Enno Gelhaus
Ich leite Betrieb und Sicherheit bei Postiz, einer Open-Source-Plattform zur Planung von Social-Media-Beiträgen. Außerhalb davon baue ich die GHub-Anwendungen unter Gelhaus Solutions.
Jede Zahl hier wird aus dem System gelesen, dem sie gehört. Geprüft vor 15 Minuten. Wie sie gezählt werden
Was die Rolle tatsächlich ist
Ein C-Level-Titel bedeutet hier nicht, Arbeit an andere zu geben. Die Arbeit ist meine.
Sie umfasst Security Engineering und Schwachstellenforschung, Trust und Abuse, Support und Community, CI/CD, Überwachung, CNA-Betrieb und Einstellung.
Ich bin außerdem der zweitgrößte Beitragende zur Kern-Codebasis, mit 438 Commits. Mein Hintergrund ist DevSecOps und Platform Engineering, und ich verbringe den Großteil der Woche weiterhin im Code.
Was dabei herausgekommen ist
42 veröffentlichte Advisories und 20 CVEs über die beiden Programme hinweg, davon sieben kritisch, das höchste mit 10.0.
Die größte Häufung ist Server-Side Request Forgery, acht Advisories tief. Das ist kein Zufall der Codebasis. Ein Social-Media-Planer existiert, um in Ihrem Auftrag Dinge abzurufen und zu veröffentlichen; ausgehende Anfragen an Angreifer-beeinflussbare URLs sind also seine Aufgabenbeschreibung und kein Fehler darin. Fehlerklassen, die aus dem Zuschnitt eines Produkts folgen, muss man strukturell behandeln und nicht Endpunkt für Endpunkt.
Eine Regel für alles, was ich baue
Wenn die API es kann, muss die Oberfläche es auch können.
Ich habe zu viele Werkzeuge gesehen, die eine Funktion hinter einem undokumentierten Endpunkt ausliefern und sie für fertig erklären. Was nur ein Maintainer bedienen kann, ist nicht fertig. Das kostet vorne mehr. Bereut habe ich es nie.
Was tatsächlich läuft
Die GHub-Reihe ist Open Core: Die Basisversion ist kostenlos, Pro und Enterprise nicht. Geschlossene Arbeit ist auf der Karte gekennzeichnet.
Was ich tatsächlich betreibe
Nach Disziplin gruppiert, statt einer Wand aus Logos. Das läuft im Produktivbetrieb. Was ich nur einmal ausprobiert habe, steht nicht auf der Liste.
Brauchen Sie zu etwas eine zweite Meinung?
Sicherheitsreview, ein CVE-Programm aufsetzen, Plattformarbeit, oder eine Architektur, bei der Sie sich nicht sicher sind. E-Mail geht am schnellsten.
Schreiben Sie mir