49 900 kr
Pentest av større plattform
For plattformer med flere apper eller API-er og mange roller. Vi tester opptil tre applikasjoner eller API-er, også API-et bak en mobilapp, med opptil ti roller. Dere får et attestbrev som kan sendes til kunden.
- Pris
- 49 900 kr eks. mva
- Leveringstid
- 2–4 uker
I praksis
API-et bak mobilappen, integrasjonene og rollene
En plattform er sjelden én app. Det er gjerne en webapp for kundene, et administrasjonsgrensesnitt, et API som mobilappen snakker med, og integrasjoner som flytter data mellom dem. Hver del kan ha riktig tilgangskontroll for seg og likevel la noen gå rundt den gjennom en annen.
API-et bak mobilappen testes som de andre API-ene: innlogget, med hver rolle, og uten å stole på at appen bare sender det den skal. Selve appen på telefonen, det den lagrer og hvordan den er bygget, er ikke med. Det får dere et skriftlig fastpristilbud på.
Integrasjonene mellom delene testes som grenser. Spørsmålet er om én del kan brukes til å nå data i en annen, og om data som flyttes mellom dem, fortsatt hører til riktig kunde. Tenant-isolasjonen testes på tvers av hele plattformen, ikke én app om gangen.
Med opptil ti roller blir rollene en matrise, ikke en liste: hvem skal kunne gjøre hva, i hvilken del. Derfor ber vi om en kort beskrivelse av applikasjonene og hvordan de henger sammen før vi begynner. Grensene må være skrevet ned før de kan prøves.
Leveransen er den samme som for Pentest av app og API: rapport, bevismateriale, attestbrev på norsk og engelsk, og en retest med nytt attestbrev. Attestbrevet sier hvilke deler som ble testet, så kunden ser hva det dekker.
Fra oppdrag
Funn fra virkelige tester
Skrevet av Erik Nilsen etter autoriserte oppdrag. Navnene i skrivene er oppdiktet og detaljene sanert, funnene er fra ekte tester.
- Firebase-gulvet ga etter: når tenantsitteren bor i én samling
Ekstern test av en skattetjeneste på Firebase og Google Cloud Run, der en samling med brukerprofiler kunne leses ut i sin helhet og dokument-API-et lot en innlogget bruker se filoversikten til andre kunder og skrive filer hos dem.
- Fakturaen som aldri ble betalt: billing-bypass i en Supabase edge function
En Supabase-app ga et aktivt enterprise-abonnement uten betaling, og regelen som skulle hindre én kunde i å skrive data hos en annen, brøt sammen to ganger i løpet av oppdraget før den holdt.
- Cross-tenant-funnet overlevde verifiseringen, og var verre
Et booking-API for skoler svarte uten innlogging og ga ut bookinger og passord i klartekst på tvers av 56 skoler, og den negative kontrollen viste at tilgangskontrollen ikke kontrollerte noe.
- Kjernen holdt, eiendommen ikke
Retest av regnskapsplattformen fra juli med bredere omfang: isolasjonen i API-et holdt fortsatt, men en opplastet fil kombinert med manglende CSRF-vern lot en bruker hos én kunde overta API-nøkkelen til en bruker hos en annen.
- Da cross-tenant-funnet ikke overlevde verifisering
Et oppslag som så ut som et brudd mellom to kunder i en SaaS, falt bort da det ble prøvd fra en konto som ikke eide objektet, og skrivet viser hele verifiseringen og de tre funnene som ble forkastet.
- Isolasjonen holdt, autorisasjonen sprakk: pentest av en regnskaps-SaaS
Autorisert test av et regnskaps-API med mange kunder på samme plattform: skillet mellom kundene holdt på alle veier som ble prøvd, mens autorisasjonsmodellen rundt hadde tre reelle hull.
Omfang
Omfanget
Hva som inngår
Til denne prisen, uten tillegg.
- Opptil tre applikasjoner eller API-er, også API-et en mobilapp snakker med
- Opptil ti brukerroller, og grensene mellom dem
- Alt som inngår i Pentest av app og API, for hver av dem
- Integrasjonene mellom dem: kan én del brukes til å nå data i en annen
- Tenant-isolasjon på tvers av hele plattformen
Ikke med i denne pakken
Lurer du på om noe er innenfor, spør. Du får svar innen én virkedag.
- Flere enn tre applikasjoner eller API-er, eller flere enn ti roller. Da får dere et skriftlig fastpristilbud
- Selve mobilappen: det den lagrer på telefonen og hvordan den er bygget. Det får dere et skriftlig fastpristilbud på
- Microsoft 365. Det er en egen gjennomgang
Hva du får
- PDF-rapport med funn sortert etter alvorlighetsgrad, med konkrete tiltak
- Sammendrag på side 1 som kan videresendes til ledelsen
- Dokumentasjon per funn som utvikleren kan reprodusere: hvor, hvordan og hva som skjedde
- ZIP-fil med proof of concept og bevismateriale for hvert funn
- Attestbrev på én side, på norsk og engelsk: hva som ble testet, når, metode, hvem som testet, funn per alvorlighetsgrad og hva som er lukket og verifisert på nytt
- Skriftlig gjennomgang der du kan stille spørsmål
- Én retest innen 60 dager, og et nytt attestbrev etter den
Hva vi trenger fra deg
- En testbruker for hver rolle som skal testes, helst i et testmiljø
- En kort beskrivelse av applikasjonene og hvordan de henger sammen
- Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør
- Leveringstid
- 2–4 uker
- Pris
- 49 900 kr eks. mva
Pris
Hva prisen betyr
Tallet over er prisen, eks. mva. Dere får den skriftlig før noe settes i gang, og da står den. Finner vi mer enn ventet innenfor avtalt omfang, koster det ikke mer.
Hvorfor prisen er fast står på sin egen side, sammen med hele prislisten.
Referanse
Fra en kunde som har hatt test
Glippen har hjulpet Datatax med å avdekke kritiske svakheter under utviklingen. Vi fikk en solid test av blant annet databaselogikk før lansering av Regnskap Next og kan anbefale alle bistand til å se om sikkerheten er optimal. Å se at Glippen fant potensielle svakheter var en vekker. Takk for samarbeid.
Spørsmål
Spørsmål om Pentest av større plattform
Svarene er hentet fra det samme som prislisten: hva som inngår, hva som ikke gjør det, og hva vi trenger fra dere.
Koster det mer hvis plattformen er stor eller dere finner mye?
Nei. Prisen er 49 900 kr eks. mva, og den står så lenge omfanget er innenfor opptil tre applikasjoner eller API-er og opptil ti brukerroller. Finner vi mer enn ventet, tar vi det med uten at det koster noe ekstra.
Er plattformen større enn det, får dere et skriftlig fastpristilbud før vi begynner. Det kommer aldri en ny regning underveis.
Hva koster Pentest av større plattform?
Prisen er 49 900 kr eks. mva for opptil tre applikasjoner eller API-er og opptil ti brukerroller. Det er det dere betaler, og vi tar aldri mer enn det som står på siden.
Finner vi mer enn ventet, tar vi det med uten at det koster noe ekstra. Faktura sendes etter levering.
Hvor lang tid tar Pentest av større plattform?
Vanligvis 2–4 uker. Testvinduet avtales skriftlig i scope-dokumentet.
Finner vi noe kritisk underveis, får du beskjed samme dag, uten å vente på rapporten.
Hva trenger dere fra oss for å komme i gang?
En testbruker for hver rolle som skal testes, helst i et testmiljø. En kort beskrivelse av applikasjonene og hvordan de henger sammen. Bekreftelse på at testing er tillatt etter vilkårene til en eventuell driftsleverandør.
Og en signatur på scope-dokumentet. Ingenting testes før det er på plass.
Hva er ikke med i Pentest av større plattform?
Flere enn tre applikasjoner eller API-er, eller flere enn ti roller. Da får dere et skriftlig fastpristilbud. Selve mobilappen: det den lagrer på telefonen og hvordan den er bygget. Det får dere et skriftlig fastpristilbud på. Microsoft 365. Det er en egen gjennomgang.
Lurer dere på om noe er innenfor, spør. Dere får svar innen én virkedag.
Er retest inkludert?
Ja. Én retest innen 60 dager, og et nytt attestbrev etter den.
Den ligger i prisen, og det kommer ingen egen regning for den. Holder rettingen ikke, sier vi fra om det også.
Les
Les videre
Svakhet
Tenant-isolasjon: når én kunde kan se en annen
Deler kundene deres samme installasjon, er isolasjonen mellom dem en av de få feilene som kan koste dere alle kundene samtidig. Her er hva som ryker, og hvorfor.
Én bruker kan nå data som tilhører en annen
Rette IDOR
Dere har fått et funn om at én bruker kan nå en annens data. Her er rekkefølgen som lukker det for godt, og de tre rettingene som ser riktige ut og ikke er det.
Krav fra kunder
Kunden ber om pentest-rapport
Kunden vil se pentest-rapporten, eller har sendt et sikkerhetsskjema med frist. Hva de egentlig spør om, hva dere sender, og hva som aldri skal sendes ut.
Anbud
Sikkerhetsdokumentasjon til anbud
Anbudet krever dokumentert sikkerhetstest. Fire krav som leses som ett, hva dere legger ved i stedet for rapporten, og hva dere gjør når fristen er kort.
Andre
Nærliggende tjenester
24 900 kr
Pentest av app og API
Vi tester applikasjonen og API-et deres som innloggede brukere, med opptil fire roller, og ser etter det som lar noen nå data eller handlinger de ikke skal. Dere får et attestbrev som kan sendes til kunden.
14 900 kr
Microsoft 365-gjennomgang
En gjennomgang av leietakeren deres med lesetilgang: hvem kommer inn, hvordan, og hva de kan nå. Vi endrer ingenting.
Videre
Klar til å bestille Pentest av større plattform?
Vet du hva du trenger, tar bestillingen et par minutter, og du får svar innen én virkedag. Er du usikker, skriv et par ord i skjemaet eller send en e-post. Det er Erik som leser og svarer, og ikke med et møteforslag som første svar.
Eller skriv direkte til post@glippen.no