Seguridad

Una lista de verificación para endurecer un servidor de Antimatter: qué exponer, los límites y ajustes de privacidad que deben revisarse, los servicios externos con los que se comunica el servidor y cómo reportar un problema de seguridad.

Qué exponer

El archivo de compose del sitio también ejecuta cada contenedor con no-new-privileges, ejecuta Antimatter como un usuario sin privilegios en una imagen distroless y ejecuta el servicio de GIF con un sistema de archivos de solo lectura. La base de datos, el almacenamiento y el servicio de GIF se encuentran en una red sin acceso a Internet.

Lista de verificación después de la instalación

1. Crea la primera cuenta de administrador antes de que nadie más pueda acceder al servidor (Instalación).
2. Sirve Antimatter solo a través de HTTPS y establece la URL del sitio con la dirección https:// (Dominio y HTTPS).
3. Mantén .env, config.json y las claves TLS legibles solo por root (o el usuario del servidor): chmod 600 .env.
4. Decide quién puede crear cuentas, mantén Habilitar Servidor Abierto desactivado a menos que la comunidad sea pública, y activa Require verificación de correo electrónico una vez que el correo funcione (Inicio de sesión y cuentas).
5. Activa la autenticación multifactor y, al menos, exígela para las cuentas de administradores, o utiliza la de tu proveedor de identidad.
6. Revisa las conexiones externas a continuación, en particular el servidor STUN que las Llamadas usan de forma predeterminada.
7. Antes de añadir conexiones de modelos, configura la clave de cifrado de IA (AM_AI_ENCRYPTION_KEY) y guarda una copia separada de las copias de seguridad de la base de datos (IA).
8. Realiza copias de seguridad y prueba una restauración (Copias de seguridad y actualizaciones).
9. Mantén las imágenes o los paquetes actualizados: las correcciones de seguridad llegan con las nuevas versiones.

Limitación de tasa

El servidor puede limitar la cantidad de solicitudes de API que realiza cada cliente. Está desactivado de forma predeterminada. En Consola de sistema › Entorno › Límite de Velocidad:

Detrás de un proxy, las limitaciones por dirección solo funcionan si el servidor conoce la dirección de cada cliente (ServiceSettings.TrustedProxyIPHeader y ServiceSettings.TrustedProxyIPs, ver Direcciones de clientes detrás de un proxy). De lo contrario, todas las solicitudes parecen provenir del proxy y todos comparten un único límite. Lo mismo aplica al filtrado por IP y a las direcciones en los registros de auditoría.

Los intentos de inicio de sesión se limitan por separado: Máximo de intentos de conexión (10) bloquea una cuenta después de ese número de contraseñas incorrectas.

Filtrado por IP

Consola de sistema › Configuración del Sitio › Filtrado de IP limita el acceso al servidor por dirección IP, con reglas de permitir y denegar (una dirección o un rango CIDR cada una). Con Activar filtrado de IP activado, las personas cuya dirección coincida con una regla de denegar, o que no coincida con ninguna regla de permitir cuando existen reglas de permitir, no pueden acceder al servidor. La página rechaza las reglas que bloquearían tu propia dirección. Detrás de un proxy, configura primero las direcciones de los clientes (Direcciones de clientes detrás de un proxy): de lo contrario, todas las solicitudes parecen provenir del proxy.

Subidas y compartición de archivos

Antimatter no escanea las subidas en busca de malware.

Configuraciones de privacidad

En Consola de sistema › Configuración del sitio › Usuarios y equipos:

Ignorar, bloquear y solicitudes de mensaje

Con Activar ignorar, bloquear y solicitudes de mensaje activado (valor predeterminado), las personas pueden ignorarse y bloquearse mutuamente, y elegir si los mensajes directos de personas desconocidas llegan normalmente, quedan a la espera como solicitudes de mensaje o se rechazan de plano (una persona rechazada no puede iniciar un mensaje directo o de grupo con ella, ni escribir en uno que aún no haya sido aceptado); cada opción puede variar según la comunidad, y prevalece la más restrictiva de las comunidades que comparten las personas. Esto es adecuado para comunidades públicas. En un entorno laboral donde los colegas deben poder comunicarse siempre, desactívelo (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): ya no se aplican estas opciones de mensajes directos, pero se conservan las listas y las elecciones realizadas por las personas, y vuelven a aplicarse si se vuelve a activar. Los detalles del perfil que ve cada comunidad se aplican en ambos casos; los administradores del sistema y la propia persona siempre ven todo.

Sesiones y tokens

• Duración de las sesiones y tiempo de espera por inactividad: véase Inicio de sesión y cuentas. Sesiones más cortas significan que un portátil o teléfono perdido permanecerá conectado durante menos tiempo.
• Habilitar Tokens de Acceso Personales (ServiceSettings.EnableUserAccessTokens, desactivado) permite a las personas crear tokens de API; Vida útil máxima de token de acceso personal (días) los limita. Ambos se encuentran en Consola de sistema › Integraciones › Gestión de Integraciones.
• Para cerrar la sesión de todos a la vez, por ejemplo tras una presunta violación de seguridad: Revocar todas las sesiones en Consola de sistema › Gestión de usuarios › Usuarios.
• En la interfaz de Antimatter, se avisa a las personas de un nuevo inicio de sesión en su propia cuenta mientras están conectadas, y pueden desconectarlo ellas mismas (consulte Dónde ha iniciado sesión). Los administradores del sistema no reciben notificaciones de los inicios de sesión de otras personas.

Conexiones con servicios externos

Antimatter no contacta ningún servicio operado por Mattermost, Inc. No envía telemetría, informes de errores ni comprobaciones de actualizaciones de seguridad, y no recupera avisos de producto. Una configuración importada de Mattermost que aún nombre uno de los servicios de Mattermost (sus servicios de notificaciones push, su mercado de aplicaciones, sus avisos o su servidor STUN para llamadas) no hace que el servidor los contacte: esas direcciones se ignoran.

El servidor y las aplicaciones se conectan a otros servicios externos solo para las funciones que los requieren, y a los servicios que configures:

Por defecto, el servidor se niega a conectarse a direcciones privadas y de bucle inverso para estos (previsualización de enlaces, webhooks, aplicaciones, conexiones de modelos de la comunidad), de modo que un mensaje o una integración no pueda usarse para acceder a tu red interna. Enumera los hosts internos a los que puede acceder en Permitir conexiones internas no son de confianza (ServiceSettings.AllowedUntrustedInternalConnections, en Consola de sistema › Entorno › Desarrollo); el archivo compose del sitio lista gifs allí.

Informar sobre una vulnerabilidad

Informa sobre problemas de seguridad de forma privada, como se explica en la política de seguridad de Antimatter, y no en problemas públicos.