security.txt prüfen, mit Signatur und Schlüsseln

Abruf

Liegt die Datei unter /.well-known/security.txt, erreichbar über HTTPS mit gültigem Zertifikat? Wohin führen Weiterleitungen? Liefert der Server text/plain; charset=utf-8 oder eine Fehlerseite im HTML-Gewand? Sperrt eine Firewall automatische Abrufe aus, wie es die TR in Abschnitt 4.2.11 ausschließt?

Aufbau und Inhalt

Jede Zeile ist ein Feld oder ein Kommentar, Werte nur in ASCII. Contact und Expires sind vorhanden, Expires genau einmal, im Format nach RFC 3339, empfohlen höchstens ein Jahr voraus. Canonical nennt den tatsächlichen Fundort. Verlinkte Seiten antworten, Maildomains haben einen MX-, A- oder AAAA-Eintrag. Typische Fehler wie Acknowledgements statt Acknowledgments fallen auf; die neueren Felder CSAF und Bug-Bounty kennt der Check.

Signatur und Schlüssel

Ist die Datei signiert, prüft der Check die OpenPGP-Signatur kryptografisch: mit den Schlüsseln aus den Encryption-Feldern, von der Meldeseite oder, falls dort keiner passt, von keys.openpgp.org. Dazu Verfahren und Schlüssellänge, Hashverfahren, Ablauf und, im Maßstab der TR, die zulässigen Verfahren nach BSI TR-03116-4 und ECCG-Katalog sowie die Fünf-Jahres-Grenze.

BSI TR-03183-3

Im strengeren Maßstab: Kontakte in der Reihenfolge PSIRT, CSIRT, Meldeseite, erkennbare Funktionspostfächer, je Postfach ein Schlüssel als .asc, Englisch in Preferred-Languages, Policy, Signaturpflicht und die empfohlenen Kommentare.

Was kein Check sieht

Ob jemand das Postfach liest, ob die Richtlinie trägt und ob Meldende rechtzeitig eine Antwort bekommen. Das zeigt nur der Ernstfall oder ein Probelauf: Schreiben Sie selbst einmal an die Adresse.