24 900 kr
Pentest av app og API
Vi tester applikasjonen og API-et deres som innloggede brukere, med opptil fire roller, og ser etter det som lar noen nå data eller handlinger de ikke skal. Dere får et attestbrev som kan sendes til kunden.
- Pris
- 24 900 kr eks. mva
- Leveringstid
- 1–2 uker
I praksis
Laget for SaaS med mange kunder i samme løsning
Testen er laget for programvareselskaper som selger en SaaS-løsning, der mange kunder deler samme installasjon. Det en større kunde vil vite om en slik løsning, er om deres data er utilgjengelig for de andre kundene, og om en bruker bare kan gjøre det rollen tillater. Det er det testen ser etter først.
Tenant-isolasjon testes med to testkunder, ikke med to brukere hos samme kunde. Vi går gjennom løsningen som den ene og prøver å nå det samme som den andre, også i rapporter, eksporter, søk og vedlegg, der vi oftest finner feilen. I hvert endepunkt er spørsmålet om kundetilhørigheten leses fra sesjonen eller fra noe klienten sender inn.
Med opptil fire roller prøves hver rolle mot de andre: kan en vanlig bruker gjøre det en administrator kan, kan den som bare skal lese, endre noe. API-et testes for seg, fordi skjermbildet bare viser det brukeren skal se, mens endepunktet bak må kontrollere det selv.
Attestbrevet er det dere sender videre. Det sier hva som ble testet, når, hvordan og av hvem, og hvor mange funn det ble i hver alvorlighetsgrad. Det sier ikke at løsningen er sikker. Det kan ingen test si, og et brev som prøver, er verdt mindre hos en kunde som kan faget.
Leveringstiden regnes fra omfanget er signert og testbrukerne virker. Finner vi noe kritisk underveis, får dere beskjed med en gang, ikke i rapporten. Etter rapporten kommer en skriftlig gjennomgang, og når dere har rettet, en retest og et nytt attestbrev som viser hva som er lukket.
Fra oppdrag
Funn fra virkelige tester
Skrevet av Erik Nilsen etter autoriserte oppdrag. Navnene i skrivene er oppdiktet og detaljene sanert, funnene er fra ekte tester.
- Firebase-gulvet ga etter: når tenantsitteren bor i én samling
Ekstern test av en skattetjeneste på Firebase og Google Cloud Run, der en samling med brukerprofiler kunne leses ut i sin helhet og dokument-API-et lot en innlogget bruker se filoversikten til andre kunder og skrive filer hos dem.
- Fakturaen som aldri ble betalt: billing-bypass i en Supabase edge function
En Supabase-app ga et aktivt enterprise-abonnement uten betaling, og regelen som skulle hindre én kunde i å skrive data hos en annen, brøt sammen to ganger i løpet av oppdraget før den holdt.
- Cross-tenant-funnet overlevde verifiseringen, og var verre
Et booking-API for skoler svarte uten innlogging og ga ut bookinger og passord i klartekst på tvers av 56 skoler, og den negative kontrollen viste at tilgangskontrollen ikke kontrollerte noe.
- Kjernen holdt, eiendommen ikke
Retest av regnskapsplattformen fra juli med bredere omfang: isolasjonen i API-et holdt fortsatt, men en opplastet fil kombinert med manglende CSRF-vern lot en bruker hos én kunde overta API-nøkkelen til en bruker hos en annen.
- Da cross-tenant-funnet ikke overlevde verifisering
Et oppslag som så ut som et brudd mellom to kunder i en SaaS, falt bort da det ble prøvd fra en konto som ikke eide objektet, og skrivet viser hele verifiseringen og de tre funnene som ble forkastet.
- Isolasjonen holdt, autorisasjonen sprakk: pentest av en regnskaps-SaaS
Autorisert test av et regnskaps-API med mange kunder på samme plattform: skillet mellom kundene holdt på alle veier som ble prøvd, mens autorisasjonsmodellen rundt hadde tre reelle hull.
Omfang
Omfanget
Hva som inngår
Til denne prisen, uten tillegg.
- Én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø
- Autorisasjon og IDOR: kan én bruker eller rolle nå en annens data eller handlinger
- Tenant-isolasjon der appen har flere kunder
- API: BOLA, mass assignment og rate limiting
- Innloggings- og sesjonsflyt
- Hemmeligheter som ligger igjen i frontend
- Ekstern sjekk av domenet: e-postsikkerhet, TLS, security headers og eksponerte filer som .git og .env
- Kjente sårbarheter i det som er synlig utenfra
Ikke med i denne pakken
Lurer du på om noe er innenfor, spør. Du får svar innen én virkedag.
- Flere applikasjoner, flere enn fire roller eller flere miljøer. Det dekkes av Pentest av større plattform
- Microsoft 365. Det er en egen gjennomgang
- Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på
Hva du får
- PDF-rapport med funn sortert etter alvorlighetsgrad, med konkrete tiltak
- Sammendrag på side 1 som kan videresendes til ledelsen
- Dokumentasjon per funn som utvikleren kan reprodusere: hvor, hvordan og hva som skjedde
- ZIP-fil med proof of concept og bevismateriale for hvert funn
- Attestbrev på én side, på norsk og engelsk: hva som ble testet, når, metode, hvem som testet, funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt
- Skriftlig gjennomgang der du kan stille spørsmål
- Én retest innen 60 dager, og et nytt attestbrev etter den
Hva vi trenger fra deg
- En testbruker for hver rolle som skal testes, helst i et testmiljø
- URL-en til appen og API-et, og API-dokumentasjon hvis dere har den
- Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør
- Leveringstid
- 1–2 uker
- Pris
- 24 900 kr eks. mva
Pris
Hva prisen betyr
Tallet over er prisen, eks. mva. Dere får den skriftlig før noe settes i gang, og da står den. Finner vi mer enn ventet innenfor avtalt omfang, koster det ikke mer.
Hvorfor prisen er fast står på sin egen side, sammen med hele prislisten.
Referanse
Fra en kunde som har hatt test
Glippen har hjulpet Datatax med å avdekke kritiske svakheter under utviklingen. Vi fikk en solid test av blant annet databaselogikk før lansering av Regnskap Next og kan anbefale alle bistand til å se om sikkerheten er optimal. Å se at Glippen fant potensielle svakheter var en vekker. Takk for samarbeid.
Spørsmål
Spørsmål om Pentest av app og API
Svarene er hentet fra det samme som prislisten: hva som inngår, hva som ikke gjør det, og hva vi trenger fra dere.
Hva er attestbrevet, og kan vi sende det til kunden?
Ja, det er det det er til. Attestbrevet er én side, på norsk og engelsk: hva som ble testet, når, etter hvilken metode, hvem som testet, antall funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt. Det kan sendes til kunden eller legges ved et anbud.
Rapporten beholder dere selv, fordi den beskriver svakhetene i detalj. Etter retesten innen 60 dager får dere et nytt attestbrev som viser hva som er lukket.
Hva koster Pentest av app og API?
Prisen er 24 900 kr eks. mva for én applikasjon med API-et sitt, opptil fire brukerroller, i ett miljø. Det er det dere betaler, og vi tar aldri mer enn det som står på siden.
Finner vi mer enn ventet, tar vi det med uten at det koster noe ekstra. Faktura sendes etter levering.
Hvor lang tid tar Pentest av app og API?
Vanligvis 1–2 uker. Testvinduet avtales skriftlig i scope-dokumentet.
Finner vi noe kritisk underveis, får du beskjed samme dag, uten å vente på rapporten.
Hva trenger dere fra oss for å komme i gang?
En testbruker for hver rolle som skal testes, helst i et testmiljø. URL-en til appen og API-et, og API-dokumentasjon hvis dere har den. Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør.
Og en signatur på scope-dokumentet. Ingenting testes før det er på plass.
Hva er ikke med i Pentest av app og API?
Flere applikasjoner, flere enn fire roller eller flere miljøer. Det dekkes av Pentest av større plattform. Microsoft 365. Det er en egen gjennomgang. Mobilapp, sky og internnett. Det får dere et skriftlig fastpristilbud på.
Lurer dere på om noe er innenfor, spør. Dere får svar innen én virkedag.
Er retest inkludert?
Ja. Én retest innen 60 dager, og et nytt attestbrev etter den.
Den ligger i prisen, og det kommer ingen egen regning for den. Holder rettingen ikke, sier vi fra om det også.
Les
Les videre
Svakhet
Tenant-isolasjon: når én kunde kan se en annen
Deler kundene deres samme installasjon, er isolasjonen mellom dem en av de få feilene som kan koste dere alle kundene samtidig. Her er hva som ryker, og hvorfor.
Én bruker kan nå data som tilhører en annen
Rette IDOR
Dere har fått et funn om at én bruker kan nå en annens data. Her er rekkefølgen som lukker det for godt, og de tre rettingene som ser riktige ut og ikke er det.
Krav fra kunder
Kunden ber om pentest-rapport
Kunden vil se pentest-rapporten, eller har sendt et sikkerhetsskjema med frist. Hva de egentlig spør om, hva dere sender, og hva som aldri skal sendes ut.
Anbud
Sikkerhetsdokumentasjon til anbud
Anbudet krever dokumentert sikkerhetstest. Fire krav som leses som ett, hva dere legger ved i stedet for rapporten, og hva dere gjør når fristen er kort.
Andre
Nærliggende tjenester
7 900 kr
App-sjekk
En fokusert førstetest av én webapp eller ett API, med to roller i ett miljø. Vi logger inn og ser etter det som betyr mest: kan noen nå data eller handlinger de ikke skal.
49 900 kr
Pentest av større plattform
For plattformer med flere apper eller API-er og mange roller. Vi tester opptil tre applikasjoner eller API-er, også API-et bak en mobilapp, med opptil ti roller. Dere får et attestbrev som kan sendes til kunden.
Videre
Klar til å bestille Pentest av app og API?
Vet du hva du trenger, tar bestillingen et par minutter, og du får svar innen én virkedag. Er du usikker, skriv et par ord i skjemaet eller send en e-post. Det er Erik som leser og svarer, og ikke med et møteforslag som første svar.
Eller skriv direkte til post@glippen.no