Безпека

Перелік дій для захисту сервера Antimatter: що відкрити, які обмеження та налаштування конфіденційності перевірити, з якими зовнішніми службами взаємодіє сервер і як повідомити про проблему безпеки.

Що відкрити

Файл compose сайту також запускає всі контейнери з no-new-privileges, запускає Antimatter від імені непривілейованого користувача на образі distroless, а службу GIF — на файловій системі лише для читання. База даних, сховище та служба GIF перебувають у мережі без доступу в Інтернет.

Перевірка після встановлення

1. Створіть акаунт першого адміністратора, перш ніж хтось інший зможе отримати доступ до сервера (Встановлення).
2. Надавайте Antimatter лише через HTTPS і встановіть URL сайту на адресу https:// (Домен і HTTPS).
3. Забезпечте доступ до .env, config.json та TLS-ключів лише для root (або користувача сервера): chmod 600 .env.
4. Визначте, хто може створювати акаунти, тримайте Увімкнути відкритий сервер вимкненим, якщо спільнота не є публічною, і увімкніть Вимагати підтвердження адреси електронної пошти, коли електронна пошта запрацює (Увійти та акаунти).
5. Ввімкніть багатоканальну автентифікацію та застосуйте її щонайменше для акаунтів адміністраторів, або використовуйте автентифікацію вашого провайдера ідентичності.
6. Перевірте зовнішні з'єднання нижче, зокрема STUN-сервер, який за замовчуванням використовують дзвінки.
7. Перед додаванням з'єднань із моделями встановіть ключ шифрування ШІ (AM_AI_ENCRYPTION_KEY) та зберігайте його окремо від резервних копій бази даних (ШІ).
8. Робіть резервні копії та перевіряйте відновлення (Резервне копіювання та оновлення).
9. Тримайте образи або пакети в актуальному стані: виправлення вразливостей надходять разом із новими версіями.

Обмеження частоти

Сервер може обмежувати кількість запитів API, які надсилає кожен клієнт. За замовчуванням ця функція вимкнена. У Системна консоль › Середовище › Обмеження швидкості:

За проксі-сервером обмеження за адресою працюють лише тоді, коли сервер знає адресу кожного клієнта (ServiceSettings.TrustedProxyIPHeader та ServiceSettings.TrustedProxyIPs, див. Адреси клієнтів за проксі-сервером). Інакше всі запити, здавалося б, надходять від проксі-сервера, і всі користуються одним і тим самим обмеженням. Те саме стосується фільтрації за IP та адрес у журналах аудиту.

Спроби входу обмежуються окремо: Максимальна кількість спроб входу (10) блокує обліковий запис після такої кількості невдалих спроб введення пароля.

Фільтрація за IP

Системна консоль › Конфігурація сайту › Фільтрування IP-адрес обмежує доступ до сервера за IP-адресою за допомогою правил дозволу та заборони (кожна з них — адреса або діапазон CIDR). Якщо Увімкнути фільтрацію IP-адрес увімкнено, користувачі, чиї адреси відповідають правилу заборони, або не відповідають жодному правилу дозволу (якщо такі правила існують), не зможуть отримати доступ до сервера. Система відхиляє правила, які блокують вашу власну адресу. Якщо сервер працює за проксі, спочатку налаштуйте адреси клієнтів (Адреси клієнтів за проксі); інакше всі запити здаватимуться надісланими з проксі.

Завантаження та спільне використання файлів

Antimatter не сканує завантажені файли на наявність шкідливого ПЗ.

Налаштування конфіденційності

У Системна консоль › Конфігурація сайту › Користувачі та команди:

Ігнорування, блокування та запити на повідомлення

Якщо опцію Увімкнути ігнорування, блокування та запити на повідомлення увімкнено (типово), люди можуть ігнорувати та блокувати одне одного, а також обирати отримувати приватні повідомлення від невідомих людей у вигляді запитів, які не надсилають сповіщень, доки їх не буде прийнято. Це підходить для відкритих спільнот. На робочому місці, де колеги завжди повинні мати змогу встановити з’єднання, вимкніть цю опцію (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): жодна з цих функцій більше не застосовується, але збережені списки та виборі людей залишаться і знову запрацюють, якщо ви знову увімкнете опцію.

Сесії та токени

• Тривалість сесій та тайм-аут простою: дивіться Вхід та акаунти. Коротші сесії означають, що втрачений ноутбук або телефон залишиться увімкненим менше часу.
• Увімкніть персональні токени доступу (ServiceSettings.EnableUserAccessTokens, вимкнено) дозволяє користувачам створювати токени API; Максимальний термін дії особистого токена доступу (дні) обмежує їх. Обидва параметри розташовані в Системна консоль › Інтеграції › Управління інтеграцією.
• Щоб одночасно завершити сесії всіх користувачів, наприклад, після підозри на порушення безпеки: Скасувати всі сесії у Системна консоль › Керування користувачами › Користувачі.

З’єднання з зовнішніми службами

Antimatter не встановлює жодних з’єднань із службами, які обслуговує Mattermost, Inc. Він не надсилає телеметрію, звіти про збої чи перевірки безпекових оновлень, а також не отримувати сповіщення про продукт. Конфігурація, перенесена з Mattermost, яка все ще вказує на одну з служб Mattermost (її push-служби, її маркетплейс додатків, її сповіщення або її STUN-сервер для дзвінків), не змушує сервер встановлювати з’єднання з ними: ці адреси ігноруються.

Сервер та додатки з’єднуються з іншими зовнішніми службами лише для функцій, які цього потребують, а також із службами, які ви налаштували:

Типово сервер відмовляє у з'єднанні з приватними та петльбек-адресами для цих (попередні перегляди посилань, вебхуки, додатки, з'єднання з моделями спільнот), щоб повідомлення чи інтеграцію не можна було використати для доступу до вашої внутрішньої мережі. Перелік внутрішніх хостів, до яких дозволено доступ, вказуйте в Дозволити ненадійні внутрішні з'єднання (ServiceSettings.AllowedUntrustedInternalConnections, у Системна консоль › Середовище › Розробник); у compose-файлі сайту там вказано gifs.

Повідомлення про вразливість

Повідомляйте про проблеми безпеки приватно, як описано у політиці безпеки Antimatter, а не у публічних записках.