Comment fonctionne l’application
Proofsheet est un logiciel. Il lit votre fichier automatiquement, en quelques minutes, et ne l’exécute jamais. Aucun humain n’ouvre votre fichier. Voici chaque étape, et ce que le logiciel ne peut pas faire.
Vous envoyez un fichier
Une image de firmware, une application mobile ou un logiciel de bureau, jusqu’à 200 Mo. Vous confirmez que vous en êtes propriétaire ou que vous avez l’autorisation de l’analyser.
L’application le décompresse
Elle ouvre les archives et les conteneurs de firmware (gzip, tar, zip, cpio et partitions de disque) et repère les programmes qu’ils contiennent. Rien n’est exécuté.
L’application liste les composants
Elle lit les noms et les versions dans les fichiers eux-mêmes : bibliothèques, paquets, noyau, applications embarquées. Pour chaque composant, elle note l’endroit où il a été trouvé.
L’application compare chaque composant
Les versions exactes sont comparées à la NVD, la base publique américaine des vulnérabilités connues. Une correspondance sur une plage de versions est signalée comme telle. Les vulnérabilités inscrites sur la liste de la CISA des vulnérabilités exploitées sont marquées.
L’application signale les erreurs courantes
Chiffrement dépassé, clés ou mots de passe oubliés dans le fichier, adresses en HTTP non chiffré, programmes non signés, réglages de débogage et chemins de mise à jour.
L’application génère le rapport
Une note, les composants classés par risque et chaque constat avec sa preuve. Ensuite, la carte de l’annexe I et le dossier documentaire.
Chaque ligne a sa preuve
Chaque constat indique où l’application l’a vu dans le fichier, quelle base a donné la correspondance et pour quelle version. Il y a trois états : prouvé, partiel et ouvert. Ne rien trouver n’est jamais une preuve : le point est alors marqué partiel, avec la raison.
Ce qu’un fichier ne peut pas montrer
- Un firmware chiffré : l’application ne peut pas l’ouvrir, et le rapport le dit.
- Le comportement du produit en fonctionnement : usage des données, journalisation, résistance aux attaques, réinitialisation sécurisée.
- Si votre serveur de mise à jour est fiable de bout en bout.
- Les composants qui vivent hors du fichier, comme votre service cloud.
- Les modifications qu’une distribution Linux a rétroportées sans changer le numéro de version. Le rapport signale les cas où cela peut s’appliquer.
Votre fichier
Le fichier envoyé est supprimé sous 24 h. Le rapport reste disponible 30 jours. Aucun humain n’ouvre votre fichier. Vous devez être propriétaire du logiciel ou disposer d’une autorisation écrite pour l’analyser.
Générer un rapport gratuit