Antimatterபாதுகாப்பு
Antimatter சர்வரை பாதுகாப்பாக இயக்குவதற்கான சோதனைப் பட்டியல்: எதை வெளியிட வேண்டும், சரிபார்க்க வேண்டிய வரம்புகள் மற்றும் தனியுரிமை அமைப்புகள், சர்வர் தொடர்பு கொள்ளும் வெளி சேவைகள், மற்றும் பாதுகாப்பு பிரச்சினையை எப்படி அறிவிப்பது.
எதை வெளியிட வேண்டும்
| போர்ட் | Service | வெளிப்படுத்தல் |
|---|---|---|
| 443/tcp, 443/udp, 80/tcp | உங்கள் HTTPS ப்ராக்ஸி (Caddy அல்லது nginx) | பொது: இதுதான் Antimatter-ஐ மக்கள் அணுகும் வழி. |
| 8443/udp மற்றும் 8443/tcp | அழைப்பு ஊடகம் | உங்கள் நெட்வொர்க்கிற்கு வெளியே இருந்து அழைப்புகளைப் பயன்படுத்தினால், பொது. |
| 8065/tcp | Antimatter இன் வலை சர்வர் | ப்ராக்ஸிக்கு மட்டுமே: இதை 127.0.0.1 இல் (HTTP_PORT=127.0.0.1:8065) வெளியிடவும். |
| 8067/tcp | அளவீடுகள் | செயல்படுத்தப்பட்டால், தனியார் நெட்வொர்க்கு மட்டுமே. உள்நுழைவு இல்லை. |
| 8074/tcp மற்றும் udp | கிளஸ்டர் குசுசு (gossip) | கிளஸ்டர் நோட்களுக்கு இடையே மட்டுமே. |
| 5432, 9000, 8080, 8066 | PostgreSQL, கோப்பு சேமிப்பு, GIF சேவை, புஷ் ப்ராக்ஸி | எப்போதும் இல்லை. compose கோப்புகள் அவற்றை வெளியிடப்படாத போர்ட்களுடன் உள்நெட்வொர்க்குகளில் வைக்கின்றன. |
இதன் compose கோப்பு ஒவ்வொரு கண்டெய்னரையும் no-new-privileges உடன் இயக்குகிறது, Antimatter-ஐ distroless இமேஜில் ஒரு உரிமை இல்லாத பயனராக இயக்குகிறது, மற்றும் GIF சேவையை படிக்க மட்டுமே உரிய கோப்பு அமைப்பில் இயக்குகிறது. தரவுத்தளம், சேமிப்பு மற்றும் GIF சேவை இணைய அணுகல் இல்லாத நெட்வொர்க்கில் அமைந்துள்ளன.
நிறுவல் பின் சோதனைப் பட்டியல்
- மற்றவர்கள் சர்வரை அணுகும் முன் முதல் நிர்வாகி கணக்கை உருவாக்கவும் (நிறுவல்).
- Antimatter-ஐ HTTPS மூலம் மட்டுமே வழங்கவும், மற்றும் தள URL-ஐ
https://முகவரியாக அமைக்கவும் (டொமைன் மற்றும் HTTPS). .env,config.jsonமற்றும் TLS விசைகளை root (அல்லது சர்வரின் பயனர்) மட்டுமே படிக்க முடியும் என்பதை உறுதி செய்யவும்:chmod 600 .env.- எந்தவொருவரும் கணக்குகளை உருவாக்க முடியும் என்பதைத் தீர்மானிக்கவும், சமூகம் பொதுவாக இல்லையெனில் திறந்த சரவரை இயக்கு விதை அணைத்திருக்கவும், மின்னஞ்சல் வேலை செய்யத் தொடங்கிய பிறகு மின்னஞ்சல் சரிபார்ப்பைக் கோரு விதை இயக்கவும் (உள்நுழைவு மற்றும் கணக்குகள்).
- பல்தர அங்கீகாரத்தை (multi-factor authentication) இயக்கவும், குறைந்தது நிர்வாகிகளின் கணக்குகளுக்கு இதை கட்டாயமாக்கவும், அல்லது உங்கள் அங்கீகார வழங்குநரின்தைப் பயன்படுத்தவும்.
- கீழே உள்ள வெளி இணைப்புகளை சரிபார்க்கவும், குறிப்பாக அழைப்புகள் (Calls) இயல்பாகப் பயன்படுத்தும் STUN சர்வரை.
- மாதிரி இணைப்புகளைச் சேர்க்கும் முன், AI மறைவு விசையை (
AM_AI_ENCRYPTION_KEY) அமைத்து, தரவுத்தளப் பிடிப்பு நகல்களிலிருந்து தனித்து அதன் நகலை வைத்திருங்கள் (AI). - பின்புலச் சேமிப்பை (backup) எடுக்கவும், மற்றும் மீட்பை (restore) சோதிக்கவும் (பின்புலச் சேமிப்புகள் மற்றும் மேம்பாடுகள்).
- படங்களை அல்லது தொகுப்புகளைப் புதுப்பித்திருங்கள்: பாதுகாப்பு சரிசெய்தல்கள் புதிய பதிப்புகளுடன் வருகின்றன.
விகிதக் கட்டுப்பாடு
ஒவ்வொரு கிளையண்டும் எத்தனை API கோரிக்கைகளைச் செய்யலாம் என்பதை சரவர் வரம்பிட முடியும். இது இயல்பாக அணைத்திருக்கும். அமைப்பு கன்சோல் › சூழல் › விகித வரம்பு இல்:
| அமைப்பு | விசை | இயல்பு |
|---|---|---|
| விகித வரம்பை இயக்கு | RateLimitSettings.Enable | அணை |
| வினாடிக்கு அதிகபட்ச வினவல்கள் | RateLimitSettings.PerSec | 10 |
| அதிகபட்ச வெடிப்பு அளவு | RateLimitSettings.MaxBurst | 100 |
| நினைவக சேமிப்பு அளவு | RateLimitSettings.MemoryStoreSize | 10000 கிளையன்கள் கண்காணிக்கப்படுகின்றன |
| தொலைவில் உள்ள முகவரியால் விகித வரம்பை மாற்று | RateLimitSettings.VaryByRemoteAddr | இயக்கப்பட்டது |
| பயனரால் விகித வரம்பை மாற்று | RateLimitSettings.VaryByUser | அணை |
| HTTP தலைப்பால் விகித வரம்பை மாற்று | RateLimitSettings.VaryByHeader | வெற்று |
ஒரு proxy ஐப் பின்னால், முகவரி அடிப்படையிலான கட்டுப்பாடுகள் சேவையகம் ஒவ்வொரு கிளையனின் முகவரியையும் அறிந்தால் மட்டுமே வேலை செய்யும் (ServiceSettings.TrustedProxyIPHeader மற்றும் ServiceSettings.TrustedProxyIPs, proxy ஐப் பின்னால் உள்ள கிளையன் முகவரிகள் காண்க). இல்லையெனில், அனைத்து கோரிக்கைகளும் proxy ஐ இருந்து வந்ததாகத் தோன்றும், அனைவரும் ஒரே ஒரு கட்டுப்பாட்டைப் பகிர்ந்து கொள்வார்கள். IP வடிகட்டல் மற்றும் audit logs இல் உள்ள முகவரிகளுக்கும் இதே விதி பொருந்தும்.
உள்நுழைவு முயற்சிகள் தனித்தனியாகக் கட்டுப்படுத்தப்படுகின்றன: அதிகபட்ச உள்நுழைவு முயற்சிகள் (10) – அந்த எண்ணிக்கையிலான தோல்வியடைந்த கடவுச்சொற்களுக்குப் பிறகு கணக்கு பூட்டப்படும்.
IP வடிகட்டல்
அமைப்பு கன்சோல் › தள அமைப்பு › IP வடிகட்டல் என்பது IP முகவரி அடிப்படையில் சரவரின் அணுகலை வரம்பிடுகிறது; அனுமதி மற்றும் தடை விதிகள் (ஒவ்வொன்றும் ஒரு முகவரி அல்லது CIDR வரம்பு) மூலம். IP வடிகட்டலை இயக்கு விதை இயக்கப்பட்டால், தடை விதியுடன் பொருந்தும் அல்லது அனுமதி விதிகள் இருந்தால் அவற்றுடன் பொருந்தாத மக்கள் சரவரை அடைய முடியாது. உங்கள் சொந்த முகவரியை தடுக்கும் விதிகளைப் பக்கம் நிராகரிக்கும். புரொக்ஸிக்குப் பின்னால், முதலில் கிளையன்ட் முகவரிகளை அமைக்கவும் (புரொக்ஸிக்குப் பின்னான கிளையன்ட் முகவரிகள்): இல்லையெனில் ஒவ்வொரு கோரிக்கையும் புரொக்ஸியிலிருந்து வந்தது போல் தோன்றும்.
பதிவேற்றங்கள் மற்றும் கோப்புப் பகிர்வு
| அமைப்பு | இடம் | இயல்பு |
|---|---|---|
அதிகபட்ச கோப்பு அளவு (FileSettings.MaxFileSize) | Environment › File Storage | 100 MB. proxy ஐயின் கோரிக்கை அளவுக் கட்டுப்பாட்டை இதற்குச் சமமாக அல்லது அதிகமாக வைத்திருங்கள். |
அதிகபட்ச Payload அளவு (பைட்டுகள்) (ServiceSettings.MaximumPayloadSizeBytes) | Environment › Web Server | 300000: கோப்புப் பதிவேற்றங்களுக்குப் பிறகு மிகப்பெரிய API கோரிக்கை |
கோப்பு பகிர்தலை அனுமதி (FileSettings.EnableFileAttachments) | Site Configuration › File Sharing and Downloads | இயக்கப்பட்டது |
| மொபைலில் கோப்பு பதிவேற்றங்களை அனுமதி, மொபைலில் கோப்பு பதிவிறக்கத்தை அனுமதி | Site Configuration › File Sharing and Downloads | இயக்கப்பட்டது |
பொது கோப்பு இணைப்புகளை இயக்கு (FileSettings.EnablePublicLink) | Site Configuration › Public Links | அணைக்கப்பட்டது: இயக்கப்பட்டால், உள்நுழைவது இல்லாமல் ஒரு கோப்பை இணைப்பு மூலம் பகிர முடியும் |
SVG-களை இயக்கு (ServiceSettings.EnableSVGs) | Site Configuration › Posts | புதிய சேவையகத்தில் அணைக்கப்பட்டது: இயக்கப்பட்டால், SVG படங்கள் நேரடியாகக் காட்டப்படும் |
Antimatter பதிவேற்றங்களை மால்வேர் சோதனைக்கு உட்படுத்தாது.
தனியுரிமை அமைப்புகள்
அமைப்பு கன்சோல் › தள அமைப்புகள் › பயனர்கள் மற்றும் குழுக்கள் இல்:
| அமைப்பு | விசை | இயல்பு | இது என்ன செய்கிறது |
|---|---|---|---|
| மின்னஞ்சல் முகவரியை காட்டு | PrivacySettings.ShowEmailAddress | இயக்கப்பட்டது | அணைக்கப்பட்டால், உறுப்பினர்களின் மின்னஞ்சல் முகவரிகள் நிர்வாகிகளுக்கு மட்டுமே தெரியும். பொது சேவையாளிகளில் இதை அணைக்கவும். |
| முழு பெயரை காட்டு | PrivacySettings.ShowFullName | இயக்கப்பட்டது | அணைக்கப்பட்டால், முழு பெயர்கள் மறைக்கப்பட்டு, அதற்குப் பதிலாக பயனர் பெயர்கள் காட்டப்படும். |
| புறக்கணிப்பு, தடை மற்றும் செய்தி கோரிக்கைகளை இயக்கு | PrivacySettings.EnableUserBlocking | இயக்கப்பட்டது | கீழே பார்க்கவும். |
| பயனர்கள் நேரடி செய்தி சேனல்களைத் திறக்க அனுமதிக்க | TeamSettings.RestrictDirectMessage | Antimatter சேவையாளியில் உள்ள எந்தவொரு பயனரையும் | அல்லது குழுவின் எந்தவொரு உறுப்பினரும்: ஒரு சமூகத்தைப் பகிர்ந்து கொள்ளும் மக்கள் மட்டுமே. |
புறக்கணிப்பு, தடை மற்றும் செய்தி கோரிக்கைகள்
புறக்கணிப்பு, தடை மற்றும் செய்தி கோரிக்கைகளை இயக்கு இயக்கப்பட்டிருந்தால் (இயல்புநிலை), நபர்கள் ஒன்றையொன்று புறக்கணித்து, தடைசெய்யலாம். அறிந்திருக்காத நபர்களிடமிருந்து நேரடி செய்திகளை, ஏற்றுக்கொள்ளப்படும் வரை அறிவிப்பு இல்லாமல், செய்தி கோரிக்கைகளாகப் பெற தேர்ந்தெடுக்கலாம். இது பொது சமூகங்களுக்கு பொருத்தமானது. பணியிடங்களில், சகப்பணியாளர்கள் எப்போதும் ஒன்றையொன்று அடைய வேண்டும் என்றால், இதை அணைக்கவும் (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): இது எதுவும் இனி நடைமுறைப்படுத்தப்படாது, ஆனால் நபர்கள் செய்த பட்டியல்கள் மற்றும் தேர்வுகள் வைத்திருக்கப்படுகின்றன, மீண்டும் இயக்கினால் அவை மீண்டும் பொருந்தும்.
அமர்வுகள் மற்றும் டோக்கன்கள்
- அமர்வு நீளங்கள் மற்றும் ஐடிள் டைமவுட்: உள்நுழைவு மற்றும் கணக்குகள் ஐப் பார்க்கவும். குறுகிய அமர்வுகள், இழக்கப்பட்ட லேப்டாப் அல்லது தொலைபேசி குறைந்த நேரம் உள்நுழைந்த நிலையில் இருக்கும் என்பதைக் குறிக்கிறது.
- தனிப்பட்ட அணுகல் டோகன்களை இயக்கு (
ServiceSettings.EnableUserAccessTokens, அணைத்தது) மக்கள் API டோகன்களை உருவாக்க அனுமதிக்கிறது; அதிகபட்ச தனிப்பட்ட அணுகல் டோகன் ஆயுள் (நாட்கள்) அவற்றை வரம்பிடுகிறது. இரண்டும் அமைப்பு கன்சோல் › இணைப்புகள் › இணைப்பு மேலாண்மை இல் உள்ளன. - உதாரணமாக, சந்தேகிக்கப்படும் துப்புரவுக்குப் பிறகு அனைவரையும் ஒருசேர உள்நுழைவிலிருந்து வெளியேற்ற: அமைப்பு கன்சோல் › பயனர் மேலாண்மை › பயனர்கள் இல் அனைத்து அமர்வுகளையும் ரத்து செய்.
வெளி சேவைகளுடன் இணைப்புகள்
Antimatter, Mattermost, Inc. இயக்கும் எந்த சேவையையும் தொடர்பு கொள்ளாது. இது டெலிமெட்ரி, கிராஷ் அறிக்கைகள் அல்லது பாதுகாப்பு புதுப்பிப்பு சோதனைகளை அனுப்பாது, மற்றும் தயாரிப்பு அறிவிப்புகளைப் பெறாது. Mattermost இலிருந்து கொண்டு வரப்பட்ட, Mattermost இன் சேவைகளை (அதன் தள்ளு சேவைகள், அதன் செயலி சந்தை, அதன் அறிவிப்புகள் அல்லது அழைப்புகளுக்கான அதன் STUN சேவையாளி) குறிப்பிடுகின்ற ஒரு அமைப்பு, சேவையாளியை அவற்றைத் தொடர்பு கொள்ளச் செய்யாது: அந்த முகவரிகள் புறக்கணிக்கப்படுகின்றன.
சேவையாளியும் செயலிகளும், அவை தேவைப்படும் அம்சங்களுக்காகவும், நீங்கள் அமைக்கும் சேவைகளுக்காகவும் மட்டுமே மற்ற வெளி சேவைகளுடன் இணைகின்றன:
| அம்சம் | தொடர்பு | இயல்புநிலையில் |
|---|---|---|
| அழைப்புகள்: STUN மூலம் பொது முகவரிகளைக் கண்டறிதல். சேவையாளியும் அழைப்பில் சேரும் ஒவ்வொரு நபரும் ஒரு கோரிக்கையை அனுப்புகிறார்கள், இது STUN சேவையாளியில் அவர்களின் IP முகவரியையும் போர்டையும் காட்டுகிறது. | Cloudflare இன் பொது STUN சேவையாளி, stun.cloudflare.com | on, while the Calls app is enabled. To change it, see Calls. |
இணைப்பு முன்னோட்டங்கள்: செய்திகளில் இணைக்கப்பட்ட பக்கங்களை சரவர் பெறுகிறது (இணையதள இணைப்பு முன்னோட்டங்களை இயக்கு, ServiceSettings.EnableLinkPreviews) | the websites people link to | on. Turn off with AM_SERVICESETTINGS_ENABLELINKPREVIEWS=false. |
| Push notifications to the mobile app | your own push proxy (Push notifications) | off until you set its address |
The remote app marketplace (PluginSettings.EnableRemoteMarketplace) | நீங்கள் அமைத்த மார்கெட்பிளேஸ் URL | off, and no address |
| your SMTP server | the default server is localhost | |
| மாதிரி இணைப்புகள் (மறுஎழுத்து, சுருக்கங்கள், மொழிபெயர்ப்பு, படித்துக் கேட்பது மற்றும் செயலிகள்), சமூக நிர்வாகிகளின் சொந்த மாதிரி இணைப்புகள் | அமைப்பு கன்சோல் › AI › மாதிரி இணைப்புகள் அல்லது ஒரு சமூகத்தின் அமைப்புகளில் (AI) சேர்க்கப்பட்ட AI வழங்குநர்கள் | யாரும் ஒன்றைச் சேர்க்கும் வரை எதுவும் இல்லை |
| ஒற்றை உள்நுழைவு, Agents செயலியின் AI சேவைகள், குரல்-இருந்து-எழுத்து மற்றும் மொழிபெயர்ப்பு, வெளியேறும் வெப்ஹூக்கள், மற்றும் மெயில், நாள்காட்டி, GitHub, GitLab அல்லது Jira போன்ற செயலிகள் | the services you configure | off until you configure them |
இவற்றுக்காக (இணைப்பு முன்னோட்டங்கள், வெப்ஹூக்கள், செயலிகள், சமூக மாதிரி இணைப்புகள்) தனியார் மற்றும் லூப்பேக் முகவரிகளுடன் இணைவதை சேவையகம் இயல்பாக மறுக்கிறது; இதனால் ஒரு செய்தி அல்லது ஒரு இணைப்பு உங்கள் உள் நெட்வொர்க்கை அடைய முடியாது. அது அடையக்கூடிய உள் ஹோஸ்ட்களை அந்நம்பிக்கையான உள்ளூர் இணைப்புகளை அனுமதிக்க (ServiceSettings.AllowedUntrustedInternalConnections, அமைப்பு கன்சோல் › சூழல் › புரவியாளர்) பட்டியலில் பட்டியலிடவும்; தளத்தின் compose கோப்பு gifs ஐ அங்கு பட்டியலிடுகிறது.
Reporting a vulnerability
Report security problems privately, as explained in the Antimatter security policy, not in public issues.