Bezpieczeństwo

Checklist wzmacniania serwera Antimatter: co udostępnić, jakie limity i ustawienia prywatności należy sprawdzić, z jakich zewnętrznych usług korzysta serwer oraz jak zgłosić problem bezpieczeństwa.

Co udostępnić

Plik compose witryny uruchamia również każdy kontener z opcją no-new-privileges, uruchamia Antimatter jako użytkownika bez przywilejów na obrazie distroless oraz uruchamia usługę GIF z tylko do odczytu systemem plików. Baza danych, magazyn i usługa GIF znajdują się w sieci bez dostępu do Internetu.

Checklist po instalacji

1. Utwórz pierwsze konto administratora, zanim ktokolwiek inny uzyska dostęp do serwera (Instalacja).
2. Serwuj Antimatter wyłącznie przez HTTPS i ustaw adres witryny na adres https:// (Domena i HTTPS).
3. Utrzymuj pliki .env, config.json i klucze TLS jako czytelne tylko dla roota (lub użytkownika serwera): chmod 600 .env.
4. Określ, kto może tworzyć konta, i wyłącz Włącz Open Server, chyba że społeczność jest publiczna. Włącz Wymagaj weryfikacji e-mail, gdy tylko konfiguracja poczty e-mail będzie działać (Logowanie i konta).
5. Włącz uwierzytelnianie wieloskładnikowe i wymuś je co najmniej dla kont administratorów, lub użyj tego dostarczanego przez dostawcę tożsamości.
6. Przeglądaj poniższe połączenia zewnętrzne, w szczególności serwer STUN, którego domyślnie używają Rozmowy.
7. Zanim dodasz połączenia z modelami, ustaw klucz szyfrowania AI (AM_AI_ENCRYPTION_KEY) i przechowuj jego kopię osobno od kopii zapasowych bazy danych (AI).
8. Twórz kopie zapasowe i testuj przywracanie (Kopie zapasowe i aktualizacje).
9. Utrzymuj obrazy lub pakiety w aktualności: poprawki bezpieczeństwa pojawiają się w nowych wersjach.

Limitowanie żądań

Serwer może ograniczać liczbę żądań API wysyłanych przez każdego klienta. Funkcja jest domyślnie wyłączona. W Konsola systemu › Środowisko › Ograniczenia Prędkości:

Za proxy ograniczenia według adresu działają tylko wtedy, gdy serwer zna adres każdego klienta (ServiceSettings.TrustedProxyIPHeader i ServiceSettings.TrustedProxyIPs, zob. Adresy klientów za proxy). W przeciwnym razie każde żądanie wydaje się pochodzić z proxy, a wszyscy dzielą jeden limit. Dotyczy to również filtrowania IP oraz adresów w dziennikach audytu.

Próby logowania są ograniczane osobno: Maksymalna liczba prób logowania (10) blokuje konto po tylu nieudanych hasłach.

Filtrowanie IP

Konsola systemu › Konfiguracja strony › Filtrowanie adresów IP umożliwia ograniczanie dostępu do serwera na podstawie adresu IP za pomocą reguł zezwalających i blokujących (każda reguła dotyczy pojedynczego adresu lub zakresu CIDR). Gdy Włącz filtrowanie adresów IP jest włączone, osoby, których adres pasuje do reguły blokującej, lub które nie pasują do żadnej reguły zezwalającej (jeśli takie istnieją), nie mogą uzyskać dostępu do serwera. Strona odrzuca reguły, które zablokowałyby Twój własny adres. W przypadku pracy za proxy najpierw skonfiguruj adresy klientów (Adresy klientów za proxy); w przeciwnym razie każde żądanie będzie wydawać się przychodzące z proxy.

Przesyłanie i udostępnianie plików

Antimatter nie skanuje przesyłanych plików pod kątem złośliwego oprogramowania.

Ustawienia prywatności

W Konsola systemu › Konfiguracja strony › Użytkownicy i zespoły:

Ignorowanie, blokowanie i żądania wiadomości

Gdy Włącz ignorowanie, blokowanie i prośby o wiadomość jest włączone (ustawienie domyślne), użytkownicy mogą ignorować i blokować innych oraz wybrać, aby otrzymywać wiadomości bezpośrednie od nieznanych osób jako prośby o wiadomość, które nie generują powiadomień, dopóki nie zostaną zaakceptowane. Jest to odpowiednie dla publicznych społeczności. W miejscu pracy, gdzie współpracownicy muszą zawsze mieć możliwość nawiązania kontaktu, wyłącz tę opcję (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): żadne z tych mechanizmów nie będzie już egzekwowane, ale listy i wybory dokonane przez użytkowników zostaną zachowane i będą ponownie obowiązywać po ponownym włączeniu opcji.

Sesje i tokeny

• Czas trwania sesji i limit bezczynności: zobacz Logowanie i konta. Krótsze sesje oznaczają, że zgubiony laptop lub telefon pozostanie zalogowany przez krótszy czas.
• Włącz osobiste tokeny dostępu (ServiceSettings.EnableUserAccessTokens, domyślnie wyłączone) pozwala użytkownikom tworzyć tokeny API, a Maksymalny okres ważności osobistego tokenu dostępu (dni) ogranicza ich czas ważności. Oba ustawienia znajdują się w Konsola systemu › Integracje › Zarządzanie Integracjami.
• Aby wylogować wszystkich naraz, na przykład po podejrzeniu naruszenia bezpieczeństwa: Odwołaj wszystkie sesje w Konsola systemu › Zarządzanie użytkownikiem › Użytkownicy.

Połączenia z zewnętrznymi usługami

Antimatter nie kontaktuje się z żadną usługą prowadzoną przez Mattermost, Inc. Nie wysyła telemetrii, raportów o awariach ani nie sprawdza aktualizacji bezpieczeństwa, a także nie pobiera powiadomień produktowych. Konfiguracja przeniesiona z Mattermosta, która nadal odwołuje się do jednej z usług Mattermosta (usługi push, marketplace aplikacji, powiadomienia lub serwer STUN do rozmów), nie powoduje, aby serwer nawiązywał z nimi kontakt: te adresy są ignorowane.

Serwer i aplikacje łączą się z innymi zewnętrznymi usługami tylko w zakresie funkcji, które tego wymagają, oraz z usługami, które skonfigurujesz:

Domyślnie serwer odmawia nawiązywania połączeń z adresami prywatnymi i pętli dla tych elementów (podglądy linków, webhooks, aplikacje, połączenia z modelami społeczności), dzięki czemu wiadomość lub integracja nie może zostać wykorzystana do uzyskania dostępu do wewnętrznej sieci. W polu Pozwól na niezaufane połączenia wewnętrzne do (ServiceSettings.AllowedUntrustedInternalConnections, w Konsola systemu › Środowisko › Programista) wymień wewnętrzne hosty, do których może nawiązywać połączenia; w pliku compose witryny znajduje się tam wpis gifs.

Zgłaszanie podatności

Zgłaszaj problemy bezpieczeństwa prywatnie, zgodnie z instrukcjami w polityce bezpieczeństwa Antimatter, a nie w publicznych zgłoszeniach (issues).