Zabezpečení

Seznam úkolů pro zpevnění serveru Antimatter: co vystavit, které limity a nastavení soukromí je třeba zkontrolovat, jaké externí služby server kontaktuje a jak nahlásit bezpečnostní problém.

Co vystavit

Soubor compose webu také spouští každý kontejner s no-new-privileges, spouští Antimatter jako neprivilegovaného uživatele na obrazu distroless a spouští službu GIF se souborovým systémem pouze pro čtení. Databáze, úložiště a služba GIF jsou na síti bez přístupu na Internet.

Seznam úkolů po instalaci

1. Vytvořte první účet administrátora, než se k serveru může dostat kdokoli jiný (Instalace).
2. Poskytujte Antimatter pouze přes HTTPS a nastavte adresu webu na adresu https:// (Doména a HTTPS).
3. Nechte soubory .env, config.json a TLS klíče čitelné pouze rootem (nebo uživatelem serveru): chmod 600 .env.
4. Rozhodněte, kdo může vytvářet účty, nechte Povolit otevřený server vypnuté, pokud komunita není veřejná, a zapněte Vyžadovat ověření e-mailu, jakmile bude e-mail fungovat (Přihlášení a účty).
5. Zapněte vícefaktorové ověřování a vynuťte ho alespoň pro účty administrátorů, nebo použijte ověřování vašeho poskytovatele identit.
6. Zkontrolujte níže uvedené externí připojení, zejména STUN server, který hovory používají ve výchozím nastavení.
7. Před přidáním připojení k modelům nastavte šifrovací klíč pro AI (AM_AI_ENCRYPTION_KEY) a uložte jeho kopii odděleně od záloh databáze (AI).
8. Vytvořte zálohu a otestujte obnovu (Zálohy a aktualizace).
9. Udržujte obrazy nebo balíčky aktuální: bezpečnostní opravy přicházejí s novými verzemi.

Omezení rychlosti

Server může omezit počet požadavků na API, které každý klient provede. Ve výchozím nastavení je vypnuto. V Systémová konzole › Prostředí › Omezení frekvence:

Za proxy serverem fungují omezení podle adresy pouze tehdy, když server zná adresu každého klienta (ServiceSettings.TrustedProxyIPHeader a ServiceSettings.TrustedProxyIPs, viz Adresy klientů za proxy). Jinak se zdá, že všechny požadavky pocházejí z proxy, a všichni sdílejí jedno omezení. To platí i pro filtrování IP adres a pro adresy v auditních záznamech.

Pokusy o přihlášení se omezují samostatně: Maximální počet pokusů o přihlášení (10) zablokuje účet po tolikrát neúspěšném zadání hesla.

Filtrovaní IP adres

Systémová konzole › Konfigurace webu › Filtrování IP omezuje přístup ke serveru podle IP adresy pomocí pravidel pro povolení a zamítnutí (každé pravidlo obsahuje adresu nebo CIDR rozsah). Když je Zapnout filtrování IP adres zapnuté, nemohou se ke serveru dostat lidé, jejichž adresa odpovídá pravidlu pro zamítnutí, nebo nemají povolené pravidlo, pokud nějaká pravidla pro povolení existují. Stránka zamítá pravidla, která by zablokovala vaši vlastní adresu. Za proxy serverem nejdřív nastavte adresy klientů (Adresy klientů za proxy), jinak by se zdálo, že všechny požadavky přicházejí z proxy.

Nahrávání a sdílení souborů

Antimatter nenaskenuje nahrávané soubory na malware.

Nastavení soukromí

V Systémová konzole › Konfigurace webu › Uživatelé a týmy:

Ignorování, blokování a žádosti o zprávy

Při zapnuté možnosti Povolit ignorování, blokování a žádosti o zprávy (výchozí nastavení) mohou lidé navzájem ignorovat a blokovat a rozhodnout, zda přímé zprávy od lidí, které neznají, dorazí normálně, budou čekat jako žádosti o zprávy, nebo budou přímo odmítnuty (odmítnutá osoba nemůže s nimi zahájit přímou ani skupinovou zprávu, ani psát v té, která ještě nebyla přijata); každá volba se může lišit podle komunity a platí nejpřísnější pravidlo z komunit, které mají dané lidé společné. To vyhovuje veřejným komunitám. Na pracovišti, kde si kolegové musí být vždy dostupní, tuto možnost vypněte (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): žádná z voleb pro přímé zprávy se již nevynucuje, ale seznamy a volby, které lidé provedli, jsou zachovány a znovu se uplatní, pokud funkci znovu zapnete. To, jaké detaily profilu lidé v dané komunitě vidí, je vynucováno v obou případech; systémoví administrátoři a daná osoba vždy vidí vše.

Relace a tokeny

• Délka relací a časový limit nečinnosti: viz Přihlášení a účty. Kratší relace znamenají, že ztracený notebook nebo telefon zůstane přihlášen po kratší dobu.
• Povolit osobní přístupové tokeny (ServiceSettings.EnableUserAccessTokens, vypnuto) umožňuje lidem vytvářet API tokeny; Maximální platnost osobního přístupového tokenu (dny) je omezuje. Oba se nacházejí v Systémová konzole › Integrace › Správa integrací.
• Chcete-li všechny najednou odhlásit, například po podezření na kompromitaci: Zrušit všechny relace v Systémová konzole › Správa uživatelů › Uživatelé.
• V rozhraní Antimatteru jsou lidé upozorněni na nové přihlášení ke svému účtu, zatímco jsou připojeni, a mohou se sami odhlásit (viz Kde jste přihlášeni). Systémoví administrátoři nejsou informováni o přihlášeních ostatních lidí.

Připojení k externím službám

Antimatter nekontaktuje žádnou službu provozovanou společností Mattermost, Inc. Neodesílá žádnou telemetrii, hlášení o pádech ani kontroly bezpečnostních aktualizací a nezískává žádná produktová oznámení. Konfigurace přenesená z Mattermostu, která stále uvádí jednu ze služeb Mattermost (její push služby, její tržiště aplikací, její oznámení nebo její STUN server pro hovory), nedělá server kontaktující: tyto adresy se ignorují.

Server a aplikace se připojují k jiným externím službám pouze pro funkce, které je potřebují, a ke službám, které vy nastavíte:

Ve výchozím nastavení server odmítá připojení k privátním a smyčkovým adresám pro tyto služby (náhledy odkazů, webhooks, aplikace, připojení k modelům komunit), takže zpráva nebo integrace nemůže být využita k dosažení vašeho interního sítě. Interní hostitele, ke kterým je připojení povoleno, vyjmenujte v Povolit nespolehlivé interní připojení k (ServiceSettings.AllowedUntrustedInternalConnections, v Systémová konzole › Prostředí › Vývojář); v compose souboru webu je zde uveden gifs.

Nahlášení zranitelnosti

Bezpečnostní problémy nahlázejte soukromě, jak je popsáno v bezpečnostní politice Antimatter, nikoli ve veřejných problémech.