CarbonOS güvenlik ve veri yönetişimi

Karbon verisi denetlenen bir veridir. Doğrulayıcının sorduğu soru "bu sayı doğru mu" değil, "bu sayı nereden geldi ve sonradan oynandı mı"dır. Bu yüzden denetim izi bir günlük dosyası değil, sistemin çekirdek yapısıdır.

Her değişiklik şu alanlarla kaydedilir:

• Kim — işlemi yapan kullanıcı.
• Ne zaman — sunucu zaman damgası.
• Ne yaptı — eylem türü ve üzerinde işlem yapılan kayıt.
• Öncesi ve sonrası — değişen alanların eski ve yeni değerleri.
• Bağlam — IP adresi, tarayıcı bilgisi, isteğin kaynağı.

Değiştirilemezlik nerede zorlanıyor

Uygulama katmanında değil veritabanında. Denetim tablosuna yalnız ekleme serbesttir; UPDATE ve DELETE bir tetikleyiciyle reddedilir. Bunun anlamı şu: bir uygulama hatası, yanlış bir yönetim betiği ya da veritabanına doğrudan erişen bir yönetici bile geçmişi düzeltemez.

Kiracı kaydı silinmek istense bile denetim izi korunur — ilişki kısıtı silmeyi reddeder. "Müşteri ayrıldı, kayıtları temizleyelim" işlemi izi yok etmez.

Kanıt dosyaları

Yüklenen her belgenin dosya adı, tipi, boyutu ve sha256 özeti kaydedilir. Özet, belgenin sonradan değiştirilip değiştirilmediğini gösterir: içerik bir bit bile oynadığında özet tutmaz. Kanıt paketi dışa aktarıldığında dosyalar bu künyelerle birlikte verilir.

Hesabın yeniden üretilebilirliği

Her hesaplama, girdi kümesinin sha256 özetiyle birlikte saklanır. Aynı girdiler aynı sonucu verir; sonuç farklıysa girdi değişmiş demektir ve bu izlenebilir. Doğrulayıcının "bu sayıyı yeniden üretebiliyor musunuz" sorusu bu yüzden bir arama sorgusuyla yanıtlanır.

Tedarikçi portalı · planlanıyor

Portal henüz kullanıma açık değil. Veri modelinde verilen tasarım kararı şu: tedarikçiye gidecek davet jetonunun kendisi değil özeti saklanır. Böylece veritabanına erişen biri jetonları okuyup tedarikçi adına veri giremez.

• Parolalar bcrypt ile saklanır — düz metin ya da geri çevrilebilir şifreleme yok.
• Oturum çerezi HttpOnly (JavaScript okuyamaz), SameSite=Lax (siteler arası istekle taşınmaz) ve üretimde Secure (yalnız HTTPS) olarak ayarlanır.
• Oturum süresi sınırlıdır ve süre sonunda yeniden kimlik doğrulama gerekir.
• Form gönderimlerinde kaynak denetimi yapılır: farklı bir siteden gönderilen istekler reddedilir.

Üretim ayar kapısı

Sistem, üretim modunda varsayılan ya da eksik gizli anahtarla açılmayı reddeder. Yanlış yapılandırmayla sessizce çalışmaya başlamak, en sık görülen güvenlik açığı biçimidir; burada açılış durur ve hangi ayarın eksik olduğu söylenir.

Dışa aktarım her zaman açıktır. Envanter verisi, hesap dosyası ve kanıt paketi istendiği anda dışa aktarılabilir. Veriyi rehin alan bir tasarım tercih edilmedi: sözleşme sona erdiğinde elinizde çalışır bir veri kümesi kalır.

Kanıt dosyaları nesne deposunda tutulur; veritabanı ve dosya deposu ayrı bileşenlerdir. Günlük yedek alınır. Yedeği almak değil geri yükleyebilmek asıl güvencedir; düzenli geri yükleme tatbikatı ve yedeklerin şifreli off-site kopyası ise henüz teyit bekliyor, bu yüzden “Neleri yapmıyoruz?” başlığında yer alıyor.

Off-site kopyanın tasarım kararı şu: şifreleme anahtarı sunucuda üretilmeyecek, çünkü sunucu kaybında anahtar da kaybolursa off-site kopya işe yaramaz.

Emisyon verisi kişisel veri değildir. Ancak sistemde kullanıcı hesapları, tedarikçi iletişim kişileri ve denetim izindeki IP/tarayıcı bilgisi gibi kişisel veriler bulunur.

• Kullanıcı parolaları geri çevrilemez biçimde saklanır.
• Denetim izindeki bağlam bilgisi (IP, tarayıcı) güvenlik amacıyla tutulur ve bu amaçla sınırlıdır.
• Yedeklerin off-site kopyası devreye girdiğinde şifreli olacak — aksi hâlde üçüncü bir sağlayıcıya düz kişisel veri gider.

Sitenin kendi veri işleme uygulamaları için KVKK aydınlatma metnine bakın.

Aşağıdakiler şu an mevcut değil ya da teyit bekliyor:

• Bağımsız sızma testi yapılmadı. Güvenlik yaklaşımı tasarım kararlarına dayanıyor; üçüncü taraf bir teknik değerlendirme raporu yok.
• ISO 27001 veya benzeri bir bilgi güvenliği belgesi yok. Belge iddiası taşımıyoruz.
• Çok faktörlü kimlik doğrulama (MFA) ve kurumsal SSO yok. Kimlik katmanı kullanıcı adı ve parola ile çalışıyor.
• Rol bazlı ayrıntılı yetkilendirme sınırlı. Kullanıcı ayrımı var, ince taneli izin matrisi yok.
• Yayımlanmış bir olay müdahale taahhüdü (SLA) yok.
• Düzenli geri yükleme tatbikatı ve şifreli off-site yedek kopyası teyit bekliyor. Günlük yedek alınıyor; ikisi teyit edilene kadar uygulanmış saymıyoruz.
• Tedarikçi portalı kullanıma açık değil. Planlanıyor.

Bu maddeler yol haritasında; kurumsal bir değerlendirmede sorulacaklarını bildiğimiz için burada yazıyoruz. Sözleşme öncesinde güvenlik değerlendirmesi yapacaksanız bu listeyi başlangıç noktası olarak kullanın — soru listenizde bunlar varsa cevabı zaten biliyorsunuz.