Mätningspolicy Basic security.co.uk

Disclaimer: Het origineel van deze pagina geschreven in het Nederlands. Deze pagina is automatisch vertaald naar andere talen met behulp van DeepL. Dit kan leiden tot verschillen in nuance, toon en betekenis. Raadpleeg bij twijfel altijd eerst de Nederlandse versie. Door de hoge kosten van vertalingen kan het zijn dat deze pagina inhoudelijk achter loopt met de Nederlandse versie. Wij beschouwen de Nederlandse versie van deze pagina als leidend.

Basic Security mäter och publicerar alla mätningar kring säkerhet på nätet som är ansvariga att publicera, mer om det i publiceringspolicyn. Vi använder också övervägandena i vår uppförandekod för att avgöra vilka mätningar som ska läggas till.

I denna artikel listas vilka mätningar som görs kring vilka tekniker. En fullständig lista över dessa, med referenser, finns under rubriken ”översikt över alla mätningar”.

Denna mätpolicy utvecklas ständigt och svarar mot nya utvecklingar. Det finns ett antal undantag från denna mätpolicy; dessa beskrivs i undantagen till mätpolicyn.

Läs vår ansvarsfriskrivning innan du använder mätdata. Om du har några frågor är du välkommen att kontakta info@internetcleanup.foundation.

Denna artikel säger:

• Information om mätningarnas aktualitet
• Hur mätningar värderas mer rigoröst över tid (färdplan)
• En översikt över alla enskilda mätningar
  • Innehåller länkar till dokumentation och testverktyg

Mätningarnas aktualitet

Mätningar utförs dagligen till veckovis, detta beror på mätningarnas komplexitet och intensitet. En enskild inventeringsmätning utförs en gång var sjätte månad eftersom den är bullrig, den upprepade mätningen av denna sker en gång i veckan.

På grund av mätfrekvensen är data i rapporter vanligtvis aldrig äldre än en vecka. Om så är fallet är det något speciellt som händer. Vi arbetar fortfarande på en funktionalitet som gör att mätningar som är äldre än två månader aldrig visas i rapporterna, och att minska denna tidsperiod till högst en månad.

Du kan alltid se hur gammal en mätning är i detaljrapporten. Detta visas längst ned på varje mätning. I exemplet nedan kan du alltså se att mätningen har varit densamma i 22 dagar och att den senaste mätningen ägde rum för 1 dag sedan.

Dessutom visar varje karta kartans datakvalitet. Denna översikt visar vilka mätningar som görs och hur många av dem som är aktuella/föråldrade. I den här översikten betraktas mätningar som är äldre än 7 dagar som föråldrade. Detta kan också ses i exemplet nedan.

Datakvaliteten visas under kulan i det övre vänstra hörnet av kartan. Kulan har olika färger beroende på kvaliteten. Om den är orange eller röd är det något som är fel. Vanligtvis är den på en grön punkt. Om allt är uppdaterat finns det en regnbåge här.

Färdplan för skärpta mätningar

Med tiden kommer övervakningen att bli strängare. Till exempel är vissa resultat gröna eller orange nu men kommer att bli röda i framtiden.

En ny mätning introduceras ofta som orange eller grön så att människor kan vänja sig vid detta och agera innan det blir rött.

Färdplanen för detta är fortfarande fragmenterad och inte fastställd. När enskilda mätningar introduceras nämns ofta detta på något sätt. Denna information håller fortfarande på att samlas in.

Översikt över alla mätningar

Här finns en översikt över alla mätningar, utvärderingar, dokumentation och verktyg för att mäta sig själv. När alla dessa tillämpas på rätt sätt blir organisationen grön på kartan.

Om en organisation håller koll på sina onlinetjänster och minimerar dem är det inte alltför svårt att nå orange eller till och med grönt.

Säkert domännamn (DNSSEC)

• Syfte: Att ge säkerhet om domännamnet och innehållet på webbplatsen
• Tyngsta betyg: Röd
• Mätt med: dnssec.pl tool
• Dokumentation: internet.co.uk, OpenCRE, Wikipedia
• Kan kontrolleras på: Zonemaster, internet.co.uk, verisign labs, DNS Visualizer

# level: url
dnssec

TLS på webbplatsen (HTTPS)

• Mål: Tillämpa kryptering: att ett besök på en webbplats är konfidentiellt och med integritet. Kontrollera att förtroendet är i sin ordning och att det inte finns några sårbarheter i krypteringen.
• Tyngsta betyg:Röd
• Mätt med: Qualys SSL-laboratorier
• Dokumentation: TLS-inställningar, Wikipedia, Lagen om digital förvaltning
• För att mätas på: SSL-laboratorier

# level: endpoint
tls_qualys_encryption_quality
tls_qualys_certificate_trusted

Webbplats utan kryptering (HTTPS)

• Syfte: Tillämpning av kryptering, samma som TLS på webbplatsen
• Tyngsta betyg:Röd
• Mätt med: Egen skanner
• Dokumentation: TLS-inställningar, Wikipedia, Lagen om digital förvaltning
• Att mätas på: SSL Labs, internet.co.uk

# level: endpoint
plain_http

Filöverföring (FTP)

• Syfte: tillämpning av kryptering
• Tyngsta betyg:Röd
• Mätt med: Egen skanner
• Dokumentation: Wikipedia
• Kan kontrolleras på t.ex.: ftptest.net

# level: endpoint
ftp

Information om programvaruversion (Banners)

• Mål: ta bort versionsinformation eftersom den bara är användbar för angripare
• Tyngsta betyg:Röd
• Mätt med: nmap
• Dokumentation: Wikipedia, nmap
• Kontrollera för: ipvoid

# level: endpoint
bannergrab
bannnergrab_product_name (unpublished)
bannnergrab_product_version (unpublished)
bannnergrab_product_info (unpublished)
bannnergrab_product_cpe (unpublished)

E-postsäkerhet (STARTTLS, DMARC, DKIM, SPF)

• Syfte: Säkerställa integritet och sekretess för e-post
• Tyngsta betyg:Röd
• Mätt av: internet.co.uk
• Dokumentation: Wikipedia (STARTTLS) Wikipedia (STARTTLS), Wikipedia (DKIM), Wikipedia (DMARC), Wikipedia (SPF)
• Kontrolleras hos: internet.co.uk, dmarcian, mxtoolbox, bland andra

# level: endpoint
internet_nl_mail_auth_dmarc_exist
internet_nl_mail_auth_dkim_exist
internet_nl_mail_starttls_tls_available (unpublished)

Inloggningsportaler

• Syfte: Att inte tillhandahålla globala och offentliga funktioner som är avsedda för en liten grupp människor, särskilt inte för att skydda administratörsfunktioner.
• Tyngsta betyg: Röd
• Mätt med: Atomkärnor
• Dokumentation: Wikipedia
• Ska mätas på o.a.: kolla länkarna i resultaten. Finns det en inloggningsportal här? Då är resultatet fortfarande giltigt. Dessa portaler finns på en speciell sida som heter Login Plaza.

# level: endpoint
# Only reachable via the login plaza JSON call at the moment. Will be published in the report at a later time.

Spårningscookie utan samtycke

• Syfte: Spårningscookies ska aldrig placeras utan tillstånd. Genom att göra detta transparent kan webbplatsbyggare ta bort dessa cookies.
• Tyngsta betyg: Orange, Röd från och med januari 2024.
• Mätt med: Egen skanner åtsidan Dramatiker
• Dokumentation: tbd
• Ska mätas vid: tbd

Översikt över uppmätta spårningsbiskvier

Vi mäter spårningskakorna nedan. Detta är följebiskvier som leverantören anger är placerade för marknadsföringsändamål. Dessa följebiskvier är de överlägset mest frekvent placerade följebiskvierna enligt vår undersökning i november 2023.

# level: endpoint
web_privacy_cookie_products_no_consent

Ägare av internetadressen (WHOIS)

• Syfte: Att få ordning på administrationen av domänen. En utomstående kan kontrollera att webbplatsen tillhör rätt organisation på SIDN.
• Tyngsta betyg: Orange
• Mätt med: Egen skanner
• Dokumentation: SIDN, Wikipedia, OpenCRE
• Kontrollerbar på: SIDN

# level: url
whois_domain_ownership

Säker anslutning enligt NCSC-NL:s krav (TLS)

• Syfte: Tillämpning av kryptering, mätning av juridiska krav
• Tyngsta betyg:Orange
• Mätt av: internet.co.uk
• Dokumentation: Lag, Tolkning av lag, Tekniska krav
• Ska mätas på t.ex.: internet.co.uk

# level: endpoint
internet_nl_web_tls

Säkerhet.txt

• Syfte: För att kunna ta emot meddelanden om allvarliga sårbarheter på nätet.
• Tyngsta betyg:Orange
• Mätt av: internet.co.uk
• Dokumentation: internet.co.uk, Wikipedia, securitytxt.org
• Ska mätas på t.ex.: internet.co.uk

# level: endpoint
internet_nl_wsm_web_appsecpriv_securitytxt

Betrodd dirigering av internettrafik (RPKI)

• Mål: Säkerställa att internettrafiken går rätt väg
• Tyngsta betyg:Orange
• Mätt av: internet.co.uk
• Dokumentation: Wikipedia
• Kan kontrolleras på: internet.co.uk, ripe

# level: endpoint
internet_nl_web_rpki_exists

HSTS-huvud

• Syfte: Genomdriva kryptering på webbplatser så länge webbläsarna inte gör det
• Tyngsta betyg:Orange
• Mätt med: Egen scanner
• Dokumentation: MDN, Wikipedia, Lagen om digital förvaltning
• Kan kontrolleras på: securityheaders.com, internet.co.uk, bland andra
• Observera att includesubdomains och preload ignoreras, om preload inte uppdateras och en besökare landar på en subdomän utan HSTS-rubrik.

# level: endpoint
http_security_header_strict_transport_security

Besök på webbplatsen respekterar integriteten

• Syfte: Konfidentialitet vid ett besök, att ingen reklam riktas till dig efter ett besök
• Tyngsta betyg:Orange
• Mätt med: Egen skanner
• Dokumentation: Broschyr om att bygga integritetsmedvetna webbplatser, Disconnect.me, förbud mot Google Analytics
• Ska mätas på: Webkoll, Privacycore.org

# level: endpoint
web_privacy_third_party_requests
web_privacy_tracking

Redundanta tjänster (öppna grindar)

• Mål: Minimera onlinetjänster. Det publika internet behöver bara innehålla tjänster som ska vara tillgängliga för alla i hela världen.
• Tyngsta betyg:Orange
• Mätt med: Nmap
• Dokumentation: Wikipedia (öppna portar)
  • Kontrollera för: ipvoid

# level: endpoint
ports

STARTTLS Närvaro (e-post)

• Syfte: att kunna skicka krypterad e-post till e-postservern som avsändare.
• Tyngsta betyg:Orange
• Mätt av: internet.co.uk
• Dokumentation: internet.co.uk
  • Ska mätas på t.ex.: internet.co.uk

# level: endpoint
internet_nl_mail_starttls_tls_available

Kryptering av e-post enligt NCSC:s krav

• Syfte: att kunna skicka krypterad e-post till e-postservern som avsändare.
• Tyngsta betyg:Orange
• Mätt av: internet.co.uk
• Dokumentation: internet.co.uk
  • Ska mätas på t.ex.: internet.co.uk

# level: endpoint
internet_nl_mail_dashboard_tls

Serverns plats (IP Geolocation)

• Syfte: Behandling av uppgifter i NL/EU, uppfylla rättsliga krav. Säkerställa att alla tjänster finns inom sitt eget (lagliga) territorium.
• Tyngsta betyg:Grön (under introduktionsperioden),Orange efter oktober 2023
• Mätt med: Maxmind, Ripe (för vissa korrigeringar)
• Dokumentation: Lag om förbud mot databehandling utanför EU (Matomo)
• Kan kontrolleras på: InfoByIP, geolocation.com, iplocation.io (alla dessa webbplatser har inte samma geolokaliseringsdatabas)

# level: url
location_server
location_mail_server
location_third_party_website_content

Andra webbplatsrubriker (X-Frame-Options etc)

• Syfte: Säkra inställningar vid besök på webbplats
• Tyngsta betyg:Orange (ingen CSP OCH x-frame-alternativ),grön (resten)
• Mätt med: Egen skanner
• Dokumentation: Allmänt (OWASP), CSP-huvud, Policy för behörigheter, Policy för referenser, X-Content-Type-Options, Clickjacking,
• Kan kontrolleras på: securityheaders.com, internet.co.uk, bland andra

# level: endpoint
http_security_header_x_content_type_options
http_security_header_x_frame_options
http_security_header_referrer_policy (unpublished)
internet_nl_web_appsecpriv_csp (unpublished)
http_security_header_permissions_policy (unpublished)