Keselamatan

Senarai semak untuk memperkukuh pelayan Antimatter: apa yang perlu didedahkan, had dan tetapan privasi yang perlu disemak, perkhidmatan luar yang dihubungi oleh pelayan, dan cara melaporkan masalah keselamatan.

Apa yang perlu didedahkan

Fail compose laman web juga menjalankan setiap kontena dengan no-new-privileges, menjalankan Antimatter sebagai pengguna tidak berkeistimewaan pada imej distroless, dan menjalankan perkhidmatan GIF dengan sistem fail sahaja-baca. Pangkalan data, storan dan perkhidmatan GIF terletak pada rangkaian tanpa akses Internet.

Senarai semak selepas pemasangan

1. Cipta akaun pentadbir pertama sebelum sesiapa lain dapat mengakses pelayan (Pemasangan).
2. Sajikan Antimatter melalui HTTPS sahaja, dan tetapkan URL laman web ke alamat https:// (Domain dan HTTPS).
3. Simpan .env, config.json dan kunci TLS boleh dibaca oleh root (atau pengguna pelayan) sahaja: chmod 600 .env.
4. Tentukan siapa yang boleh mencipta akaun, biarkan Aktifkan Pelayan Terbuka tidak diaktifkan melainkan komuniti adalah awam, dan aktifkan Wajibkan Pengesahan E-mel sebaik sahaja e-mel berfungsi (Log masuk dan akaun).
5. Aktifkan pengesahan dua faktor, dan wajibkannya sekurang-kurangnya untuk akaun pentadbir, atau gunakan perkhidmatan pengenal pasti anda.
6. Semak sambungan luar di bawah, terutamanya pelayan STUN yang digunakan oleh Panggilan secara lalai.
7. Sebelum menambah sambungan model, tetapkan kunci penyulitan AI (AM_AI_ENCRYPTION_KEY) dan simpan salinannya berasingan daripada sandaran pangkalan data (AI).
8. Buat sandaran, dan uji pemulihan (Sandaran dan kemas kini).
9. Pastikan imej atau pakej sentiasa terkini: pembaikan keselamatan akan tiba bersama versi baharu.

Had kadar

Pelayan boleh mengehadkan bilangan permintaan API yang dibuat oleh setiap klien. Ia dimatikan secara lalai. Dalam Konsol Sistem › Persekitaran › Had Kadar:

Di belakang proksi, had mengikut alamat sahaja berfungsi jika pelayar mengetahui alamat setiap klien (ServiceSettings.TrustedProxyIPHeader dan ServiceSettings.TrustedProxyIPs, lihat Alamat klien di belakang proksi). Jika tidak, setiap permintaan kelihatan datang dari proksi, dan semua orang berkongsi satu had. Perkara yang sama berlaku untuk penapisan IP dan untuk alamat dalam log audit.

Percubaan log masuk dihadkan secara berasingan: Bilangan Percubaan Log Masuk Maksimum (10) mengunci akaun selepas bilangan kata laluan yang gagal tersebut.

Penapisan IP

Konsol Sistem › Konfigurasi Laman › Penapisan IP mengehadkan akses ke pelayan mengikut alamat IP, dengan peraturan benarkan dan tolak (setiap satu ialah alamat atau julat CIDR). Dengan Dayakan Penapisan IP dihidupkan, orang yang alamatnya sepadan dengan peraturan tolak, atau tiada peraturan benarkan apabila terdapat peraturan benarkan, tidak dapat mencapai pelayan. Laman ini menolak peraturan yang akan memblokir alamat anda sendiri. Di belakang proksi, tetapkan alamat klien dahulu (Alamat klien di belakang proksi): jika tidak, setiap permintaan kelihatan datang dari proksi.

Muat naik dan perkongsian fail

Antimatter tidak mengimbas muat naik untuk perisian rosak.

Tetapan privasi

Di Konsol Sistem › Konfigurasi Laman › Pengguna dan Pasukan:

Pengabaian, penyekatan dan permintaan mesej

Dengan Aktifkan pengabaian, penyekatan dan permintaan mesej dihidupkan (lalai), orang boleh mengabaikan dan menyekat antara satu sama lain, dan boleh memilih untuk menerima mesej terus daripada orang yang tidak mereka kenali sebagai permintaan mesej, yang tidak memberi pemberitahuan sehingga diterima. Ini sesuai untuk komuniti awam. Di tempat kerja di mana rakan sekerja mesti sentiasa dapat menghubungi antara satu sama lain, matikan (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): tiada satu pun lagi dikuatkuasakan, tetapi senarai dan pilihan yang dibuat oleh orang disimpan, dan terpakai semula jika anda menghidupkannya semula.

Sesi dan token

• Panjang sesi dan tamat masa tidak aktif: lihat Log masuk dan akaun. Sesi yang lebih singkat bermaksud laptop atau telefon yang hilang kekal log masuk untuk masa yang lebih singkat.
• Dayakan Token Akses Peribadi (ServiceSettings.EnableUserAccessTokens, luar) membolehkan orang mencipta token API; Tempoh Hayat Maksimum Token Akses Peribadi (hari) mengehadkannya. Kedua-duanya berada di Konsol Sistem › Integrasi › Pengurusan Integrasi.
• Untuk melog keluar semua orang sekaligus, contohnya selepas pelanggaran yang disyaki: Batal Semua Sesi di Konsol Sistem › Pengurusan Pengguna › Pengguna.

Sambungan ke perkhidmatan luar

Antimatter tidak menghubungi mana-mana perkhidmatan yang dikendalikan oleh Mattermost, Inc. Ia tidak menghantar telemetri, laporan kerosakan atau semakan kemas kini keselamatan, dan tidak mengambil notis produk. Konfigurasi yang dibawa dari Mattermost yang masih menamakan salah satu perkhidmatan Mattermost (perkhidmatan tolakan, kedai aplikasi, notis atau pelayan STUN untuk panggilan) tidak menyebabkan pelayan menghubungi mereka: alamat-alamat itu diabaikan.

Pelayan dan aplikasi bersambung ke perkhidmatan luar lain hanya untuk ciri yang memakainya, dan kepada perkhidmatan yang anda konfigurasi:

Secara lalai, pelayan enggan menyambung ke alamat peribadi dan gelung balik untuk perkara ini (pratinjau pautan, webhook, aplikasi, sambungan model komuniti), supaya mesej atau integrasi tidak boleh digunakan untuk menjangkau rangkaian dalaman anda. Senaraikan hos dalaman yang boleh dijangkau dalam Benarkan sambungan dalaman tidak dipercayai kepada (ServiceSettings.AllowedUntrustedInternalConnections, dalam Konsol Sistem › Persekitaran › Pembangun); fail compose laman web ini menyenaraikan gifs di sana.

Melaporkan kerentanan

Laporkan masalah keselamatan secara peribadi, seperti yang diterangkan dalam dasar keselamatan Antimatter, bukan dalam isu awam.