Отчёт об оценке безопасности Colitu

0Коротко

Краткая сводка результатов на дату отчёта. Из соображений безопасности пользователей технические подробности открытых замечаний в эту редакцию не включены.

1Краткое резюме

API плоскости управления, веб-портал, интерфейс администрирования, ассистенты на основе искусственного интеллекта, корпоративная консоль (Business), каналы поддержки и электронной почты, боты сообщества, расширение для браузера и приложения для Android и iOS, составляющие сервис Colitu, были оценены 25 октября 2026 года на основе стандарта OWASP Application Security Verification Standard (ASVS) 5.0 и стандарта OWASP Mobile Application Security Verification Standard (MASVS) v2.1.

По результатам оценки открытых замечаний критического, высокого или среднего уровня не выявлено. Из 23 открытых замечаний 4 имеют низкий уровень и 19 — информационный; все они включены в план устранения.

Каждое из 253 требований ASVS 5.0 уровней 1 и 2 оценено отдельно с подтверждением доказательствами (Приложение A). Из 200 применимых требований 138 выполнены полностью и 51 выполнено частично; 7 требований не выполнены, а 4 требования невозможно проверить статическим анализом. Большинство невыполненных требований относится к документированию, журналированию безопасности и усилению защиты. С учётом этих результатов сервис не заявляет о полном соответствии ASVS 5.0 уровня 2.

В рамках MASVS обе мобильные платформы полностью выполняют группы «криптография», «аутентификация» и «качество кода», а группы «хранение данных», «сеть», «взаимодействие с платформой» и «конфиденциальность» выполняют в основном.

2Область оценки

Оценка проводилась на исходном коде и конфигурации перечисленных ниже компонентов по состоянию на 25 октября 2026 года.

За рамками оценки оставлены: настольные приложения для Windows и Linux (оцениваются отдельно), серверная инфраструктура VPN, системы сторонних платёжных провайдеров и провайдеров ИИ, физическая безопасность и социальная инженерия.

3Методика и ограничения

При оценке применялись следующие методы:

• Ручной и инструментальный статический анализ исходного кода на соответствие требованиям верификации ASVS, тестовым сценариям MASTG и OWASP Top 10 for LLM Applications 2025.
• Контрольный список по каждому из 253 требований ASVS 5.0 уровней 1 и 2 с подтверждением местоположением в исходном коде (Приложение A).
• Проверка зависимостей на известные уязвимости (govulncheck для Go, npm audit для JavaScript).
• Анализ конфигурации: заголовки безопасности, политика безопасности контента, TLS, межсайтовые запросы (CORS), привилегии контейнеров и манифесты мобильных платформ.
• Независимая повторная проверка замечаний во втором раунде анализа; ложные срабатывания исключены, уровни критичности определены по итогам этого раунда.

Ограничения:

• Динамическое тестирование (DAST) или тестирование на проникновение действующих систем не проводилось.
• Мобильные приложения не тестировались динамически на устройстве.
• Данная работа является внутренней оценкой, проведённой Colitu; она не заменяет независимый аудит третьей стороны или сертификацию.

4Критерии оценки

5Оценка соответствия OWASP ASVS 5.0

Каждое из 253 требований ASVS 5.0 уровней 1 и 2 оценено отдельно. В таблице ниже приведены результаты по главам; статус по каждому требованию указан в Приложении A.

V10 в основном неприменима, поскольку сервис выступает лишь клиентом служебной учётной записи при взаимодействии между серверами, а V17 — поскольку WebRTC вообще не используется. Статус «Частично» охватывает и случаи, когда требование в основном выполнено, но отсутствует дополняющий элемент (документация, журнал, предельное значение и т. п.).

6Оценка соответствия OWASP MASVS v2.1

Приложения для Android и iOS оценены по восьми группам контроля MASVS v2.1 на основе тестовых сценариев MASTG.

7Сводка открытых замечаний

На дату отчёта открыто 23 замечания; открытых замечаний критического, высокого или среднего уровня нет. По 3 из 4 замечаний низкого уровня исправления готовы и вводятся в эксплуатацию (роль доступа к базе данных, вывод журналов безопасности за пределы сервера, антивирусная проверка вложений). Одно замечание — возможность накрутки анонимной статистики приложения — закрыто с обоснованным принятием риска, поскольку оно не затрагивает персональные данные и влияет только на точность статистики.

Из соображений безопасности пользователей технические подробности открытых замечаний в эту общедоступную редакцию не включены. Замечания включены в план устранения со следующими целевыми сроками:

8Проверенные меры безопасности

В ходе оценки в исходном коде подтверждено применение следующих мер.

9Заключение и заявление

В оцененных компонентах открытых замечаний критического, высокого или среднего уровня нет. Требования OWASP ASVS 5.0 уровня 2 выполняются в значительной степени, однако для полного соответствия необходимы улучшения в области документирования, журналирования безопасности и усиления защиты. В рамках OWASP MASVS v2.1 мобильные приложения выполняют критически важные группы контроля. Открытые замечания будут устранены в соответствии с приведённым выше графиком.

В этот отчёт не включены замечания, которые были выявлены при оценке и устранены до даты отчёта. Оценка проводится периодически; каждый новый отчёт заменяет предыдущий.

AПриложение A — контрольный список OWASP ASVS 5.0, уровни 1–2

Каждое из 253 требований уровней 1 и 2 оценено отдельно. Доказательства (местоположение в исходном коде) хранятся во внутренних записях. Названия подразделов — оригинальные английские названия ASVS.