Sicurezza

Come segnalarci un problema di sicurezza, come verificare chiavi e firme dei nostri pacchetti e quali misure proteggono il servizio.

Segnalare una vulnerabilità

Scrivi a sicurezza@restart.cloud. La casella è letta direttamente da chi gestisce il servizio.

Nel messaggio indica:

cosa hai trovato;
come riprodurlo, passo per passo;
quale pagina, indirizzo o versione è coinvolta;
come possiamo ricontattarti.

Non pubblichiamo una chiave PGP. Se vuoi un canale cifrato, chiedilo rispondendo alla nostra email.

Cosa ci impegniamo a fare

prima risposta entro 5 giorni lavorativi;
correzione, o piano di correzione, entro 90 giorni;
aggiornamenti a chi ha segnalato fino alla chiusura.

Buona fede, senza taglie

Chi cerca e segnala problemi rispettando queste regole non subisce azioni legali da parte nostra:

non accedere a dati di altri oltre il minimo necessario per dimostrare il problema;
non modificare né cancellare dati;
non fermare né rallentare il servizio;
niente phishing o ingegneria sociale verso clienti e dipendenti;
niente attacchi fisici a sedi o dispositivi.

Non sono previsti premi in denaro.

Impronte di chiavi e firme

Le impronte sono calcolate dal servizio a partire dalle chiavi pubbliche in uso, non scritte a mano. L’impronta di una chiave è lo SHA-256 della sua forma pubblica DER, la stessa che ottieni con:

openssl pkey -pubin -in chiave.pem -outform DER | openssl dgst -sha256

Cosa Impronta SHA-256 Valida da / fino a Stato

Cosa	Impronta SHA-256	Valida da / fino a	Stato
Chiave che firma i pacchetti di aggiornamento (client Windows e ServerAgent) e le ricette del catalogo RSA 3072 bit	`a092e39699fb3e17037285c4bcda6f747951fbc6e6d06e67d83ba00f4844ebce` Chiave pubblica (PEM) -----BEGIN PUBLIC KEY----- MIIBojANBgkqhkiG9w0BAQEFAAOCAY8AMIIBigKCAYEAm1+6wFpF9qSg3i47ZYq2 DRbAr4OuRh88yrmzrnAwlnqfAs2pYmlSD9sve+or2xyko8ne94tAQZ1Fxy6//vsp AnpqC5plOIEGQtJULD58uU0pXOos5s7rOsAaZTOXmW0K/sAPfxp2tWNTQ1M3ss5C k1EJzY/XZWF2zyLgB9bR0qouzjn4T7/AdOtBw89E2jFIuPMcrITJxGjZvN5AwfPy ojgcNIprMQPw6s+P8iT1XCfjk8AdqqhaetzD9UzPIK+YmycnONNTglu76XO9jcBq Vl78DD4xun+BsElo28xThakAfbkFWeUoRCqdVvWzSpNl8GRWHU78P0Dbyqt7Mhjn iHVXovEyJzaG+XCqDzC1t4LFe/R7iR9Q+1CxT7b1RtMZPcm2nSkcQHTNcsJn1zjM oDKmGZ3/5PArj2Vp69in30OfDfGEDfGYeP+I4MTudug+CtyNOsniry3ho6REOJ1V D682btkvNtiDcAKgREJ+GY83KD5+iC/9v80wfCT/CFrLAgMBAAE= -----END PUBLIC KEY-----	— / —	Attuale
Certificato Authenticode dei pacchetti Windows	—	— / —	Non ancora disponibile

Chiave che firma i pacchetti di aggiornamento (client Windows e ServerAgent) e le ricette del catalogo
RSA 3072 bit

a092e39699fb3e17037285c4bcda6f747951fbc6e6d06e67d83ba00f4844ebce

Chiave pubblica (PEM)

— / —

Attuale

Certificato Authenticode dei pacchetti Windows — — / — Non ancora disponibile

Durante un cambio di chiave la tabella mostra la chiave attuale e quella precedente, con le rispettive date. Le chiavi usate solo tra i componenti interni del servizio non sono elencate: non servono a chi scarica i nostri pacchetti.

Ogni pacchetto ha il suo SHA-256 nella pagina Download.

Misure in breve

i dati di ogni azienda cliente sono isolati da quelli delle altre;
la verifica in due passaggi è obbligatoria in console per gli amministratori MSP e per gli account con permessi di gestione;
i dati sensibili sono conservati cifrati;
l’accesso remoto ai PC segue la modalità scelta dall’azienda cliente e ogni sessione resta registrata;
le azioni dell’assistente AI passano dall’approvazione di una persona secondo la modalità di autonomia scelta dall’azienda;
quando la funzione Privacy è attiva, i dati personali vengono sostituiti con segnaposto prima dell’invio ai modelli AI;
i pacchetti di aggiornamento e le ricette del catalogo sono firmati.

Per approfondire: Stato del servizio.