Seguretat

Una llista de verificació per endurir un servidor d'Antimatter: què exposar, els límits i les configuracions de privadesa a revisar, els serveis externs amb els quals el servidor es comunica i com informar d'un problema de seguretat.

Què exposar

El fitxer compose del lloc també executa cada contenidor amb no-new-privileges, executa Antimatter com a usuari no privilegiat en una imatge distroless i executa el servei de GIF amb un sistema de fitxers només de lectura. La base de dades, l'emmagatzematge i el servei de GIF es troben en una xarxa sense accés a Internet.

Llista de verificació després de la instal·lació

1. Creeu el primer compte d'administrador abans que ningú altre pugui accedir al servidor (Instal·lació).
2. Serveu Antimatter només per HTTPS i establiu l'URL del lloc a l'adreza https:// (Domini i HTTPS).
3. Mantingueu .env, config.json i les claus TLS legibles només per root (o l'usuari del servidor): chmod 600 .env.
4. Decideu qui pot crear comptes, mantingueu Activa el servidor obert desactivat a menys que la comunitat sigui pública i activeu Requereix la verificació del correu electrònic un cop el correu funcioni (Inici de sessió i comptes).
5. Activeu l'autenticació de factor múltiple i imposeu-la, com a mínim, per als comptes dels administradors, o utilitzeu la del vostre proveïdor d'identitat.
6. Revisiu les connexions externes següents, en particular el servidor STUN que les Trucades utilitzen per defecte.
7. Abans d'afegir connexions de models, establiu la clau de xifratge de la IA (AM_AI_ENCRYPTION_KEY) i conserveu-ne una còpia separada de les còpies de seguretat de la base de dades (IA).
8. Feu còpies de seguretat i proveu una restauració (Còpies de seguretat i actualitzacions).
9. Mantingueu les imatges o els paquets actualitzats: les correccions de seguretat arriben amb les noves versions.

Limitació de freqüència

El servidor pot limitar el nombre de sol·licituds d'API que fa cada client. Per defecte, està desactivat. A Consola del sistema › Entorn › Limitació de freqüència:

Darrere d'un proxy, els límits per adreça només funcionen si el servidor coneix l'adreça de cada client (ServiceSettings.TrustedProxyIPHeader i ServiceSettings.TrustedProxyIPs, vegeu Adreces de clients darrere d'un proxy). En cas contrari, totes les sol·licituds semblen provenir del proxy, i tothom comparteix un sol límit. El mateix passa amb el filtratge per IP i amb les adreces als registres d'auditoria.

Els intents d'inici de sessió es limiten per separat: Intents d’inici de sessió màxims (10) bloqueja un compte després d'aquest nombre de contrasenyes incorrectes.

Filtratge per IP

Consola del sistema › Configuració del lloc › Filtratge per IP limita l'accés al servidor per adreça IP, amb regles de permís i de denegació (una adreça o un interval CIDR cadascuna). Amb Activa el filtratge IP activat, les persones la seva adreça coincideix amb una regla de denegació, o no coincideix amb cap regla de permís quan n'hi ha, no poden accedir al servidor. La pàgina rebutja les regles que bloquejarien la pròpia adreça. Darrere d'un proxy, configureu primer les adreces de clients (Adreces de clients darrere d'un proxy): en cas contrari, totes les sol·licituds semblen provenir del proxy.

Pujades i compartiment de fitxers

Antimatter no escaneja les pujades en cerca de programari maliciós.

Configuracions de privadesa

A Consola del sistema › Configuració del lloc › Usuaris i equips:

Ignorar, bloquejar i sol·licituds de missatge

Amb Activa ignorar, bloquejar i sol·licituds de missatge activat (el valor predeterminat), les persones es poden ignorar i bloquejar entre elles, i triar si els missatges directes de persones desconegudes arriben normalment, esperen com a sol·licituds de missatge o es rebutgen directament (una persona rebutjada no pot iniciar un missatge directe o de grup amb elles, ni escriure en un que encara no ha estat acceptat); cada opció pot variar segons la comunitat, i s'aplica la més restrictiva de les comunitats compartides. Això és adequat per a comunitats públiques. En un entorn laboral on els col·legues han de poder contactar sempre entre ells, desactiveu-ho (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): ja no s'apliquen aquestes opcions de missatges directes, però les llistes i les opcions triades es conserven i tornen a aplicar-se si ho activeu de nou. Els detalls del perfil que veuen les persones de cada comunitat s'apliquen en qualsevol cas; els administradors del sistema i la persona mateixa sempre veuen tota la informació.

Sessions i tokens

• Durada de les sessions i temps d'inactivitat: consulta Inici de sessió i comptes. Sessions més curtes signifiquen que un portàtil o telèfon perdut romandrà iniciat durant menys temps.
• Habilita els tokens d’accés personals (ServiceSettings.EnableUserAccessTokens, desactivat) permet a les persones crear tokens d'API; Durada màxima dels tokens d’accés personals (dies) els limita. Tots dos es troben a Consola del sistema › Integracions › Gestió d'integracions.
• Per tancar la sessió de tothom alhora, per exemple després d'una possible violació de seguretat: Revoca totes les sessions a Consola del sistema › Gestió d'usuaris › Usuaris.
• A la interfície d'Antimatter, les persones reben un avís d'un nou inici de sessió al seu propi compte mentre estan connectades, i poden desconnectar-lo elles mateixes (vegeu On esteu connectat). Els administradors del sistema no reben avisos d'inicis de sessió d'altres persones.

Connexions amb serveis externs

Antimatter no contacta cap servei operat per Mattermost, Inc. No envia telemetria, informes d'errors ni comprovacions d'actualitzacions de seguretat, i no recupera avisos de producte. Una configuració portada des de Mattermost que encara nomena un dels serveis de Mattermost (els seus serveis de notificacions push, el seu mercat d'aplicacions, els seus avisos o el seu servidor STUN per a trucades) no fa que el servidor els contacti: aquestes adreces s'ignoren.

El servidor i les aplicacions es connecten a altres serveis externs només per a les funcions que els necessiten, i als serveis que configureu:

Per defecte, el servidor rebutja les connexions a adreces privades i de bucle per a aquests (previsualitzacions d'enllaços, webhooks, aplicacions, connexions de models de la comunitat), de manera que un missatge o una integració no es pugui utilitzar per accedir a la xarxa interna. Enumereu els amfitrions interns als quals pot accedir a Permet connexions internes no fiables a (ServiceSettings.AllowedUntrustedInternalConnections, a Consola del sistema › Entorn › Desenvolupador); el fitxer compose del lloc llista gifs allà.

Informar d’una vulnerabilitat

Informa dels problemes de seguretat de manera privada, com s’explica a la política de seguretat d’Antimatter, i no en problemes públics.