سیکیورٹی

Antimatter سرور کو مضبوط بنانے کی چیک لسٹ: کون سی چیزیں عوامی ہونی چاہئیں، کون سی حدیں اور پرائیویٹی ترتیبات دیکھنی چاہئیں، کون سی بیرونی سروسز سرور سے رابطہ کرتی ہیں، اور سیکیورٹی کے مسئلے کی رپورٹ کیسے کریں۔

کون سی چیزیں عوامی ہونی چاہئیں

سائٹ کی کمپوز فائل ہر کنٹینر کو no-new-privileges کے ساتھ چلاتی ہے، Antimatter کو ایک غیر امتیازی صارف کے طور پر ایک ڈسٹرولس امیج پر چلاتی ہے، اور GIF سروس کو ریڈ-انلی فائل سسٹم کے ساتھ چلاتی ہے۔ ڈیٹا بیس، اسٹوریج اور GIF سروس انٹرنیٹ تک رسائی کے بغیر نیٹ ورک پر ہیں۔

نصب کے بعد چیک لسٹ

1. کسی اور کے سرور تک رسائی حاصل کرنے سے پہلے پہلا ایڈمن اسٹریٹر اکاؤنٹ بنائیں (نصب)۔
2. Antimatter کو صرف HTTPS کے ذریعے فراہم کریں، اور سائٹ URL کو https:// پتے پر سیٹ کریں (ڈومین اور HTTPS)۔
3. .env، config.json اور TLS کیز کو صرف روٹ (یا سرور کے صارف) کے لیے قابلِ مطالعہ رکھیں: chmod 600 .env۔
4. مقرر کریں کہ کون اکاؤنٹس بنا سکتا ہے، جب تک کہ کمیونٹی عوامی نہ ہو کھلا سرور فعال کریں کو بند رکھیں، اور ای میل کے کام کرنے کے بعد ای میل تصدیق ضروری کریں کو فعال کریں (سائن ان اور اکاؤنٹس)۔
5. ملٹی فیکٹر اتھنٹیکیشن کو فعال کریں، اور کم از کم ایڈمنز کے اکاؤنٹس کے لیے اسے لازمی بنائیں، یا اپنے آئیڈینٹیٹی پراوڈر کا استعمال کریں۔
6. نیچے دی گئی بیرونی وابستگیوں کا جائزہ لیں، خاص طور پر STUN سرور جو کالز بطورِ ڈیفالٹ استعمال کرتی ہیں۔
7. ماڈل کنکشنز شامل کرنے سے پہلے، AI انکرپشن کلید (AM_AI_ENCRYPTION_KEY) مقرر کریں اور اس کی ایک کاپی ڈیٹابیس بیک اپس سے الگ رکھیں (AI)۔
8. بیک اپ بنائیں، اور ریستور کا ٹیسٹ کریں (بیک اپ اور اپ گریڈز)۔
9. امیجز یا پیکیجز کو تازہ رکھیں: سیکیورٹی کی اصلاحات نئے ورژنز کے ساتھ آتی ہیں۔

ریٹ لیمٹنگ

سروسر ہر کلینٹ کی جانب سے کیے جانے والے API درخواستوں کی تعداد کو محدود کر سکتا ہے۔ یہ پہلے سے بند ہوتا ہے۔ سسٹم کنسول › ماحولیات › ریٹ لیمٹنگ میں:

پروکسی کے پیچھے، ایڈریس کے لحاظ سے لیمٹس صرف اس صورت میں کام کرتے ہیں جب سروسر ہر کلینٹ کا ایڈریس جانے (ServiceSettings.TrustedProxyIPHeader اور ServiceSettings.TrustedProxyIPs، دیکھیں پروکسی کے پیچھے کلینٹ ایڈریسز)۔ ورنہ ہر درخواست پروکسی سے آتی ہوئی لگتی ہے، اور سب ایک ہی لیمٹ شیئر کرتے ہیں۔ IP فلٹرنگ اور آڈٹ لاگز میں موجود ایڈریسز کے لیے بھی یہی صورتحال ہے۔

سائن ان کی کوششیں الگ سے محدود ہیں: زیادہ سے زیادہ لاگِن کی کوششیں (10) اس تعداد میں ناکام پاس ورڈز کے بعد اکاؤنٹ کو لاک کر دیتا ہے۔

IP فلٹرنگ

سسٹم کنسول › سائٹ کی ترتیبات › IP فلٹرنگ IP ایڈریس کے ذریعے سرور تک رسائی کو محدود کرتا ہے، جس میں allow اور deny قواعد شامل ہیں (ہر ایک کے لیے ایک ایڈریس یا CIDR رینج)۔ جب IP فلٹرنگ فعال کریں چالو ہو، تو وہ لوگ جن کا ایڈریس کسی deny قاعدے سے مطابقت رکھتا ہو، یا allow قواعد موجود ہوں لیکن ان کے ایڈریس کو کوئی allow قاعدہ نہ ہو، سرور تک رسائی حاصل نہیں کر سکتے۔ یہ صفحہ وہ قواعد مسترد کر دیتا ہے جو آپ کے اپنے ایڈریس کو بلاک کریں۔ پراکسی کے پیچھے، پہلے کلائنٹ ایڈریسز مقرر کریں (پراکسی کے پیچھے کلائنٹ ایڈریسز): ورنہ ہر درخواست پراکسی سے آئی ہوئی لگے گی۔

اپ لوڈز اور فائل شیئرنگ

Antimatter اپ لوڈز کو مائلویئر کے لیے اسکین نہیں کرتا۔

پرائیویسی ترتیبات

سسٹم کنسول › سائٹ کی ترتیبات › صارفین اور ٹیمز میں:

نظراندازی، بلاکنگ اور پیغامات کی درخواستیں

جب نظراندازی، بلاکنگ اور پیغام کی درخواستیں فعال کریں چالو ہو (جو ڈیفالٹ ہے)، تو لوگ ایک دوسرے کو نظرانداز اور بلاک کر سکتے ہیں، اور یہ انتخاب کر سکتے ہیں کہ انہیں ان لوگوں سے براہِ راست پیغامات کی درخواستوں کی صورت میں وصول کریں جنہیں وہ نہیں جانتے، جو قبول ہونے تک انہیں اطلاع نہیں دیتے۔ یہ عوامی کمیونٹیز کے لیے موزوں ہے۔ ایک کام کی جگہ جہاں ساتھیوں کو ہمیشہ ایک دوسرے تک رسائی ہونی چاہیے، اسے بند کر دیں (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): اس کی کوئی بھی پابندی لاگو نہیں ہوتی، لیکن لوگوں نے بنائے ہوئے فہرست اور انتخاب محفوظ رہتے ہیں، اور اگر آپ اسے دوبارہ چالو کریں تو پھر لاگو ہو جاتے ہیں۔

سیشنز اور ٹوکنز

• سیشن کی لمبائی اور آئیڈل ٹائم آؤٹ: سائن ان اور اکاؤنٹس دیکھیں۔ مختصر سیشنز کا مطلب ہے کہ کھوئی ہوئی لپ ٹاپ یا فون کم وقت تک سائنڈ ان رہے گی۔
• پرسونل ایکسس ٹوکنز فعال کریں (ServiceSettings.EnableUserAccessTokens، بند) لوگوں کو API ٹوکنز بنانے کی اجازت دیتا ہے؛ زیادہ سے زیادہ پرسونل ایکسس ٹوکن کی مدت (دن) انہیں محدود کرتا ہے۔ دونوں سسٹم کنسول › انضمامات › انٹیگریشن مینجمنٹ میں موجود ہیں۔
• اگر ایک بار میں سب کو سائن آؤٹ کرنا ہو، مثلاً کسی ممکنہ سکیورٹی نقص کے بعد: سسٹم کنسول › صارفین کا انتظام › صارفین میں تمام سیشنز منسوخ کریں پر کلک کریں۔

بیرونی سروسز سے رابطے

Antimatter Mattermost, Inc. کے چلائی گئی کسی بھی سروس سے رابطہ نہیں کرتا۔ یہ کوئی ٹیلی میٹری، کریش رپورٹس یا سیکیورٹی اپڈیٹ چیکس نہیں بھیجتا، اور کوئی پروڈکٹ نوٹسز نہیں لیتا۔ Mattermost سے لائی گئی کنفیگریشن جو Mattermost کی کسی سروس (اس کی پش سروسز، اس کا ایپ مارکیٹ پلیس، اس کے نوٹسز یا کالز کے لیے اس کا STUN سرور) کا نام لے رہی ہو، اس کا مطلب یہ نہیں کہ سرور ان سے رابطہ کرے گا: وہ ایڈریسز نظرانداز کر دیے جاتے ہیں۔

سرور اور ایپس صرف ان فیچرز کے لیے اور ان سروسز سے رابطہ کرتے ہیں جنہیں ان کی ضرورت ہوتی ہے، اور جنہیں آپ کنفیگر کرتے ہیں:

ڈیفالٹ طور پر سرور ان (لنک پیش منظرز، ویب ہکس، ایپس، کمیونٹی ماڈل کنکشنز) کے لیے پرائیویٹ اور لوپ بیک ایڈریسز سے کنکشن کرنے سے انکار کرتا ہے، تاکہ کوئی پیغام یا انٹیگریشن آپ کے اندرونی نیٹ ورک تک رسائی حاصل نہ کر سکے۔ ان اندرونی ہوسٹس کی فہرست جو اس تک رسائی حاصل کر سکتے ہیں، غیر مستند اندرونی کنکشنز کی اجازت دیں (ServiceSettings.AllowedUntrustedInternalConnections، سسٹم کنسول › ماحول › ڈویلپر میں) میں درج کریں؛ سائٹ کا کمپوز فائل gifs کو وہاں درج کرتا ہے۔

کمزوری کی رپورٹ کرنا

سیکیورٹی کے مسائل کو Antimatter سیکیورٹی پالیسی میں بیان کیے گئے طریقے سے خفیہ طور پر رپورٹ کریں، عوامی مسائل میں نہیں۔