Segurança

Uma lista de verificação para endurecer um servidor Antimatter: o que expor, os limites e definições de privacidade a rever, os serviços externos com os quais o servidor se comunica e como reportar um problema de segurança.

O que expor

O ficheiro compose do site também executa todos os contentores com no-new-privileges, executa o Antimatter como um utilizador sem privilégios numa imagem distroless e executa o serviço GIF com um sistema de ficheiros apenas de leitura. A base de dados, o armazenamento e o serviço GIF ficam numa rede sem acesso à Internet.

Lista de verificação após a instalação

1. Crie a primeira conta de administrador antes de qualquer outra pessoa poder aceder ao servidor (Instalação).
2. Sirva o Antimatter apenas através de HTTPS e defina o URL do site para o endereço https:// (Domínio e HTTPS).
3. Mantenha .env, config.json e as chaves TLS legíveis apenas por root (ou pelo utilizador do servidor): chmod 600 .env.
4. Decida quem pode criar contas, mantenha Ativar servidor aberto desativado, a menos que a comunidade seja pública, e ative Exigir verificação de e-mail assim que o e-mail estiver a funcionar (Início de sessão e contas).
5. Ative a autenticação de dois fatores e exija-a, pelo menos, para as contas dos administradores, ou utilize a do seu prestador de identidade.
6. Revise as ligações externas abaixo, em particular o servidor STUN que as Chamadas utilizam por omissão.
7. Antes de adicionar ligações de modelos, defina a chave de encriptação da IA (AM_AI_ENCRYPTION_KEY) e guarde uma cópia à parte dos backups da base de dados (IA).
8. Faça cópias de segurança e teste uma restauração (Cópia de segurança e atualizações).
9. Mantenha as imagens ou os pacotes atualizados: as correções de segurança chegam com as novas versões.

Limitação de taxa

O servidor pode limitar o número de pedidos de API que cada cliente faz. Esta opção está desativada por omissão. Em Consola do sistema › Ambiente › Limitação de taxa:

Atrás de um proxy, os limites por endereço só funcionam se o servidor conhecer o endereço de cada cliente (ServiceSettings.TrustedProxyIPHeader e ServiceSettings.TrustedProxyIPs, ver Endereços de clientes atrás de um proxy). Caso contrário, todos os pedidos parecem vir do proxy, e todos partilham o mesmo limite. O mesmo se aplica à filtragem por IP e aos endereços nos registos de auditoria.

As tentativas de início de sessão são limitadas separadamente: Número máximo de tentativas de início de sessão (10) bloqueia uma conta após esse número de palavras-passe incorretas.

Filtragem por IP

Consola do sistema › Configuração do site › Filtragem de IP limita o acesso ao servidor por endereço IP, com regras de permissão e de bloqueio (cada uma com um endereço ou um intervalo CIDR). Com Ativar filtragem de IP ativado, as pessoas cujo endereço corresponde a uma regra de bloqueio, ou que não correspondem a nenhuma regra de permissão quando existem regras de permissão, não conseguem aceder ao servidor. A página recusa regras que bloqueiem o seu próprio endereço. Atrás de um proxy, configure primeiro os endereços dos clientes (Endereços de clientes atrás de um proxy): caso contrário, todos os pedidos parecem vir do proxy.

Carregamentos e partilha de ficheiros

O Antimatter não analisa os ficheiros carregados em busca de malware.

Definições de privacidade

Em Consola do sistema › Configuração do site › Utilizadores e equipas:

Ignorar, bloquear e pedidos de mensagem

Com Ativar ignorar, bloquear e pedidos de mensagem ligado (o predefinido), as pessoas podem ignorar e bloquear umas às outras, e podem escolher receber mensagens diretas de pessoas que não conhecem como pedidos de mensagem, que não as notificam até serem aceites. Isto é adequado para comunidades públicas. Num local de trabalho onde os colegas devem poder sempre contactar-se, desligue esta opção (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): nada disto é aplicado, mas as listas e as escolhas feitas pelas pessoas são mantidas e voltam a ser aplicadas se a ligar novamente.

Sessões e tokens

• Duração das sessões e tempo limite de inatividade: veja Início de sessão e contas. Sessões mais curtas significam que um portátil ou telemóvel perdido fica com sessão iniciada por menos tempo.
• Ativar fichas de acesso pessoal (ServiceSettings.EnableUserAccessTokens, desativado) permite às pessoas criar tokens de API; Duração máxima de validade do token de acesso pessoal (dias) limita-os. Ambos estão em Consola do sistema › Integrações › Gestão de integrações.
• Para terminar todas as sessões de uma vez, por exemplo após uma violação suspeita: Revogar todas as sessões em Consola do sistema › Gestão de utilizadores › Utilizadores.

Ligações a serviços externos

O Antimatter não contacta nenhum serviço operado pela Mattermost, Inc. Não envia telemetria, relatórios de falhas ou verificações de atualizações de segurança, nem obtém avisos de produto. Uma configuração trazida do Mattermost que ainda nomeie um dos serviços da Mattermost (os seus serviços de notificações push, a sua loja de aplicações, os seus avisos ou o seu servidor STUN para chamadas) não faz com que o servidor os contacte: esses endereços são ignorados.

O servidor e as aplicações ligam-se a outros serviços externos apenas para as funcionalidades que os necessitam, e aos serviços que configurar:

Por predefinição, o servidor recusa-se a ligar a endereços privados e de loopback para estes (pré-visualizações de ligações, webhooks, aplicações, ligações de modelos da comunidade), pelo que uma mensagem ou uma integração não pode ser usada para aceder à sua rede interna. Liste os hosts internos a que pode aceder em Permitir ligações internas não fiáveis a (ServiceSettings.AllowedUntrustedInternalConnections, em Consola do sistema › Ambiente › Desenvolvedor); o ficheiro compose do site lista gifs aí.

Reportar uma vulnerabilidade

Reporte problemas de segurança em privado, conforme explicado na política de segurança do Antimatter, e não em problemas públicos.