Zabezpečení

1. Hosting a šifrování

QR Wait běží v síti Cloudflare (Workers a Durable Objects) a tam také ukládá svá data. Každé spojení je šifrováno pomocí HTTPS (TLS) a prohlížeče dostávají pokyn používat na qrwait.app a všech jeho subdoménách pouze HTTPS (HSTS, jeden rok).

Stránky mají přísné zásady zabezpečení obsahu (Content Security Policy): skripty se načítají pouze z QR Wait a Cloudflare a žádný jiný web nesmí QR Wait zobrazit v rámu.

Cloudflare uvádí, že má ověření podle ISO/IEC 27001, ISO/IEC 27701 a ISO/IEC 27018 (Cloudflare Trust Hub). Jde o ověření společnosti Cloudflare; QR Wait sám žádnou certifikaci nemá.

2. Účty a přihlášení

• Hesla se ukládají pouze jako solený hash PBKDF2-SHA-256. Nové heslo, které se vyskytuje ve známých únicích dat, je odmítnuto; pro toto ověření opouští QR Wait pouze prvních 5 znaků jeho hashe SHA-1 (k-anonymita).
• Dvoufázové přihlášení s ověřovací aplikací (TOTP) a jednorázovými záložními kódy. Vlastníci vidí, kteří členové týmu je mají zapnuté.
• Členové týmu mají roli (vlastník, správce nebo obsluha), a pokud je jejich přístup omezen, otevírají pouze fronty, které jim byly přiděleny.
• Po 5 neúspěšných pokusech o přihlášení k účtu během 24 hodin vyžaduje přihlášení také ověření proti botům (Cloudflare Turnstile).
• Při přihlášení k účtu z nového prohlížeče přijde e-mail.
• Relace končí po 14 dnech nepoužívání; změna hesla nebo „Odhlásit ostatní zařízení“ ukončí všechny ostatní relace.
• Odkazy pro ověření, obnovení hesla a pozvánky jsou jednorázové a ukládají se pouze jejich hashe.

3. Omezení počtu požadavků

Požadavky se na okraji sítě Cloudflare omezují podle IP adresy: přihlášení, registrace a obnovení hesla 10 za minutu, zařazení do fronty 60 za minutu, REST API 120 za minutu na klíč a 120 za minutu na IP adresu.

4. Údaje návštěvníků

• Návštěvníci nejsou nikdy žádáni o telefonní číslo ani e-mailovou adresu. Na jméno se fronta ptá jen tehdy, když to provozovna zapne.
• Lístek, včetně jména a odpovědí z formuláře pro zařazení, se maže nejpozději 24 hodin po zařazení, bez ohledu na nastavení fronty.
• Poloha se neukládá. Když fronta ověřuje polohu, uchovává se s lístkem pouze vzdálenost od fronty a čas jejího změření.
• QR kód zobrazený na obrazovce obsluhy se mění každých 15 až 75 sekund a každý kód platí 1 až 5 minut, takže fotka sdílená jinde nikomu zařazení neumožní.
• Úkony obsluhy v panelu se zaznamenávají po dobu 30 dnů; odkazy obsluhy lze kdykoli odvolat.

5. Zálohy

To, co nelze znovu sestavit (účty, nastavení front, zůstatky lístků), se každý den exportuje do Cloudflare R2 a před zápisem šifruje: každá část vlastním klíčem AES-256-GCM, který je sám zašifrován veřejným klíčem (RSA-OAEP). Soukromý klíč, kterým je lze otevřít, je uložen offline. Exporty se uchovávají 35 dní.

Lístky nejsou nikdy součástí zálohy: obsahují jména návštěvníků a existují nejvýše jeden den.

6. Integrace

• Webhooky jsou podepsané (HMAC-SHA256 s časovým razítkem) tajným klíčem, který se zobrazí jen jednou, a odesílají se pouze na veřejné adresy https. Obsahují pouze čísla a časy, pokud provozovna pro daný koncový bod nepovolí jména.
• Klíče API se zobrazí jen jednou a ukládají se pouze jako hash SHA-256. Klíč buď jen čte, nebo také zapisuje, a lze jej kdykoli odvolat.
• Podrobnosti pro vývojáře: referenční dokumentace API a webhooků (anglicky).

7. Další zpracovatelé

Tyto společnosti zpracovávají údaje jménem QR Wait za účelem provozu služby:

Oznámení v prohlížeči procházejí push službou vlastního prohlížeče návštěvníka. Jak údaje opouštějí Turecko a EU, vysvětlují zásady ochrany osobních údajů.

8. Nahlášení zranitelnosti

Napište na hello@qrwait.app s předmětem „Security“. Přijetí potvrdíme do 3 pracovních dnů a první posouzení zašleme do 10 pracovních dnů. Do odstranění problému si jej prosím nechte pro sebe a testujte pouze se svými vlastními účty a frontami.

Proti výzkumu, který tato pravidla v dobré víře dodržuje, nepodnikneme právní kroky. Placená odměna za nalezené chyby (bug bounty) není. Stejný kontakt ve strojově čitelné podobě: security.txt.