Is een pentestrapport echt? Verifieer het zelf in de browser.

Het probleem: een PDF gelooft alles

Een pentestrapport reist door veel handen. Het gaat van de tester naar de opdrachtgever, van de opdrachtgever naar een klant die om bewijs vraagt, en van die klant naar een auditor of verzekeraar. Onderweg wordt zelden gecontroleerd of het document onderweg is aangepast. Dat is een reëel risico, want een PDF bewerken vergt geen bijzondere kennis.

Denk aan de voor de hand liggende scenario's. Een leverancier haalt stilletjes de twee kritieke bevindingen weg voordat het rapport naar een grote klant gaat. Iemand verandert de testdatum zodat een verlopen rapport weer "recent" lijkt. Of een partij die nooit getest is, zet zelf een rapport in elkaar met een geleend sjabloon en een bekend logo. In alle drie de gevallen ziet het eindresultaat er volstrekt normaal uit.

Zolang echtheid alleen op vertrouwen en op het uiterlijk berust, is een rapport zo betrouwbaar als de meest gehaaste schakel in de keten. Voor een document dat bedoeld is als bewijs, is dat te weinig.

Waarom dit auditors en CISO's aangaat

Als u rapporten ontvangt in plaats van opstelt, draait u het risico. Een CISO die een leveranciersrapport in het dossier stopt, een inkoper die een vendor risk assessment afvinkt, een auditor die een pentestrapport als bewijs van technische beveiliging accepteert: allemaal vertrouwen zij erop dat het document klopt met wat de tester daadwerkelijk oplevert.

Onder toenemende compliancedruk (NIS2, ISO 27001, NEN 7510, SOC 2, DORA) wordt een pentestrapport steeds vaker als formeel bewijsstuk gebruikt. Juist dan is de vraag "hoe weet ik dat dit rapport authentiek en ongewijzigd is?" geen detail meer, maar een controle die u zou moeten kunnen uitvoeren. Bij voorkeur zelf, in enkele seconden, zonder de leverancier te hoeven bellen.

De oplossing: een digitale handtekening op elk rapport

Bij oplevering ondertekent Resync elk rapport met een digitale handtekening op basis van Ed25519, een moderne en breed vertrouwde vorm van cryptografie. Die handtekening legt twee dingen vast: dat het rapport van Resync komt, en dat de inhoud exact is zoals bij de ondertekening. Wijzigt er ook maar één byte in het document, dan klopt de handtekening niet meer.

Het mooie is dat verifiëren geen speciale software vereist en niet afhankelijk is van Resync. De handtekening hoort bij een publieke sleutel die vrij te controleren is. Iedereen die het rapport in handen heeft, kan onafhankelijk vaststellen of het klopt. Een handtekening namaken lukt alleen met de bijbehorende private sleutel, en die blijft offline en verlaat nooit onze omgeving.

Zo verifieert u een rapport in drie stappen

1. Open de verificatiepagina. Ga naar re-sync.nl/verify. U hoeft geen account aan te maken en niets te installeren.
2. Kies het PDF-rapport. Sleep de PDF naar het vak of klik om het te selecteren. Het bestand wordt lokaal in uw browser ingelezen en niet verstuurd.
3. Lees de uitkomst. Binnen een moment ziet u of het rapport authentiek en ongewijzigd is, plus de vastgelegde gegevens zoals titel en opleverdatum.

Er zijn in de praktijk maar een paar mogelijke uitkomsten, en ze zijn allemaal ondubbelzinnig:

• Echt en ongewijzigd. De handtekening is geldig en de inhoud komt exact overeen met wat is ondertekend. U kunt het rapport vertrouwen.
• Gewijzigd na oplevering. Het rapport is ondertekend geweest, maar de inhoud is daarna aangepast. De handtekening klopt niet meer.
• Niet van Resync of niet ondertekend. Er is geen geldige Resync-handtekening aanwezig. Behandel het document dan niet als een geverifieerd Resync-rapport.

De controle faalt met opzet "gesloten": bij twijfel is de uitkomst nooit "waarschijnlijk goed", maar altijd een duidelijke afwijzing. Zo kan een gewijzigd of nagemaakt rapport niet per ongeluk als echt worden aangemerkt.

Waarom het volledig in uw browser draait

De verificatie gebeurt geheel op uw eigen apparaat, met de ingebouwde cryptografie van de browser (Web Crypto). Er is geen server, geen upload en geen opslag. Dat is een bewuste keuze om twee redenen.

Vertrouwelijkheid. Een pentestrapport bevat gevoelige informatie over uw systemen. Het zou onlogisch zijn om precies dat document naar een externe dienst te sturen alleen om de echtheid te controleren. Bij deze aanpak verlaat het bestand uw apparaat niet.

Controleerbaarheid. Omdat er niets naar Resync gaat, hoeft u ons ook niet op ons woord te geloven. De handtekening en de publieke sleutel doen het werk. U verifieert het rapport met wiskunde, niet met een belofte. Ook een derde partij, zoals uw auditor, kan dezelfde controle onafhankelijk uitvoeren.

Wat dit zegt over hoe wij werken

Verifieerbaarheid is voor ons geen extraatje, maar een logisch gevolg van het vak. Een penetratietest gaat over het aantoonbaar maken van beveiliging. Dat principe stopt niet bij de laatste pagina van het rapport. Een rapport dat u niet kunt controleren, vraagt u om op vertrouwen aan te nemen wat u eigenlijk zou moeten kunnen bewijzen.

Daarom is elk rapport ondertekend, is de verificatie openbaar en werkt die zonder ons ertussen. Het kost u een paar seconden en het geeft u, uw klant en uw auditor dezelfde zekerheid: dit is precies het rapport dat is opgeleverd, ongewijzigd.

Kort samengevat

• Een PDF-pentestrapport is eenvoudig aan te passen of na te maken, en wordt onderweg zelden gecontroleerd.
• Elk Resync-rapport is digitaal ondertekend (Ed25519), zodat wijziging of vervalsing direct opvalt.
• Verifiëren doet u zelf op re-sync.nl/verify, volledig in de browser, zonder upload en zonder tussenkomst van Resync.
• De uitkomst is ondubbelzinnig: echt en ongewijzigd, of een duidelijke afwijzing.