Deep scan: OpenKAT-token over vertrouwd intern HTTP is een bewuste keuze #2387

New issue

Closed

opened 2026-10-11 21:48:00 +00:00 by brenno · 0 comments

brenno commented

2026-10-11 21:48:00 +00:00

Owner

Scan: a1d9fe8c-67c4-4338-881c-2b61e39eee39
Bevinding: csf_3a102c35b7eb4358aa1a48d1

Statische beoordeling: geen omzeiling van de ingestelde beveiligingsgrens. De OpenKAT-koppeling staat standaard uit en weigert gewoon HTTP zonder de expliciete optie Eigen netwerk. Een beheerder kiest zelf het interne eindpunt, het token en die uitzondering. SECURITY.md documenteert dit gedrag. De verbinding is dan niet versleuteld en een waarnemer op dat interne netwerk kan verkeer zien; HTTPS blijft de aanbevolen instelling.

Bron: lib/services/openkat/openkat_rocky_client.dart:210 en :237, lib/models/openkat/openkat_installation.dart:164, plus de OpenKAT-paragraaf van SECURITY.md. De relevante bron is sinds scanrevisie 3533095d072457cc763b66d66eb47931b2ea1c70 niet gewijzigd.

Uitkomst: sluiten als gedocumenteerde, expliciet gekozen beperking. Geen codewijziging nodig. Heropenen wanneer HTTP zonder bewuste opt-in wordt toegestaan of de productbelofte verandert.

Scan: a1d9fe8c-67c4-4338-881c-2b61e39eee39 Bevinding: csf_3a102c35b7eb4358aa1a48d1 **Statische beoordeling: geen omzeiling van de ingestelde beveiligingsgrens.** De OpenKAT-koppeling staat standaard uit en weigert gewoon HTTP zonder de expliciete optie *Eigen netwerk*. Een beheerder kiest zelf het interne eindpunt, het token en die uitzondering. `SECURITY.md` documenteert dit gedrag. De verbinding is dan niet versleuteld en een waarnemer op dat interne netwerk kan verkeer zien; HTTPS blijft de aanbevolen instelling. Bron: `lib/services/openkat/openkat_rocky_client.dart:210` en `:237`, `lib/models/openkat/openkat_installation.dart:164`, plus de OpenKAT-paragraaf van `SECURITY.md`. De relevante bron is sinds scanrevisie `3533095d072457cc763b66d66eb47931b2ea1c70` niet gewijzigd. Uitkomst: sluiten als gedocumenteerde, expliciet gekozen beperking. Geen codewijziging nodig. Heropenen wanneer HTTP zonder bewuste opt-in wordt toegestaan of de productbelofte verandert.

brenno

2026-10-11 21:48:00 +00:00