Bảo mật

Danh sách kiểm tra để tăng cường bảo mật cho máy chủ Antimatter: những gì cần mở, các giới hạn và cài đặt quyền riêng tư cần xem xét, các dịch vụ bên ngoài mà máy chủ liên lạc, và cách báo cáo vấn đề bảo mật.

Những gì cần mở

Tệp compose của trang web cũng chạy mọi container với no-new-privileges, chạy Antimatter dưới dạng người dùng không đặc quyền trên một ảnh distroless, và chạy dịch vụ GIF với hệ thống tệp chỉ đọc. Cơ sở dữ liệu, lưu trữ và dịch vụ GIF nằm trên một mạng không có quyền truy cập Internet.

Danh sách kiểm tra sau khi cài đặt

1. Tạo tài khoản quản trị viên đầu tiên trước khi bất kỳ ai khác có thể truy cập máy chủ (Cài đặt).
2. Phục vụ Antimatter chỉ qua HTTPS và đặt URL trang web thành địa chỉ https:// (Tên miền và HTTPS).
3. Giữ .env, config.json và các khóa TLS chỉ có thể đọc được bởi root (hoặc người dùng của máy chủ): chmod 600 .env.
4. Quyết định ai có thể tạo tài khoản, giữ Bật Máy chủ Mở ở trạng thái tắt trừ khi cộng đồng là công khai, và bật Yêu cầu Xác minh Email khi email hoạt động (Đăng nhập và tài khoản).
5. Bật xác thực đa yếu tố và áp dụng nó ít nhất cho các tài khoản quản trị viên, hoặc sử dụng của nhà cung cấp danh tính của bạn.
6. Xem xét các kết nối bên ngoài bên dưới, đặc biệt là máy chủ STUN mà Cuộc gọi sử dụng theo mặc định.
7. Trước khi thêm các kết nối mô hình, hãy thiết lập khóa mã hóa AI (AM_AI_ENCRYPTION_KEY) và lưu một bản sao riêng biệt khỏi các bản sao lưu cơ sở dữ liệu (AI).
8. Sao lưu và kiểm tra khôi phục (Sao lưu và nâng cấp).
9. Giữ cho các ảnh hoặc các gói luôn được cập nhật: các bản vá bảo mật sẽ được phát hành cùng các phiên bản mới.

Giới hạn tần suất truy cập

Máy chủ có thể giới hạn số lượng yêu cầu API mà mỗi client thực hiện. Tính năng này tắt mặc định. Trong Bảng điều khiển Hệ thống › Môi trường › Giới hạn Tỷ lệ:

Khi đặt sau proxy, giới hạn theo địa chỉ chỉ hoạt động nếu máy chủ biết địa chỉ của từng client (ServiceSettings.TrustedProxyIPHeader và ServiceSettings.TrustedProxyIPs, xem Địa chỉ client sau proxy). Nếu không, mọi yêu cầu dường như đều đến từ proxy và tất cả mọi người chia sẻ một giới hạn duy nhất. Điều tương tự cũng áp dụng cho lọc IP và cho các địa chỉ trong nhật ký kiểm toán.

Số lần thử đăng nhập được giới hạn riêng biệt: Số lần đăng nhập tối đa (10) sẽ khóa tài khoản sau số lần nhập sai mật khẩu đó.

Lọc IP

Bảng điều khiển Hệ thống › Cấu hình trang web › Lọc IP giới hạn quyền truy cập máy chủ theo địa chỉ IP, với các quy tắc cho phép và từ chối (mỗi quy tắc là một địa chỉ hoặc một dải CIDR). Khi bật Bật Lọc IP, những người có địa chỉ khớp với quy tắc từ chối, hoặc không khớp với quy tắc cho phép nào khi có quy tắc cho phép, sẽ không thể truy cập máy chủ. Trang này từ chối các quy tắc sẽ chặn địa chỉ của chính bạn. Khi đặt sau proxy, hãy thiết lập địa chỉ client trước (Địa chỉ client sau proxy): nếu không, mọi yêu cầu dường như đều đến từ proxy.

Tải lên và chia sẻ tệp

Antimatter không quét tệp tải lên để tìm phần mềm độc hại.

Cài đặt quyền riêng tư

Trong Bảng điều khiển Hệ thống › Cấu hình trang web › Người dùng và Nhóm:

Bỏ qua, chặn và yêu cầu tin nhắn

Khi bật Bật tính năng bỏ qua, chặn và yêu cầu nhắn tin (mặc định), người dùng có thể bỏ qua và chặn lẫn nhau, và có thể chọn nhận tin nhắn trực tiếp từ những người lạ dưới dạng yêu cầu nhắn tin, không gửi thông báo cho họ cho đến khi được chấp nhận. Điều này phù hợp với các cộng đồng công khai. Trong môi trường làm việc nơi đồng nghiệp luôn phải có thể liên lạc được với nhau, hãy tắt tính năng này (AM_PRIVACYSETTINGS_ENABLEUSERBLOCKING=false): không còn áp dụng các quy tắc này nữa, nhưng danh sách và lựa chọn mà người dùng đã thực hiện sẽ được giữ lại và áp dụng lại nếu bạn bật lại tính năng.

Phiên và token

• Thời lượng phiên và thời gian chờ khi không hoạt động: xem Đăng nhập và tài khoản. Phiên ngắn hơn có nghĩa là một laptop hoặc điện thoại bị mất sẽ duy trì trạng thái đã đăng nhập trong thời gian ngắn hơn.
• Bật Mã truy cập Cá nhân (ServiceSettings.EnableUserAccessTokens, tắt) cho phép người dùng tạo token API; Thời hạn tối đa của token truy cập cá nhân (ngày) giới hạn thời hạn của chúng. Cả hai đều nằm trong Bảng điều khiển Hệ thống › Tích Hợp › Quản lý tích hợp.
• Để đăng xuất tất cả mọi người cùng một lúc, ví dụ sau một vụ xâm nhập dữ liệu nghi ngờ: Thu hồi tất cả các phiên trong Bảng điều khiển Hệ thống › Quản lý Người dùng › Người dùng.

Kết nối đến các dịch vụ bên ngoài

Antimatter không liên lạc với bất kỳ dịch vụ nào do Mattermost, Inc. vận hành. Nó không gửi dữ liệu đo lường, báo cáo sự cố hoặc kiểm tra cập nhật bảo mật, và không lấy thông báo sản phẩm. Một cấu hình được chuyển từ Mattermost mà vẫn đề cập đến một trong các dịch vụ của Mattermost (dịch vụ đẩy, chợ ứng dụng, thông báo hoặc máy chủ STUN cho cuộc gọi) sẽ không khiến máy chủ liên lạc với chúng: các địa chỉ đó sẽ bị bỏ qua.

Máy chủ và các ứng dụng chỉ kết nối đến các dịch vụ bên ngoài khác cho các tính năng cần chúng, và đến các dịch vụ mà bạn cấu hình:

Theo mặc định, máy chủ từ chối kết nối đến các địa chỉ riêng tư và loopback cho các mục này (xem trước liên kết, webhook, ứng dụng, kết nối mô hình của cộng đồng), do đó một tin nhắn hoặc tích hợp không thể được sử dụng để truy cập mạng nội bộ của bạn. Hãy liệt kê các máy chủ nội bộ mà nó có thể truy cập trong Cho phép các kết nối nội bộ không đáng tin cậy vào (ServiceSettings.AllowedUntrustedInternalConnections, trong Bảng điều khiển Hệ thống › Môi trường › Nhà phát triển); tệp compose của trang web liệt kê gifs ở đó.

Báo cáo lỗ hổng bảo mật

Báo cáo các vấn đề bảo mật một cách riêng tư, như được giải thích trong chính sách bảo mật của Antimatter, không phải trong các vấn đề công khai.