Sicurezza

Un'elenco di controllo per rafforzare un server Antimatter: cosa esporre, i limiti e le impostazioni sulla privacy da rivedere, i servizi esterni a cui il server si connette e come segnalare un problema di sicurezza.

Cosa esporre

Il file compose del sito esegue anche ogni contenitore con no-new-privileges, esegue Antimatter come utente non privilegiato su un'immagine distroless ed esegue il servizio GIF con un file system di sola lettura. Il database, l'archiviazione e il servizio GIF si trovano su una rete senza accesso a Internet.

Elenco di controllo dopo l'installazione

1. Crea il primo account di amministratore prima che chiunque altro possa raggiungere il server (Installazione).
2. Fornisci Antimatter solo tramite HTTPS e imposta l'URL del sito sull'indirizzo https:// (Dominio e HTTPS).
3. Mantieni .env, config.json e le chiavi TLS leggibili solo da root (o dall'utente del server): chmod 600 .env.
4. Decidi chi può creare account, tieni Abilita Server Aperto disattivato a meno che la community non sia pubblica, e attiva Richiedi Email di verifica una volta che l'email funziona (Accesso e account).
5. Attiva l'autenticazione a più fattori e imponila almeno per gli account degli amministratori, oppure usa quella del tuo provider di identità.
6. Rivedi le connessioni esterne di seguito, in particolare il server STUN usato di default dalle Chiamate.
7. Prima di aggiungere le connessioni ai modelli, imposta la chiave di crittografia AI (AM_AI_ENCRYPTION_KEY) e conservane una copia separata dai backup del database (AI).
8. Effettua backup e testa un ripristino (Backup e aggiornamenti).
9. Mantieni aggiornate le immagini o i pacchetti: le correzioni di sicurezza arrivano con le nuove versioni.

Limitazione delle richieste

Il server può limitare il numero di richieste API effettuate da ciascun client. È disattivato di default. In Console di Sistema › Ambiente › Limite di velocità:

Dietro a un proxy, i limiti basati sull'indirizzo funzionano solo se il server conosce l'indirizzo di ciascun client (ServiceSettings.TrustedProxyIPHeader e ServiceSettings.TrustedProxyIPs, vedi Indirizzi dei client dietro a un proxy). Altrimenti, tutte le richieste sembrano provenire dal proxy e tutti condividono lo stesso limite. Lo stesso vale per il filtraggio per IP e per gli indirizzi nei registri di audit.

I tentativi di accesso sono limitati separatamente: Numero massimo tentativi di login (10) blocca un account dopo questo numero di password errate.

Filtraggio per IP

Console di Sistema › Configurazione sito › Filtraggio IP limita l'accesso al server per indirizzo IP, con regole di permesso e negazione (un indirizzo o un intervallo CIDR ciascuno). Con Attiva filtraggio IP attivo, le persone il cui indirizzo corrisponde a una regola di negazione, o a nessuna regola di permesso quando sono presenti regole di permesso, non possono raggiungere il server. La pagina rifiuta le regole che bloccherebbero il proprio indirizzo. Dietro a un proxy, configura prima gli indirizzi dei client (Indirizzi client dietro un proxy): altrimenti ogni richiesta sembra provenire dal proxy.

Caricamenti e condivisione dei file

Antimatter non analizza i caricamenti alla ricerca di malware.

Impostazioni sulla privacy

In Console di Sistema › Configurazione sito › Utenti e squadre:

Ignorare, bloccare e richieste di messaggio

Con Attiva ignorare, bloccare e richieste di messaggio attivo (impostazione predefinita), le persone possono ignorarsi e bloccarsi a vicenda e possono scegliere di ricevere i messaggi diretti da persone sconosciute come richieste di messaggio, che non inviano notifiche finché non vengono accettate. Questa opzione è adatta alle comunità pubbliche. In un ambiente di lavoro in cui i colleghi devono sempre poter contattarsi, disattivala (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): nessuna di queste restrizioni viene più applicata, ma le liste e le scelte effettuate dagli utenti vengono conservate e riattivate se la funzione viene di nuovo attivata.

Sessioni e token

• Durata delle sessioni e timeout di inattività: vedi Accesso e account. Sessioni più brevi significano che un laptop o telefono smarrito rimane connesso per meno tempo.
• Attiva Token di Accesso (ServiceSettings.EnableUserAccessTokens, disattivato) consente agli utenti di creare token API; Durata massima token di accesso personale (giorni) ne limita la validità. Entrambi si trovano in Console di Sistema › Integrazioni › Gestione integrazioni.
• Per disconnettere tutti gli utenti contemporaneamente, ad esempio dopo una presunta violazione: Revoca tutte le sessioni in Console di Sistema › Gestione utenti › Utenti.

Connessioni a servizi esterni

Antimatter non contatta alcun servizio gestito da Mattermost, Inc. Non invia telemetria, report di errore o verifiche di aggiornamenti di sicurezza e non recupera avvisi di prodotto. Una configurazione importata da Mattermost che ancora indica uno dei servizi di Mattermost (i suoi servizi push, il suo marketplace di app, i suoi avvisi o il suo server STUN per le chiamate) non fa sì che il server li contatti: quegli indirizzi vengono ignorati.

Il server e le app si connettono ad altri servizi esterni solo per le funzionalità che li richiedono e ai servizi che configuri:

Per impostazione predefinita, il server rifiuta di connettersi a indirizzi privati e loopback per questi (anteprime dei collegamenti, webhook, app, connessioni ai modelli della community), in modo che un messaggio o un'integrazione non possano essere utilizzati per raggiungere la rete interna. Elenca gli host interni a cui è consentito l'accesso in Consenti connessioni interne non verificate a (ServiceSettings.AllowedUntrustedInternalConnections, in Console di Sistema › Ambiente › Sviluppatore); il file compose del sito elenca gifs in questa voce.

Segnalazione di una vulnerabilità

Segnala i problemi di sicurezza in privato, come spiegato nella politica di sicurezza di Antimatter, non in problemi pubblici.