Schwachstelle melden
Bitte melden Sie Sicherheitsprobleme vertraulich, nicht als öffentliches Issue: Öffnen Sie den Security-Tab des Repositorys und klicken Sie auf Report a vulnerability, mit der betroffenen Version und den Schritten zum Nachvollziehen. Wir bestätigen Meldungen innerhalb weniger Arbeitstage, beheben bestätigte Probleme in einem neuen Release und nennen die meldende Person in den Release-Hinweisen, sofern sie das wünscht.
Sicherheitskorrekturen erscheinen für die neueste Version. Maschinenlesbarer Kontakt: security.txt.
Wie RMMZit Ihre Computer schützt
Konsole
Konsole und Agenten-Endpunkt sind getrennte Ports; die Konsole akzeptiert nur Ihre erlaubten Netzwerke, geprüft vor TLS. Zwei-Faktor-Anmeldung für jedes Konto, argon2id-Passwörter, kurze Sitzungen, schrittweise Sperre nach fehlgeschlagenen Anmeldungen, CSRF-Schutz, eine strikte Content-Security-Policy und ein per Hash verkettetes Audit-Log.
Agenten
Agenten verbinden sich nur ausgehend — betreute Computer brauchen keine offenen Ports —, speichern bei der Registrierung das Serverzertifikat und führen nur Befehle aus, die der Server signiert und der Agent geprüft hat.
Fernzugriff
Fernsteuerung, Terminal und Dateien nur für Benutzer mit Zugriff auf diesen Kunden; jede Sitzung und Aktion steht im Audit-Log, und ein optionaler Hinweis auf dem entfernten Bildschirm zeigt dem Benutzer, dass jemand verbunden ist.
Nur Ihr Netzwerk
Kein Cloud-Dienst, keine Telemetrie, kein Konto bei uns. Root-Aktionen der Konsole (Updates, Netzwerk, Zeitzone) laufen über einen getrennten Helfer mit einer festen Menge geprüfter Anfragen; die Diagnose entfernt Passwörter, Tokens und Schlüssel.
Wie Releases geschützt sind
- Jedes Release ist mit dem Ed25519-Release-Schlüssel von RMMZit signiert; Konsolen und Agenten prüfen Signatur und Prüfsummen vor jeder Update-Installation.
- Das Installationsskript prüft Signatur und Prüfsumme des heruntergeladenen Releases.
- Pakete werden aus getaggten Commits gebaut; Images enthalten ein schriftliches Quellcode-Angebot (
SOURCE-CODE.txt). - Ein Konsolen-Update sichert zuerst die Datenbank und kehrt automatisch zurück, falls die neue Version nicht startet.
Wie RMMZit getestet wird
Bei jeder Änderung (GitHub Actions)
| Prüfung | Was sie findet |
|---|---|
| CI | go vet, die vollständige Testsuite gegen eingebettetes PostgreSQL, staticcheck, gosec, govulncheck und Gitleaks; Linux- und Windows-Builds |
| CodeQL | Injection, Path Traversal, unsichere Weiterleitungen und andere Datenfluss-Fehler (Go, JavaScript, Workflows) |
| govulncheck | Bekannte Schwachstellen in Go und in tatsächlich aufgerufenen Abhängigkeiten |
| staticcheck | Fehler und toter Code |
| Dependabot | Verwundbare oder veraltete Go-Module und Actions |
| Secret Scanning | Versehentlich eingecheckte Zugangsdaten (mit Push-Schutz) |
| OpenSSF Scorecard | Lieferketten-Praktiken des Repositorys |
Vor Releases (im Testlabor)
| Prüfung | Was sie findet |
|---|---|
| gosec | Unsichere Go-Muster: Befehlsausführung, Dateirechte, schwache Kryptografie |
| Semgrep | Injection, XSS, unsichere Cookies, offene Weiterleitungen (Go, JavaScript, Geheimnisse, OWASP-Top-10-Regeln) |
| Trivy | Verwundbare Abhängigkeiten, Geheimnisse und Fehlkonfigurationen |
| Gitleaks | Geheimnisse in der gesamten Git-Historie |
| OWASP ZAP | Vollständiger Scan als angemeldeter Administrator: XSS, SQL-Injection, CSRF, Path Traversal, Header-Probleme |
| OpenVAS und nmap | Schwachstellen auf Netzwerkebene, offene Ports und TLS-Einstellungen der Appliance |
| End-to-End-QA | Registrierung, Überwachung, Warnungen, Fernsteuerung, Terminal, Dateien, Skripte, Updates, Rollen, LDAP und SSO auf echten Windows- und Linux-Computern |
Funde werden vor dem Release behoben; akzeptierte Risiken stehen in den Release-Hinweisen.
Diese Website
rmmzit.com ist eine statische Website: nur ein Sprach-Cookie, keine Analyse, kein Tracking, keine Skripte oder Schriften von Dritten und eine Content-Security-Policy, die überhaupt keine Skripte erlaubt. Siehe Datenschutzerklärung.