নিরাপত্তা

একটি Antimatter সার্ভারকে নিরাপদ করার চেকলিস্ট: কী এক্সপোজ করতে হবে, কোন সীমা এবং প্রাইভেসি সেটিংস পর্যালোচনা করতে হবে, সার্ভার কোন বাইরের সার্ভিসগুলির সাথে যোগাযোগ করে, এবং একটি নিরাপত্তা সমস্যা রিপোর্ট করার পদ্ধতি।

কী এক্সপোজ করতে হবে

সাইটের কম্পোজ ফাইল প্রতিটি কন্টেইনারকে no-new-privileges সহ চালায়, Antimatter-কে একটি ডিস্ট্রোলস ইমেজে একটি অপ্রাইভিলেজড ইউজার হিসেবে চালায়, এবং GIF সার্ভিসকে একটি রিড-অনলি ফাইল সিস্টেম সহ চালায়। ডাটাবেস, স্টোরেজ এবং GIF সার্ভিস একটি ইন্টারনেট অ্যাক্সেস ছাড়া নেটওয়ার্কে অবস্থিত।

ইনস্টল করার পর চেকলিস্ট

1. সার্ভারে অন্য কেউ পৌঁছানোর আগে প্রথম অ্যাডমিন অ্যাকাউন্ট তৈরি করুন (ইনস্টল করা)।
2. Antimatter-কে শুধুমাত্র HTTPS-এর মাধ্যমে সার্ভ করুন, এবং সাইট URL-টি https:// ঠিকানায় সেট করুন (ডোমেইন এবং HTTPS)।
3. .env, config.json এবং TLS কীগুলি শুধুমাত্র রুট (বা সার্ভারের ইউজার) দ্বারা পড়া যাক এমনভাবে রাখুন: chmod 600 .env।
4. নির্ধারণ করুন কে অ্যাকাউন্ট তৈরি করতে পারে, কমিউনিটি পাবলিক না হলে ওপেন সার্ভার সক্রিয় করুন বন্ধ রাখুন, এবং ইমেল কাজ করার পর ইমেইল ভেরিফিকেশন আবশ্যক চালু করুন (সাইন-ইন এবং অ্যাকাউন্ট)।
5. মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন, এবং অন্তত অ্যাডমিনদের অ্যাকাউন্টে এটি বাধ্যতামূলক করুন, অথবা আপনার আইডেন্টিটি প্রোভাইডারের ব্যবহার করুন।
6. নিচের বাইরের সংযোগগুলি পর্যালোচনা করুন, বিশেষ করে কল যে STUN সার্ভারটি ডিফল্টভাবে ব্যবহার করে।
7. মডেল সংযোগ যোগ করার আগে, AI এনক্রিপশন কী (AM_AI_ENCRYPTION_KEY) সেট করুন এবং ডেটাবেস ব্যাকআপ থেকে আলাদাভাবে একটি কপি সংরক্ষণ করুন (AI)।
8. ব্যাকআপ নিন, এবং একটি রিস্টোর পরীক্ষা করুন (ব্যাকআপ এবং আপগ্রেড)।
9. ইমেজ বা প্যাকেজগুলো আপ-টু-ডেট রাখুন: নিরাপত্তা সংশোধনীগুলো নতুন সংস্করণের সাথে আসে।

রেট লিমিটিং

সার্ভার প্রতিটি ক্লায়েন্ট কতগুলো API রিকোয়েস্ট পাঠাতে পারে তা সীমাবদ্ধ করতে পারে। ডিফল্ট অবস্থায় এটি বন্ধ থাকে। সিস্টেম কনসোল › এনভাইরনমেন্ট › রেট লিমিটিং-এ:

প্রক্সির পেছনে, শুধুমাত্র ঠিকানা অনুযায়ী সীমাবদ্ধতা তখনই কাজ করে যখন সার্ভার প্রতিটি ক্লায়েন্টের ঠিকানা জানে (ServiceSettings.TrustedProxyIPHeader এবং ServiceSettings.TrustedProxyIPs, দেখুন প্রক্সির পেছনে ক্লায়েন্ট ঠিকানা)। অন্যথায় প্রতিটি রিকোয়েস্ট প্রক্সি থেকে আসা মনে হবে, এবং সবাই একই সীমাবদ্ধতা শেয়ার করবে। IP ফিল্টারিং এবং অডিট লগের ঠিকানাগুলোর ক্ষেত্রেও একই কথা প্রযোজ্য।

সাইন-ইন চেষ্টা আলাদাভাবে সীমাবদ্ধ: সর্বোচ্চ লগইন চেষ্টা (১০) — এই সংখ্যক ভুল পাসওয়ার্ডের পর একটি অ্যাকাউন্ট লক হয়ে যায়।

IP ফিল্টারিং

সিস্টেম কনসোল › সাইট কনফিগারেশন › IP ফিল্টারিং IP ঠিকানা অনুযায়ী সার্ভারে অ্যাক্সেস সীমাবদ্ধ করে, allow এবং deny নিয়মসহ (প্রতিটিতে একটি ঠিকানা বা CIDR রেঞ্জ)। IP ফিল্টারিং সক্রিয় করুন চালু থাকলে, যাদের ঠিকানা কোনো deny নিয়মের সাথে মিলে, অথবা allow নিয়ম থাকলে কোনো allow নিয়মের সাথে না মিলে, তারা সার্ভারে পৌঁছাতে পারে না। পেজটি এমন নিয়ম প্রত্যাখ্যান করে যা আপনার নিজের ঠিকানা ব্লক করবে। প্রক্সির পেছনে, আগে ক্লায়েন্ট ঠিকানা সেটআপ করুন (প্রক্সির পেছনে ক্লায়েন্ট ঠিকানা): অন্যথায় প্রতিটি রিকোয়েস্ট প্রক্সি থেকে আসা মনে হবে।

আপলোড এবং ফাইল শেয়ারিং

Antimatter আপলোড করা ফাইলে ম্যালওয়্যার স্ক্যান করে না।

প্রাইভেসি সেটিংস

সিস্টেম কনসোল › সাইট কনফিগারেশন › ব্যবহারকারী এবং টিমসমূহ-এ:

উপেক্ষা, ব্লক এবং মেসেজ রিকোয়েস্ট

উপেক্ষা, ব্লক এবং মেসেজ রিকোয়েস্ট চালু করুন অন থাকলে (ডিফল্ট), ব্যবহারকারীরা একে অপরকে উপেক্ষা এবং ব্লক করতে পারেন, এবং অচেনা ব্যক্তিদের থেকে আসা ডাইরেক্ট মেসেজগুলো স্বাভাবিকভাবে আসবে, মেসেজ রিকোয়েস্ট হিসেবে অপেক্ষা করবে, নাকি সরাসরি প্রত্যাখ্যান করা হবে তা বেছে নিতে পারেন (যাকে প্রত্যাখ্যান করা হয়েছে সে তাদের সাথে কোনো ডাইরেক্ট বা গ্রুপ মেসেজ শুরু করতে পারে না, বা এখনও গৃহীত হয়নি এমন কোনো মেসেজে লিখতে পারে না); প্রতিটি কমিউনিটির জন্য এই পছন্দগুলো আলাদা হতে পারে, এবং ব্যবহারকারীরা যেসব কমিউনিটি শেয়ার করেন সেগুলোর মধ্যে সবচেয়ে কঠোর নিয়মটি প্রযোজ্য হয়। এটি পাবলিক কমিউনিটির জন্য উপযুক্ত। যেসব কর্মক্ষেত্রে সহকর্মীদের সবসময় একে অপরকে যোগাযোগ করতে হয়, সেখানে এটি অফ করুন (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): ডাইরেক্ট মেসেজের এই পছন্দগুলো আর প্রয়োগ করা হয় না, তবে ব্যবহারকারীদের তালিকা এবং পছন্দগুলো সংরক্ষিত থাকে এবং আপনি যদি এটি আবার অন করেন তবে তা পুনরায় প্রযোজ্য হবে। প্রতিটি কমিউনিটির ব্যবহারকারীরা অন্যদের কোন প্রোফাইল বিবরণ দেখতে পান তা যেকোনো অবস্থায় প্রয়োগ করা হয়; সিস্টেম অ্যাডমিন এবং ব্যক্তি নিজে সবসময় সবকিছু দেখতে পান।

সেশন এবং টোকেন

• সেশনের মেয়াদ এবং আইডল টাইমআউট: সাইন-ইন এবং অ্যাকাউন্ট দেখুন। ছোট সেশন মেয়াদ মানে হারানো ল্যাপটপ বা ফোন কম সময়ের জন্য সাইন-ইন থাকে।
• ব্যক্তিগত অ্যাক্সেস টোকেন সক্রিয় করুন (ServiceSettings.EnableUserAccessTokens, বন্ধ) ব্যক্তিদের API টোকেন তৈরি করার অনুমতি দেয়; সর্বোচ্চ পার্সোনাল অ্যাক্সেস টোকেন মেয়াদ (দিন) এদের সীমা নির্ধারণ করে। উভয়ই সিস্টেম কনসোল › ইন্টিগ্রেশনসমূহ › ইন্টিগ্রেশন ম্যানেজমেন্ট-এ আছে।
• সবাইকে একসাথে সাইন-আউট করতে, যেমন একটি সন্দেহজনক লঙ্ঘনের পর: সিস্টেম কনসোল › ব্যবহারকারী ব্যবস্থাপনা › ব্যবহারকারীসমূহ-এ সব সেশন বাতিল করুন।
• Antimatter-এর ইন্টারফেসে, ব্যবহারকারীরা তাদের নিজস্ব অ্যাকাউন্টে নতুন সাইন-ইন সম্পর্কে সতর্ক করা হয় যখন তারা সংযুক্ত থাকেন, এবং তারা নিজেই তা ডিসকানেক্ট করতে পারেন (দেখুন Where you are signed in)। সিস্টেম অ্যাডমিনদের অন্যদের সাইন-ইন সম্পর্কে জানানো হয় না।

বাইরের সার্ভিসের সাথে সংযোগ

Antimatter Mattermost, Inc. দ্বারা পরিচালিত কোনো সার্ভিসের সাথে যোগাযোগ করে না। এটি কোনো টেলিমেট্রি, ক্র্যাশ রিপোর্ট বা সিকিউরিটি আপডেট চেক পাঠায় না, এবং কোনো প্রোডাক্ট নোটিশ আনে না। Mattermost থেকে আনা এমন একটি কনফিগারেশন যেখানে Mattermost-এর কোনো সার্ভিসের (এর পুশ সার্ভিস, এর অ্যাপ মার্কেটপ্লেস, এর নোটিশ বা কলের জন্য এর STUN সার্ভার) নাম উল্লেখ থাকে, সেটি সার্ভারকে তাদের সাথে যোগাযোগ করায় না: ঐ ঠিকানাগুলো উপেক্ষিত হয়।

সার্ভার এবং অ্যাপসমূহ শুধুমাত্র যে বৈশিষ্ট্যগুলোর জন্য প্রয়োজন, এবং আপনি যে সার্ভিস কনফিগার করেন, তাদের সাথে যোগাযোগ করে:

ডিফল্টভাবে সার্ভার এইগুলোর জন্য (লিংক প্রিভিউ, ওয়েবহুক, অ্যাপস, কমিউনিটি মডেল সংযোগ) ব্যক্তিগত এবং লুপব্যাক ঠিকানায় সংযোগ স্থাপন করতে অস্বীকার করে, যাতে একটি মেসেজ বা ইন্টিগ্রেশন আপনার অভ্যন্তরীণ নেটওয়ার্কে পৌঁছাতে না পারে। যেসব অভ্যন্তরীণ হোস্টে এটি পৌঁছাতে পারে, সেগুলো অপ্রমাণিত অভ্যন্তরীণ সংযোগ অনুমোদন করুন (ServiceSettings.AllowedUntrustedInternalConnections, সিস্টেম কনসোল › এনভাইরনমেন্ট › ডেভেলপার-এ) তালিকাভুক্ত করুন; সাইটের কম্পোজ ফাইলে সেখানে gifs তালিকাভুক্ত করা আছে।

ভালাবিলিটি রিপোর্ট করা

নিজস্বভাবে সিকিউরিটি সমস্যা রিপোর্ট করুন, Antimatter সিকিউরিটি পলিসি-তে যেভাবে বলা হয়েছে, পাবলিক ইস্যুতে নয়।