fonte do ranking, são reservadas ao operador, e as consultas de preços do jogo em tempo real feitas por visitantes são limitadas.
• As requisições que alteram algo são protegidas contra falsificação de requisições entre sites por verificações de mesma origem (e, nas requisições do aplicativo, um cabeçalho obrigatório).
• Todas as páginas são enviadas com cabeçalhos de segurança: uma Content Security Policy que só permite os scripts do próprio DEIV, uma política que bloqueia câmera, microfone, localização, pagamentos e USB, HTTP Strict Transport Security em produção, proibição de incorporação por outros sites, sem detecção do tipo de conteúdo e sem enviar a página de origem a outros sites.
• O DEIV não carrega scripts de terceiros; todo o seu código é servido pelo próprio DEIV.
• Os visitantes ficam separados: um espaço de trabalho no servidor só pode ser usado junto com a sessão que o abriu, e os dados do seu espaço de trabalho não são gravados no banco de dados nem no disco do servidor, e normalmente também não nos registros (veja a Política de Privacidade).
• As telas do operador mostram apenas totais anônimos, etiquetas pseudônimas para eventos de segurança e registros de erros sem detalhes das requisições.
• As respostas do servidor são marcadas para não serem armazenadas em cache, e a cópia offline nunca guarda respostas do servidor nem a tela de login.
• O tamanho das requisições é limitado: corpos de requisição comprimidos são recusados antes de qualquer outra coisa, as requisições comuns têm no máximo 1 MB e a cópia do seu espaço de trabalho tem seu próprio limite de tamanho, um orçamento de memória e limites por sessão. Entradas numéricas inválidas são rejeitadas.
• As requisições do DEIV à Sim Companies e à SimcoTools são somente leitura, vão apenas a endereços aprovados, não levam cookies e têm limite de frequência.
• O servidor roda sem privilégios de administrador (root), e suas dependências de software são instaladas apenas em versões fixadas e com somas de verificação conferidas.

Segundo seu acordo de tratamento de dados, o provedor de hospedagem (Railway) criptografa os dados em trânsito e em repouso e aplica controles de acesso do seu lado.

Limites conhecidos

• Se você fechar o navegador sem sair da conta, sua sessão continua válida até expirar (no máximo 24 horas após o login) e o servidor mantém sua cópia temporária do seu espaço de trabalho até 30 minutos após a sua última requisição. Saia da conta para encerrar as duas de uma vez.
• Sair da conta mantém seu espaço de trabalho neste navegador de propósito. Em um dispositivo compartilhado, a próxima pessoa que entrar com o código de acesso poderá vê-lo. Remova seus dados antes de deixar um dispositivo compartilhado.
• A maioria dos resultados derivados dos seus dados é excluída junto com a cópia do seu espaço de trabalho no servidor, mas alguns resultados intermediários em cache podem permanecer na memória do servidor até serem substituídos ou até o servidor reiniciar.
• Local Data & Backup › Remove exclui seu espaço de trabalho, mas ainda não as últimas entradas de algumas calculadoras e ferramentas, que podem conter números da sua empresa. Apague os dados deste site no navegador para removê-las também.
• Algumas melhorias adicionais identificadas em uma revisão de segurança ainda estão em andamento.
• Nenhum sistema é perfeitamente seguro, e o DEIV não foi certificado por nenhum terceiro.

O que você pode fazer

• Não compartilhe o código de acesso.
• Baixe backups do seu espaço de trabalho e guarde-os em segurança: eles contêm os dados da sua empresa.
• Em um dispositivo compartilhado ou público, use o modo somente sessão, saia da conta e apague os dados deste site ao terminar.

Comunicar uma vulnerabilidade

Se você acredita ter encontrado um problema de segurança, comunique-o em particular ao operador, com detalhes suficientes para reproduzi-lo, e dê um prazo razoável para a correção antes de divulgá-lo. Não acesse dados de outras pessoas, não interrompa o serviço e não teste mais do que o necessário para mostrar o problema.

Relate-o pelo formulário de contato da página de Contato (tipo “Relato de segurança”), sem senhas, tokens ou dados de outras pessoas, ou escreva para billbuffett no Discord.

Se algo der errado

Se um incidente de segurança afetar dados pessoais, o operador vai avaliá-lo e, quando a lei exigir, comunicá-lo à autoridade competente e às pessoas afetadas.