Keamanan

Daftar periksa untuk memperkuat server Antimatter: apa yang harus dibuka, batas dan pengaturan privasi yang perlu ditinjau, layanan eksternal yang dihubungi server, dan cara melaporkan masalah keamanan.

Apa yang harus dibuka

File compose situs juga menjalankan setiap kontainer dengan no-new-privileges, menjalankan Antimatter sebagai pengguna tanpa privilese pada image distroless, dan menjalankan layanan GIF dengan sistem file hanya-baca. Basis data, penyimpanan, dan layanan GIF berada di jaringan tanpa akses Internet.

Daftar periksa setelah instalasi

1. Buat akun administrator pertama sebelum orang lain dapat mengakses server (Instalasi).
2. Sajikan Antimatter hanya melalui HTTPS, dan setel URL situs ke alamat https:// (Domain dan HTTPS).
3. Jaga agar .env, config.json, dan kunci TLS hanya dapat dibaca oleh root (atau pengguna server): chmod 600 .env.
4. Tentukan siapa yang dapat membuat akun, biarkan Aktifkan Server Terbuka nonaktif kecuali komunitas bersifat publik, dan aktifkan Wajibkan Verifikasi Email setelah email berfungsi (Masuk dan akun).
5. Aktifkan autentikasi multi-faktor, dan terapkan minimal untuk akun administrator, atau gunakan milik penyedia identitas Anda.
6. Tinjau koneksi eksternal di bawah, khususnya server STUN yang digunakan Panggilan secara default.
7. Sebelum menambahkan koneksi model, atur kunci enkripsi AI (AM_AI_ENCRYPTION_KEY) dan simpan salinannya terpisah dari cadangan database (AI).
8. Buat cadangan, dan uji pemulihan (Cadangan dan peningkatan).
9. Jaga agar gambar atau paket tetap terkini: perbaikan keamanan hadir bersama versi baru.

Pembatasan laju

Server dapat membatasi jumlah permintaan API yang dibuat oleh setiap klien. Fitur ini nonaktif secara bawaan. Di Konsol Sistem › Lingkungan › Batas Laju:

Di balik proxy, pembatasan berdasarkan alamat hanya berfungsi jika server mengetahui alamat masing-masing klien (ServiceSettings.TrustedProxyIPHeader dan ServiceSettings.TrustedProxyIPs, lihat Alamat klien di balik proxy). Jika tidak, semua permintaan tampak berasal dari proxy, dan semua orang berbagi satu batas. Hal yang sama berlaku untuk penyaringan IP dan untuk alamat dalam log audit.

Percobaan masuk dibatasi secara terpisah: Jumlah Percobaan Masuk Maksimum (10) mengunci akun setelah sebanyak itu kata sandi gagal.

Penyaringan IP

Konsol Sistem › Konfigurasi Situs › Penyaringan IP membatasi akses ke server berdasarkan alamat IP, dengan aturan izinkan dan tolak (masing-masing berupa alamat atau rentang CIDR). Dengan Aktifkan Penyaringan IP diaktifkan, orang-orang yang alamatnya cocok dengan aturan tolak, atau tidak cocok dengan aturan izinkan ketika ada aturan izinkan, tidak dapat mengakses server. Halaman ini menolak aturan yang akan memblokir alamat Anda sendiri. Di balik proxy, atur alamat klien terlebih dahulu (Alamat klien di balik proxy): jika tidak, semua permintaan tampak berasal dari proxy.

Unggahan dan berbagi berkas

Antimatter tidak memindai unggahan untuk malware.

Pengaturan privasi

Di Konsol Sistem › Konfigurasi Situs › Pengguna dan Tim:

Pengabaian, pemblokiran, dan permintaan pesan

Dengan Aktifkan pengabaian, pemblokiran, dan permintaan pesan aktif (standar), orang dapat mengabaikan dan memblokir satu sama lain, dan dapat memilih untuk menerima pesan langsung dari orang yang tidak mereka kenal sebagai permintaan pesan, yang tidak memberi notifikasi sampai diterima. Ini cocok untuk komunitas publik. Di tempat kerja di mana rekan kerja harus selalu dapat menghubungi satu sama lain, matikan (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): tidak ada yang lagi-lagi dipaksakan, tetapi daftar dan pilihan yang dibuat orang tetap dipertahankan, dan berlaku lagi jika Anda mengaktifkannya kembali.

Sesi dan token

• Durasi sesi dan batas waktu tidak aktif: lihat Masuk dan akun. Sesi yang lebih singkat berarti laptop atau ponsel yang hilang tetap masuk selama waktu yang lebih singkat.
• Aktifkan Token Akses Pribadi (ServiceSettings.EnableUserAccessTokens, nonaktif) memungkinkan orang membuat token API; Masa Berlaku Maksimum Token Akses Pribadi (hari) membatasinya. Keduanya ada di Konsol Sistem › Integrasi › Manajemen Integrasi.
• Untuk mengeluarkan semua orang sekaligus, misalnya setelah dugaan pelanggaran: Cabut Semua Sesi di Konsol Sistem › Manajemen Pengguna › Pengguna.

Koneksi ke layanan eksternal

Antimatter tidak menghubungi layanan yang dijalankan oleh Mattermost, Inc. Tidak ada telemetri, laporan crash, atau pemeriksaan pembaruan keamanan yang dikirim, dan tidak ada pemberitahuan produk yang diambil. Konfigurasi yang dibawa dari Mattermost yang masih menyebut salah satu layanan Mattermost (layanan push-nya, pasar aplikasi-nya, pemberitahuan-nya, atau server STUN-nya untuk panggilan) tidak membuat server menghubungi mereka: alamat-alamat tersebut diabaikan.

Server dan aplikasi hanya terhubung ke layanan eksternal lain untuk fitur yang membutuhkannya, dan ke layanan yang Anda konfigurasikan:

Secara bawaan, server menolak koneksi ke alamat privat dan loopback untuk hal-hal ini (pratinjau tautan, webhook, aplikasi, koneksi model komunitas), sehingga pesan atau integrasi tidak dapat digunakan untuk menjangkau jaringan internal Anda. Daftarkan host internal yang boleh dijangkau di Izinkan koneksi internal yang tidak tepercaya ke (ServiceSettings.AllowedUntrustedInternalConnections, di Konsol Sistem › Lingkungan › Pengembang); file compose situs mencantumkan gifs di sana.

Melaporkan kerentanan

Laporkan masalah keamanan secara privat, seperti dijelaskan dalam kebijakan keamanan Antimatter, bukan di masalah publik.