HotLead bietet Unternehmen eine White-Label-Software zur Neukundengewinnung und Verarbeitung von Empfehlungen. Die Plattform umfasst eine individuell gebrandete Webanwendung sowie eine Mobile App und lässt sich flexibel an unterschiedliche Geschäftsmodelle anpassen. Unternehmen wie Sunrise und die Wasserwerke Zug setzen auf HotLead.
Gemeinsam mit HotLead definierten wir zu Beginn des Projekts den Umfang und die Rahmenbedingungen der Sicherheitsprüfung.
Ein Blick unter die Haube von HotLead
Als Agentur, die Webapplikationen und Mobile Apps entwickelt, sind wir uns der Komplexität bewusst, die bei der Kommunikation zwischen Client und Server entsteht. Ein über das Web erreichbares Backend muss grundsätzlich damit umgehen können, dass eine App oder Schnittstelle auch manipulierte Daten übermittelt. Wir untersuchten daher die verschiedenen API-Endpunkte, die für die App bereitgestellt wurden, und übermittelten gezielt manipulierte Payloads, um zu prüfen, wie die Applikation damit umgeht.
In einer vertieften Analyse des Backends untersuchten wir, ob die Geschäftslogik umgangen werden kann oder eine Ausweitung von Benutzerrechten möglich ist. Beispielsweise prüften wir, ob ein Benutzer mit eingeschränkten Rechten unberechtigt Administratorrechte erlangen kann. Da in der HotLead-Plattform personenbezogene Daten verarbeitet werden, kontrollierten wir zudem die Löschfristen sowie den Umgang mit Backups. Weiter unterzogen wir die Serverinfrastruktur einem Audit, bei dem wir Themen wie die Konfiguration und Fernwartung überprüften.
Nachdem das Entwicklungsteam unsere Findings in der Plattform aufgegriffen hatte, führten wir eine erneute Überprüfung durch, um sicherzustellen, dass die umgesetzten Massnahmen wie vorgesehen funktionieren.
avolut hat unsere Plattform gründlich untersucht und die Security Findings inklusive konkreter Lösungsansätze nachvollziehbar dokumentiert. Das gibt uns die Sicherheit, unseren Kunden eine robuste White-Label-Software anbieten zu können.
Ein erfolgreicher Go-live auf einer soliden Basis
Die Entwicklung einer Webapplikation ist anspruchsvoll, und Sicherheitsrisiken entstehen selten nur durch offensichtliche Programmierfehler. Oftmals ergeben sie sich aus dem Zusammenspiel der gewünschten Geschäftslogik und der eingesetzten Frameworks, welche die Datenverarbeitung für Entwickler abstrahieren.
Nach Abschluss der Sicherheitsüberprüfung konnte HotLead mit einer Plattform live gehen, die auf einem soliden Fundament steht. Aus unserer Sicht lohnt es sich, bei geschäftskritischen Applikationen eine unabhängige Zweitmeinung einzuholen.
Wünschen Sie eine unabhängige Zweitmeinung?
Gerne zeigen wir Ihnen, wie wir Ihre Webapplikation oder Mobile App mit einem unabhängigen Security-Check überprüfen.
Yves Giammarresi
Head of Cyber Security & Mobile, Partner
