Безопасность

Чек-лист для укрепления сервера Antimatter: что открывать, какие лимиты и настройки конфиденциальности проверить, с какими внешними сервисами взаимодействует сервер и как сообщить о проблеме безопасности.

Что открывать

Файл compose сайта также запускает каждый контейнер с no-new-privileges, запускает Antimatter от непривилегированного пользователя на образе distroless, а GIF-сервис — с файловой системой только для чтения. База данных, хранилище и GIF-сервис находятся в сети без доступа в Интернет.

Чек-лист после установки

1. Создайте первую учетную запись администратора до того, как кто-либо сможет получить доступ к серверу (Установка).
2. Предоставляйте Antimatter только по HTTPS и установите URL сайта на адрес https:// (Домен и HTTPS).
3. Обеспечьте, чтобы файлы .env, config.json и TLS-ключи были доступны только для чтения root (или пользователем сервера): chmod 600 .env.
4. Определите, кто может создавать аккаунты. Оставьте Открытый сервер выключенным, если сообщество не является публичным, и включите Требовать подтверждение адреса электронной почты, когда почта заработает (Вход и аккаунты).
5. Включите многофакторную аутентификацию и, как минимум, принудительно применяйте ее для учетных записей администраторов, либо используйте ее в вашем поставщике идентификации.
6. Проверьте внешние соединения ниже, в частности STUN-сервер, который по умолчанию используется для звонков.
7. Перед добавлением подключений к моделям задайте ключ шифрования ИИ (AM_AI_ENCRYPTION_KEY) и храните его копию отдельно от резервных копий базы данных (ИИ).
8. Сделайте резервную копию и протестируйте восстановление (Резервные копии и обновления).
9. Держите образы или пакеты в актуальном состоянии: исправления уязвимостей приходят с новыми версиями.

Ограничение частоты запросов

Сервер может ограничивать количество запросов к API, которые делает каждый клиент. По умолчанию эта функция выключена. В Системная консоль › Окружение › Ограничение скорости:

За прокси-сервером ограничения по адресу работают только в том случае, если сервер знает адрес каждого клиента (ServiceSettings.TrustedProxyIPHeader и ServiceSettings.TrustedProxyIPs, см. Адреса клиентов за прокси). Иначе все запросы выглядят как исходящие от прокси, и все пользователи делят один лимит. То же самое касается фильтрации по IP и адресов в журналах аудита.

Попытки входа ограничиваются отдельно: Максимальное количество попыток входа (10) блокирует аккаунт после такого количества неудачных попыток ввода пароля.

Фильтрация по IP

Системная консоль › Настройки сайта › IP-фильтрация ограничивает доступ к серверу по IP-адресу с помощью правил разрешения и запрета (адрес или диапазон CIDR). Если Включить фильтрацию IP-адресов включено, пользователи, чей адрес соответствует правилу запрета, или которым не соответствует ни одно правило разрешения (если такие правила есть), не могут получить доступ к серверу. Страница отклоняет правила, которые блокируют ваш собственный адрес. Если вы используете прокси, сначала настройте адреса клиентов (Адреса клиентов за прокси), иначе все запросы будут казаться исходящими от прокси.

Загрузка и обмен файлами

Antimatter не сканирует загруженные файлы на наличие вредоносного ПО.

Параметры конфиденциальности

В Системная консоль › Настройки сайта › Пользователи и команды:

Игнорирование, блокировка и запросы на сообщения

Если Включить игнорирование, блокировку и запросы сообщений включено (по умолчанию), пользователи могут игнорировать и блокировать друг друга, а также могут настроить получение личных сообщений от незнакомых людей в виде запросов, которые не отправляют уведомлений до их принятия. Это подходит для публичных сообществ. На рабочем месте, где коллеги должны всегда иметь возможность связаться друг с другом, отключите эту функцию (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): ни одно из этих правил больше не будет применяться, но списки и сделанные пользователем выбор сохранятся и снова вступят в силу, если вы включите функцию обратно.

Сессии и токены

• Длительность сессий и тайм-аут бездействия: см. Вход и учетные записи. Более короткие сессии означают, что украденный ноутбук или телефон останется в состоянии входа меньшее время.
• Включить Персональные токены доступа (ServiceSettings.EnableUserAccessTokens, выключено) позволяет пользователям создавать токены API; Максимальный срок действия персонального токена доступа (дней) ограничивает их срок действия. Обе настройки находятся в Системная консоль › Интеграции › Управление интеграцией.
• Чтобы разом завершить все сеансы, например после предполагаемого нарушения безопасности: Сбросить все сеансы в Системная консоль › Управление пользователями › Пользователи.

Соединения с внешними службами

Antimatter не связывается ни с одной службой, управляемой Mattermost, Inc. Он не отправляет телеметрию, отчеты об ошибках или запросы проверки обновлений безопасности, а также не получает уведомления о продукте. Конфигурация, перенесенная из Mattermost, которая все еще содержит ссылки на службы Mattermost (службы push-уведомлений, маркетплейс приложений, уведомления или STUN-сервер для звонков), не приводит к тому, что сервер будет с ними связываться: эти адреса игнорируются.

Сервер и приложения связываются с другими внешними службами только для тех функций, которые этого требуют, а также с теми службами, которые вы настроили:

По умолчанию сервер отказывается устанавливать соединения с внутренними и loopback-адресами для этих целей (предпросмотр ссылок, вебхуки, приложения, подключения к моделям сообществ), чтобы сообщение или интеграция не могли быть использованы для доступа к вашей внутренней сети. Перечислите внутренние хосты, к которым разрешено подключение, в Разрешить недоверенные внутренние соединения для (ServiceSettings.AllowedUntrustedInternalConnections, в Системная консоль › Окружение › Разработчик); в compose-файле сайта там указан gifs.

Сообщение об уязвимости

Сообщайте о проблемах безопасности конфиденциально, как описано в политике безопасности Antimatter, а не в публичных issues.