Sigurnosna politika — ChaSK

Ovaj dokument opisuje kako prijaviti ranjivost u ChaSK mobilnoj aplikaciji (com.artronic.chask / net.artronic.chask) i koliko dugo za nju stižu sigurnosne zakrpe.

Proizvođač: Artronic d.o.o., Zagreb, Hrvatska · info@artronic.net

Prijava ranjivosti

Adresa: info@artronic.net — u predmet stavite SIGURNOST — ChaSK.

Zasebna adresa security@artronic.net još nije otvorena. Kad bude, mijenja ovu i ovdje i u .well-known/security.txt.

Molimo da prijava sadrži:

• verziju aplikacije (Postavke → dno ekrana) i model uređaja te verziju OS-a,
• opis problema i koraci za reprodukciju,
• procjenu utjecaja (što napadač dobiva),
• ako postoji, dokaz koncepta (log, snimka, minimalni primjer).

Ne objavljujte detalje javno dok ne odgovorimo — dogovorit ćemo rok usklađene objave.

Rokovi odgovora

Ranjivosti koje se aktivno iskorištavaju obrađuju se odmah, izvan redovnog reda, uz prijavu nadležnom CSIRT-u i ENISA-i prema Uredbi (EU) 2024/2847 (Cyber Resilience Act, čl. 14) — rano upozorenje u 24 h, prijava u 72 h, završno izvješće u 14 dana.

Što je izvan opsega

• Nalazi na poslužiteljskoj strani (ChaSK API) — prijavite ih istoj adresi, ali ih vodi zaseban repozitorij.
• Napadi koji traže fizički pristup otključanom uređaju s aktivnom sesijom.
• Rezultati automatskih skenera bez dokazanog utjecaja.
• Nedostatak zaštite od snimanja zaslona izvan ekrana za aktivaciju — vidi “Poznata ograničenja”.

Razdoblje podrške

Sigurnosne zakrpe isporučuju se najmanje 5 godina od zadnjeg izdanja dostupnog na Google Playu, sukladno CRA-u. Zakrpe stižu kroz redovni kanal distribucije (Google Play, odnosno interni Gitea release za Android APK).

Podržane verzije platforme: Android 7.0 (API 24) i noviji.

Popis komponenti (SBOM)

sbom.json u korijenu repozitorija — CycloneDX 1.5, generiran iz pubspec.lock skriptom tools/gen_sbom.py. Obuhvaća izravne i tranzitivne ovisnosti s točnim verzijama koje se isporučuju u buildu.

Regeneracija prije svakog izdanja:

python tools/gen_sbom.py          # zapiše sbom.json
python tools/gen_sbom.py --check  # padne ako je zastario

Sigurnosna svojstva aplikacije

• Prijava: isključivo QR + PIN koji izdaje administrator; nema lozinki ni lokalnog računa. QR sam po sebi ne sadrži tajne podatke; PIN se dostavlja odvojenim kanalom i na poslužitelju je pohranjen šifrirano (AES-256-GCM).
• Sesija: slučajni 48-znakovni token u flutter_secure_storage (Android Keystore), šalje se u Authorization zaglavlju. Jedan uređaj po korisniku — nova prijava poništava prethodnu sesiju.
• Prijenos: TLS 1.2+ za REST, WSS za WebSocket. Cleartext promet je onemogućen platformskim zadanim postavkama (targetSdk 36).
• Pohrana na uređaju: allowBackup="false" + dataExtractionRules — baza poruka, fotografije potvrda i potpisi ne odlaze ni u cloud backup ni u prijenos na novi uređaj.
• Ekran za aktivaciju ima FLAG_SECURE (bez snimke zaslona, bez pregleda u nedavnim aplikacijama, bez snimanja ekrana).
• Build: R8/ProGuard (minifikacija + obfuskacija), potpisan upload ključem.
• Dozvole: minimalne — kamera za QR i potvrde, mikrofon samo u prvom planu za diktiranje, lokacija za potvrde izvršenja. READ_MEDIA_* je izričito uklonjena iz manifesta; galerija ide kroz sistemski Photo Picker.
• Telemetrija: Firebase Crashlytics — stack trace, model uređaja, verzija OS-a. Bez sadržaja poruka, bez GPS-a, bez korisničkog imena.

Poznata ograničenja

• FLAG_SECURE je namjerno samo na ekranu za aktivaciju. Vozač koji fotografira zaslon sa zadatkom ili chatom je normalna upotreba u floti.
• Aplikacija ne vodi vlastiti zapisnik sigurnosnih događaja; revizijski trag postoji na poslužiteljskoj strani.

Povezani dokumenti

• Pravila privatnosti
• Uvjeti korištenja