Securitate

O listă de verificare pentru întărirea unui server Antimatter: ce să expui, limitele și setările de confidențialitate de verificat, serviciile externe cu care serverul comunică și cum să raportezi o problemă de securitate.

Ce să expui

Fișierul compose al site-ului rulează, de asemenea, fiecare container cu no-new-privileges, rulează Antimatter ca un utilizator neprivilegiat pe o imagine distroless și rulează serviciul GIF cu un sistem de fișiere în mod de doar-lectură. Baza de date, stocarea și serviciul GIF se află pe o rețea fără acces la Internet.

Listă de verificare după instalare

1. Creează primul cont de administrator înainte ca oricine altcineva să poată accesa serverul (Instalare).
2. Servește Antimatter doar prin HTTPS și setează URL-ul site-ului pe adresa https:// (Domeniu și HTTPS).
3. Păstrează .env, config.json și cheile TLS citibile doar de root (sau de utilizatorul serverului): chmod 600 .env.
4. Decideți cine poate crea conturi, lăsați Activați serverul deschis dezactivat, cu excepția cazului în care comunitatea este publică, și activați Necesită verificarea e-mail odată ce e-mailul funcționează (Autentificare și conturi).
5. Activează autentificarea cu factori multipli și impune-o cel puțin pentru conturile de administrator, sau folosește cea a furnizorului tău de identitate.
6. Verifică conexiunile externe de mai jos, în special serverul STUN folosit implicit de Apeluri.
7. Înainte de a adăuga conexiuni la modele, configurați cheia de criptare AI (AM_AI_ENCRYPTION_KEY) și păstrați o copie separată de copiile de rezervă ale bazei de date (AI).
8. Fă o copie de rezervă și testează o restaurare (Copii de rezervă și actualizări).
9. Păstrați imaginile sau pachetele actualizate: corecțiile de securitate ajung odată cu versiunile noi.

Limitarea ratei

Serverul poate limita numărul de cereri API pe care fiecare client le face. Este dezactivat implicit. În Consola de sistem › Mediu › Evaluați setările de limită:

În spatele unui proxy, limitarea după adresă funcționează doar dacă serverul cunoaște adresa fiecărui client (ServiceSettings.TrustedProxyIPHeader și ServiceSettings.TrustedProxyIPs, vezi Adresele clientului în spatele unui proxy). În caz contrar, toate cererile par a veni de la proxy, iar toți utilizatorii împart aceeași limită. Același lucru se aplică și filtrării IP și adreselor din jurnalele de audit.

Încercările de autentificare sunt limitate separat: Încercări de conectare maximă (10) blochează un cont după atât de multe parole eșuate.

Filtrare IP

Consola de sistem › Configurația site-ului › Filtrare IP limitează accesul la serverul prin adresa IP, cu reguli de permitere și respingere (o adresă sau o gamă CIDR fiecare). Cu Activează filtrarea IP activat, persoanele ale căror adrese se potrivesc cu o regulă de respingere, sau nu au nicio regulă de permitere atunci când există reguli de permitere, nu pot ajunge la server. Pagina refuză regulile care ar bloca propria dvs. adresă. În spatele unui proxy, configurați mai întâi adresele client (Adresele client în spatele unui proxy): altfel, fiecare cerere pare să vină de la proxy.

Încărcări și partajare de fișiere

Antimatter nu scanează încărcările în căutarea de malware.

Setări de confidențialitate

În Consola de sistem › Configurația site-ului › Utilizatori și echipe:

Ignorare, blocare și cereri de mesaj

Cu Activați ignorarea, blocarea și cererile de mesaj activat (valoare implicită), utilizatorii pot ignora și bloca unii pe alții și pot alege să primească mesajele directe de la persoane necunoscute sub forma cererilor de mesaj, care nu îi notifică până nu sunt acceptate. Acest lucru este potrivit pentru comunitățile publice. Într-un mediu de lucru în care colegii trebuie să poată fi contactați în orice moment, dezactivați această opțiune (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): niciuna dintre reguli nu mai este aplicată, dar listele și opțiunile alese de utilizatori sunt păstrate și se reaplică dacă reactivați funcția.

Sesiuni și tokeni

• Durata sesiunilor și timeout-ul de inactivitate: consultați Autentificare și conturi. Sesiunile mai scurte înseamnă că un laptop sau telefon pierdut rămâne autentificat pentru un timp mai scurt.
• Activați jetoanele de acces personal (ServiceSettings.EnableUserAccessTokens, dezactivat) permite utilizatorilor să creeze jetoane API; Durata maximă de validitate a tokenului de acces personal (zile) le limitează. Ambele se găsesc în Consola de sistem › Integrări › Managementul integrării.
• Pentru a deconecta toți utilizatorii simultan, de exemplu după o încălcare de securitate suspectată: Revocați toate sesiunile din Consola de sistem › Gestionarea utilizatorilor › Utilizatori.

Conexiuni la servicii externe

Antimatter nu contactează niciun serviciu operat de Mattermost, Inc. Nu trimite telemetrie, rapoarte de eroare sau verificări de actualizări de securitate și nu preia nicio notificare de produs. O configurație preluată din Mattermost care menționează încă unul dintre serviciile Mattermost (serviciile sale de push, magazinul său de aplicații, notificările sale sau serverul STUN pentru apeluri) nu face ca serverul să le contacteze: acele adrese sunt ignorate.

Serverul și aplicațiile se conectează la alte servicii externe doar pentru funcțiile care le necesită și la serviciile pe care le configurați:

În mod implicit, serverul refuză să se conecteze la adrese private și de loopback pentru aceste elemente (previzualizări de link-uri, webhook-uri, aplicații, conexiuni la modele ale comunității), astfel încât un mesaj sau o integrare nu poate fi folosit pentru a accesa rețeaua internă. Enumerați gazdele interne la care este permisă accesul în Permiteți conexiunile interne de neîncrederi la (ServiceSettings.AllowedUntrustedInternalConnections, în Consola de sistem › Mediu › Dezvoltator); fișierul de compunere al site-ului listează gifs aici.

Raportarea unei vulnerabilități

Raportați problemele de securitate în mod privat, așa cum este explicat în política de securitate Antimatter, nu în probleme publice.