So funktioniert die App
Proofsheet ist Software. Sie liest Ihre Datei automatisch in wenigen Minuten und führt sie nie aus. Kein Mensch öffnet Ihre Datei. Hier sehen Sie jeden Schritt und auch, was die Software nicht kann.
Sie laden eine Datei hoch
Ein Firmware-Image, eine Handy-App oder ein Desktop-Programm, bis 200 MB. Sie bestätigen, dass die Software Ihnen gehört oder dass Sie sie analysieren lassen dürfen.
Die App entpackt sie
Die App öffnet Archive und Firmware-Container (gzip, tar, zip, cpio und Partitionen) und findet die Programme darin. Nichts davon wird ausgeführt.
Die App listet die Bauteile auf
Namen und Versionen liest sie direkt aus den Dateien: Bibliotheken, Pakete, den Kernel, mitgelieferte Apps. Zu jedem Bauteil wird notiert, wo es gefunden wurde.
Die App gleicht jedes Bauteil ab
Exakte Versionen werden mit der NVD abgeglichen, der öffentlichen US-Datenbank bekannter Schwachstellen. Passt ein Treffer nur auf einen Versionsbereich, wird das gekennzeichnet. Einträge auf der CISA-Liste aktiv ausgenutzter Schwachstellen werden markiert.
Die App markiert typische Muster
Veraltete Verschlüsselung, Schlüssel oder Passwörter in der Datei, unverschlüsselte http-Adressen, unsignierte Programme, Debug-Einstellungen und Update-Wege.
Die App erstellt den Bericht
Eine Note, die Bauteile nach Risiko geordnet und jeder Fund mit seinem Nachweis. Dazu die Anhang-I-Übersicht und das Dokumentenpaket.
Jede Zeile hat ihren Nachweis
Zu jedem Fund steht, wo in der Datei die App ihn gesehen hat, welche Datenbank passte und welche Version. Es gibt drei Zustände: belegt, teilweise und offen. Findet die App nichts, gilt das nie als Beleg. Der Punkt steht dann auf teilweise, mit Begründung.
Was eine Datei nicht zeigen kann
- Verschlüsselte Firmware: Die App kann sie nicht öffnen, und das steht dann im Bericht.
- Wie sich das Produkt im Betrieb verhält: Umgang mit Daten, Protokollierung, Widerstand gegen Angriffe, sicheres Zurücksetzen.
- Ob Ihr Update-Server von Anfang bis Ende vertrauenswürdig ist.
- Bauteile außerhalb der Datei, zum Beispiel Ihr Cloud-Dienst.
- Änderungen, die eine Linux-Distribution zurückportiert hat, ohne die Versionsnummer zu ändern. Wo das sein kann, weist der Bericht darauf hin.
Ihre Datei
Die hochgeladene Datei wird innerhalb von 24 Stunden gelöscht. Der Bericht bleibt 30 Tage abrufbar. Kein Mensch öffnet Ihre Datei. Die Software muss Ihnen gehören, oder Sie brauchen die schriftliche Erlaubnis, sie mit Proofsheet analysieren zu lassen.
Kostenlosen Bericht erstellen