Анонимност на пријавувачот во CVD системот

MKD-CIRT · Координирано откривање на ранливости

Анонимност на пријавувачот во CVD системот

Ранливост може да се пријави преку CVD системот без да се наведе идентитетот. Анонимноста е заштитена на две нивоа: што прави системот за никогаш да не забележи кој поднел анонимна пријава, и како тоа се докажува.

CVD систем на MKD-CIRTНоември 2026cvd.mkd-cirt.mk ↗

1 · Ништо не се запишуваСистемот не чува податок за тоа кој поднел анонимна пријава

2 · Докажано со тестирањеАвтоматски тест и независен пенетрациски тест

3 · Надвор од системотОколина на пријавувачот и содржина на пријавата

Системот не запишува кој поднел пријава

Технички мерки вградени во CVD системот.

Без логови за пристап

Веб-серверот не води логови за пристап ниту за грешки, па не постои запис од која адреса и кога е отворена страницата за пријавување.

IP-адресата не стигнува до апликацијата

Анонимниот сообраќај минува низ веб-страницата, која го препраќа без IP-адресата на посетителот. Апликацијата добива само непроѕирен клуч по клиент што се менува секој ден.

Заштита од злоупотреба без идентитет

Ограничувањето на бројот на барања ја скратува адресата на мрежниот дел (/24 за IPv4, /48 за IPv6) и ја хешира со тајна што се менува дневно. Резултатот се чува само неколку минути и не може да се врати во адреса.

Без CAPTCHA и без трети страни

Автоматските пријави се запираат со мала proof-of-work задача што ја решава прелистувачот, наместо CAPTCHA услуга од трета страна. Страницата не вчитува скрипти или тракери од трети страни, што го наметнува и безбедносната политика за содржина (CSP).

Кодот за следење е единствената врска

Пријавувачот добива код за следење на пријавата. Системот чува само еднонасочен хеш од кодот (argon2id), па ни целосен пристап до базата не открива кој го поседува кој код.

Метаподатоците од прилозите се бришат

Името на авторот, податоците за уредот, GPS-локацијата и слични податоци се отстрануваат од прилозите (документи, PDF, слики) пред да се зачуваат.

Логовите се исчистени

Логовите на апликацијата автоматски ги прикриваат чувствителните полиња. Јавните патеки не запишуваат ревизорски записи со адреси или податоци за прелистувачот.

Пријавувачи што се идентификуваат

Нивниот идентитет е шифриран во базата и само една улога може да го открие. На сопственикот на ранливиот производ му се доставува само со изречна согласност на пријавувачот, која се евидентира и не може да се измени.

Како се проверува

Два независни начини на докажување.

Пред секое издание

Автоматски тест

Поднесува анонимна пријава, па независно бара во три места дали има IP-адреса на испраќачот, податоци за прелистувачот или уникатни контролни вредности. Ништо не се наоѓа. Тестот е дел од целосниот автоматски тест-пакет.

✓ цела база✓ сите логови✓ мрежен сообраќај

Независно

Пенетрациски тест

Независниот тестер може засебно да ја провери анонимноста.

Што е надвор од системот

Анонимноста зависи и од два фактора надвор од CVD системот.

Околината на пријавувачот

Интернет-провајдерот, мрежата на работодавачот или уредот на пријавувачот. Ако ви треба силна заштита, користете Tor или VPN. Порталот може да го препорача тоа.

Содржината на пријавата

Деталите или стилот на пишување во пријавата може сами по себе да укажат на личноста. Пријавувачите се потсетуваат на ова.

Накратко

Системот е изграден така што никогаш не запишува кој поднел анонимна пријава, па нема ништо што подоцна би можело да се предаде. Тоа се докажува пред секое издание со автоматски тест што ги пребарува базата, логовите и мрежниот сообраќај.

MKD-CIRT · Анонимност на пријавувачот во CVD системот · ноември 2026Пријави ранливост (CVD) · RFC 2350, т. 5.1