Sicherheit
Wie DealCraft die Daten der Unternehmen schützt, die es nutzen, und die der Menschen, die ihre Spiele spielen. Wir beschreiben nur Maßnahmen, die tatsächlich umgesetzt sind.
Überblick
DealCraft ist darauf ausgelegt, so wenig personenbezogene Daten zu erheben, wie eine Aktion braucht. Ergebnisse werden auf dem Server entschieden, Spiellimits lesen nie eine rohe Netzwerkadresse, und die Daten jedes Unternehmens werden von denen aller anderen Unternehmen getrennt gehalten.
Hosting
Der Dienst läuft in der Oracle Cloud in der Region Abu Dhabi der Vereinigten Arabischen Emirate. Die Datenbank läuft auf demselben Server und ist aus dem Internet nicht erreichbar. Der Traffic läuft zuerst durch Cloudflare, das Denial-of-Service-Angriffe abfängt und schädliche Anfragen filtert, und erreicht die Anwendung dann nur über einen Webserver, der jede Verbindung auf verschlüsseltes HTTPS umstellt.
Wie Daten geschützt werden
Daten bei der Übertragung werden mit TLS verschlüsselt. Passwörter werden als gesalzene scrypt-Hashes gespeichert; geheime API-Schlüssel werden als SHA-256-Hashes gespeichert und nur einmal angezeigt, bei ihrer Erstellung; Webhook-Signaturgeheimnisse werden mit AES-256-GCM verschlüsselt.
Die IP-Adresse einer Spielrunde wird mit der Spielrunde gespeichert und nur dem Unternehmen angezeigt, das das Spiel betreibt. Jedes Limit stützt sich stattdessen auf die auf ihren Netzwerkblock gekürzte Adresse, signiert mit einem geheimen Schlüssel, die sich nicht in eine Adresse zurückverwandeln lässt. Jede Datenbankabfrage nach den Daten eines Unternehmens muss dieses Unternehmen benennen, und die Datenschicht lehnt Abfragen ab, die das nicht tun.
Zugriff
Nur der Betreiber hat Zugriff auf die Produktivserver und die Datenbank. Mitarbeiter eines Unternehmens markieren Gewinne über einen separaten, PIN-geschützten Bildschirm als eingelöst, der sonst nichts sehen kann, und Geräte können jederzeit widerrufen werden.
Faire und manipulationssichere Spiele
Das Ergebnis jeder Spielrunde wird auf dem Server entschieden und gespeichert, bevor das Spiel es anzeigt. Jede Spielrunde nutzt ein Einmal-Token, und die Budget- und Gewinnerlimits werden in derselben Datenbankoperation geprüft, die einen Gewinn speichert, sodass sie selbst bei hohem Traffic nicht überschritten werden können.
Backups
Die Datenbank wird täglich gesichert. Backups werden fünf Tage auf dem Server und 30 Tage in einem privaten Oracle Cloud Object Storage Bucket in derselben Region aufbewahrt, den Oracle im Ruhezustand verschlüsselt.
Wenn etwas schiefgeht
Betrifft eine Verletzung des Schutzes personenbezogener Daten die Daten eines Unternehmens, benachrichtigen wir dieses Unternehmen unverzüglich und innerhalb von 48 Stunden, nachdem wir davon erfahren haben, wie es der Auftragsverarbeitungsvertrag verlangt, und wir benachrichtigen die Behörden, wo das Gesetz es verlangt.
Eine Schwachstelle melden
Wenn du ein Sicherheitsproblem findest, schreib mit den Details an [email protected]. Bitte gib uns angemessen Zeit, es zu beheben, bevor du es öffentlich machst, und greife beim Testen nicht auf Daten anderer zu. Gegen Forschung in gutem Glauben, die diese Regeln einhält, gehen wir nicht vor.
Versicherung
DealCraft hat derzeit keine Cyber-Haftpflichtversicherung. Ändert sich das, steht es auf dieser Seite, zusammen mit dem Versicherer und dem Deckungsumfang.
Was uns noch fehlt
DealCraft hat keine SOC-2- oder ISO-27001-Zertifizierung und läuft in einer einzigen Region. Stattdessen beschreiben wir unsere Maßnahmen offen und beantworten auf Anfrage Sicherheitsfragebögen.