Güvenlik

Bir Antimatter sunucusunu güçlendirmek için bir kontrol listesi: nelerin açılacağı, gözden geçirilmesi gereken sınırlar ve gizlilik ayarları, sunucunun iletişim kurduğu dış hizmetler ve bir güvenlik sorununun nasıl bildirileceği.

Nelerin açılacağı

Sitein compose dosyası ayrıca her konteyneri no-new-privileges ile çalıştırır, Antimatter'ı distroless bir görüntü üzerinde ayrıcalıksız bir kullanıcıyla çalıştırır ve GIF hizmetini salt okunur bir dosya sistemiyle çalıştırır. Veritabanı, depolama ve GIF hizmeti, İnternet erişimi olmayan bir ağda bulunur.

Kurulumdan sonra kontrol listesi

1. Sunucuya başka birinin erişmesinden önce ilk yönetici hesabını oluşturun (Kurulum).
2. Antimatter'ı yalnızca HTTPS üzerinden sunun ve site URL'ini https:// adresine ayarlayın (Alan adı ve HTTPS).
3. .env, config.json ve TLS anahtarlarını yalnızca root (veya sunucunun kullanıcısı) tarafından okunabilir tutun: chmod 600 .env.
4. Hesap oluşturabilecek kişileri belirleyin, topluluk herkese açık olmadıkça Açık sunucu kullanılsın seçeneğini kapalı bırakın ve e-posta çalışmaya başladığında E-posta adresinin doğrulanması istensin seçeneğini açın (Oturum açma ve hesaplar).
5. Çok faktörlü kimlik doğrulamayı etkinleştirin ve en azından yönetici hesapları için zorunlu kılın veya kimlik sağlayıcınızınkini kullanın.
6. Aşağıdaki dış bağlantıları gözden geçirin, özellikle Arama'nın varsayılan olarak kullandığı STUN sunucusunu.
7. Model bağlantıları eklemeden önce, AI şifreleme anahtarını (AM_AI_ENCRYPTION_KEY) ayarlayın ve veritabanı yedeklerinden ayrı bir kopyasını saklayın (AI).
8. Yedek alın ve bir geri yükleme testi yapın (Yedekler ve yükseltmeler).
9. Görselleri veya paketleri güncel tutun: güvenlik düzeltmeleri yeni sürümlerle birlikte gelir.

Hız sınırlaması

Sunucu, her istemcinin yapabileceği API isteklerinin sayısını sınırlayabilir. Bu özellik varsayılan olarak kapalıdır. Sistem Konsolu › Ortam › Hız sınırlaması bölümünde:

Bir vekilin arkasında, adres bazlı sınırlar yalnızca sunucunun her istemcinin adresini bildiği durumlarda (ServiceSettings.TrustedProxyIPHeader ve ServiceSettings.TrustedProxyIPs, bkz. Vekil arkasındaki istemci adresleri) çalışır. Aksi halde tüm istekler vekilden geliyormuş gibi görünür ve herkes tek bir sınırı paylaşır. IP filtreleme ve denetim günlüklerindeki adresler için de aynı durum geçerlidir.

Oturum açma girişimleri ayrı olarak sınırlanır: En fazla oturum açma girişimi (10) değeri, bu kadar başarısız şifre denemesi yapıldıktan sonra hesabı kilitler.

IP filtreleme

Sistem Konsolu › Site yapılandırması › IP süzme bölümü, IP adresine göre sunucuya erişimi izin ve engelleme kurallarıyla (her biri bir adres veya CIDR aralığı) sınırlar. IP süzmeyi aç seçeneği açıkken, engelleme kuralına uyan veya izin kuralları varken hiçbir izin kuralına uymayan kişiler sunucuya erişemez. Sayfa, kendi adresinizi engelleyecek kuralları reddeder. Bir vekil sunucunun arkasındaysanız, önce istemci adreslerini yapılandırın (Vekil sunucu arkasındaki istemci adresleri); aksi halde tüm istekler vekil sunucudan geliyormuş gibi görünür.

Yükleme ve dosya paylaşımı

Antimatter, yüklemeleri kötü amaçlı yazılım açısından taramaz.

Gizlilik ayarları

Sistem Konsolu › Site yapılandırması › Kullanıcılar ve takımlar bölümünde:

Yoksayma, engelleme ve iletme istekleri

Yok sayma, engelleme ve iletme isteklerini etkinleştir seçeneği açıkken (varsayılan), kullanıcılar birbirlerini yok sayabilir ve engelleyebilir; tanımadıkları kişilerden gelen doğrudan iletileri, kabul edilene kadar bildirim göndermeyen iletme istekleri olarak almayı seçebilir. Bu, herkese açık topluluklar için uygundur. Meslektaşların birbirine her zaman ulaşabilmesi gereken bir iş yerindeyse bu seçeneği kapatın (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): bu durumda hiçbir kural zorunlu olarak uygulanmaz, ancak kullanıcıların oluşturduğu listeler ve yaptıkları seçimler korunur ve seçeneği tekrar açtığınızda yeniden devreye girer.

Oturumlar ve jetonlar

• Oturum süreleri ve boşta kalma zaman aşımı: Oturum açma ve hesaplar bölümüne bakın. Daha kısa oturumlar, kaybolan bir dizüstü bilgisayarın veya telefonun daha az süreyle oturum açılmış kalması anlamına gelir.
• Kişisel erişim kodları kullanılsın (ServiceSettings.EnableUserAccessTokens, kapalı) seçeneği, kullanıcıların API jetonları oluşturmasına olanak tanır; Maksimum Kişisel Erişim Jetonu Geçerlilik Süresi (gün) bu jetonların ömrünü sınırlar. Her ikisi de Sistem Konsolu › Bütünleştirmeler › Bütünleştirme yönetimi bölümünde yer alır.
• Örneğin şüpheli bir güvenlik ihlali sonrasında herkesi aynı anda oturumdan çıkarmak için: Sistem Konsolu › Kullanıcı yönetimi › Kullanıcılar bölümündeki Tüm oturumları kapat seçeneğini kullanın.

Dış hizmetlere bağlantılar

Antimatter, Mattermost, Inc. tarafından işletilen hiçbir hizmetle iletişim kurmaz. Telemetri, çökme raporları veya güvenlik güncelleme denetimleri göndermez ve ürün bildirimlerini çekmez. Mattermost'tan devralınan ve Mattermost'un hizmetlerinden birini (itme hizmetleri, uygulama mağazası, bildirimleri veya aramalar için STUN sunucusu) adlandıran bir yapılandırma, sunucunun bu hizmetlerle iletişim kurmasına neden olmaz: bu adresler yok sayılır.

Sunucu ve uygulamalar, yalnızca buna ihtiyaç duyan özellikler için ve yapılandırdığınız hizmetlere dış hizmetlerle bağlantı kurar:

Varsayılan olarak sunucu, bunlar için (bağlantı önizlemeleri, webhook'lar, uygulamalar, topluluk model bağlantıları) özel ve döngü adreslerine bağlanmayı reddeder; böylece bir ileti veya entegrasyon iç ağınıza erişmek için kullanılamaz. Erişmesine izin verilecek iç ana bilgisayarları Şuraya yapılan güvenilmemiş iç bağlantılara izin verilsin (ServiceSettings.AllowedUntrustedInternalConnections, Sistem Konsolu › Ortam › Geliştirici bölümünde) altında listeleyin; sitenin compose dosyası bu alana gifs değerini ekler.

Güvenlik açığı bildirme

Güvenlik sorunlarını, Antimatter güvenlik politikasında açıklandığı gibi özel olarak bildirin, herkese açık sorunlarda değil.