الأمان
أمان Oleafly Server
يُعد Oleafly Server خادم التعاون ذاتي الاستضافة لتطبيق Oleafly لسطح المكتب. قبل أن يتمكن الباحثون في مختبر وطني أو جامعة من استخدامه، يتعيّن عادةً على فريق تقنية المعلومات أو فريق الأمان لديهم مراجعته. كُتبت هذه الصفحة لذلك الفريق. وهي تتناول ما يفعله الخادم اليوم وما نخطط له لعمليات النشر الخاضعة للتنظيم.
تتناول هذه الصفحة الخادم. ولمعرفة ما يخص تطبيق سطح المكتب وحده، اقرأ صفحة الخصوصية.
متاح اليوم
ما يفعله الخادم الآن
استضافة ذاتية
تشغّل مؤسستك الخادم على أجهزتها الخاصة أو حسابها السحابي، باستخدام Docker أو Coolify أو Render أو Railway، أو كخدمة Linux عادية. وتبقى ملفات المشاريع وقاعدة البيانات هناك. ويمكن تخزين الملفات على القرص أو في أي مخزن متوافق مع S3.
لا اتصالات خارجية
لا يُجري الخادم أي اتصالات شبكية خارجية، باستثناء الاتصال بمزوّد تسجيل الدخول الذي تُعِدّه مؤسستك.
مزوّد الهوية لديك
يسجّل المستخدمون الدخول عبر مزوّد هوية OpenID Connect الخاص بمؤسستك. ويعمل أيضًا تسجيل الدخول عبر GitHub وروابط البريد الإلكتروني، وكذلك رمز تسجيل دخول للأجهزة التي لا يستطيع متصفحها العودة إلى التطبيق.
المسؤولون يقرّرون من ينضم
يتحكم المسؤولون في من يمكنه الانضمام عبر قائمة سماح وقواعد للنطاقات، ويمنحون كل شخص دورًا: مسؤول أو مشرف أو عضو أو ضيف. لا يرى الضيوف إلا المشاريع التي يُدعَون إليها، مع اشتراط موافقة المسؤول إن أردت.
مفاتيح الأجهزة
لكل جهاز مفتاحه الخاص، والجلسات مرتبطة به، لذا لا فائدة من رمز مميز منسوخ دون ذلك المفتاح. رموز التحديث صالحة للاستخدام مرة واحدة فقط، ويكتشف الخادم إعادة استخدامها. ويسري تسجيل خروج أي جهاز فورًا، حتى على الاتصالات المفتوحة بالفعل.
تغييرات موقّعة
الجهاز الذي يُجري التغيير هو الذي يوقّعه. يتحقق الخادم من أن كل هوية تحرير تنتمي إلى الجهاز الذي وقّع التغيير، ويتحقق من كتّاب التعليقات بالطريقة نفسها. ويبني لقطات المشروع بنفسه من سجل التغييرات الموقّع بدلًا من الوثوق بما يُرفع إليه.
سجلات الأمان والوصول
يسجّل سجل الأمان عمليات تسجيل الدخول، وعمليات تسجيل الدخول المرفوضة، وإجراءات المسؤولين، وتغييرات الأجهزة، مع عنوان العميل لكلٍّ منها. ويمكن لمالكي المشاريع أيضًا الاحتفاظ بسجل وصول يبيّن من فتح مشروعهم.
صورة الحاوية وSBOM
يتضمن كل إصدار صورة حاوية صغيرة بلا صدفة أوامر، وقائمة مكونات البرمجيات (SBOM)، وإثبات منشأ البناء.
مراجعات مستقلة
فحص مراجعون مستقلون أمان الخادم وأداءه وقابليته للتوسع. وأُصلحت المشكلات التي وجدوها، وتغطي الاختبارات هذه الإصلاحات.
مخطط له
ما نخطط له لعمليات النشر الخاضعة للتنظيم
تحتاج بعض عمليات النشر إلى أكثر مما يقدمه الخادم اليوم. لا شيء في هذا القسم متاح بعد. إذا كانت مراجعتك تعتمد على أحد هذه البنود، فأخبرنا بذلك عند تواصلك معنا. فهذا يساعدنا على تحديد ما نبنيه أولًا.
وضع FIPS
في وضع FIPS، سيعتمد TLS والتوقيعات على وحدة تشفير مُتحقَّق منها وفق FIPS 140.
مشاريع مشفّرة
سيُشفَّر محتوى المشاريع على أجهزة الأعضاء. وسيمرّر الخادم تغييرات مختومة، ولن يتمكن من قراءة النصوص أو التعليقات أو الملفات. وسيجري تدوير المفاتيح كلما أُزيل أي شخص.
تحقق أقوى من المسؤولين
ستطلب إجراءات المسؤولين الحساسة Touch ID أو Windows Hello أو تسجيل دخول جديدًا أولًا. وستُحفظ مفاتيح الأجهزة في Secure Enclave أو في TPM. وسيتلقى كل مسؤول رسالة بريد إلكتروني عند تغيّر الأدوار أو الإعدادات، وستتمكن من ضبط سياسات للجلسات والخمول.
تصدير سجلات التدقيق
ستتدفق سجلات الأمان والوصول إلى نظام SIEM لديك بصيغة syslog أو JSON، مع إعدادات للاحتفاظ والحجز القانوني.
التشفير أثناء التخزين
ستُشفَّر قاعدة البيانات والملفات المخزّنة بمفاتيح من خدمة إدارة المفاتيح لدى مؤسستك.
التزويد عبر SCIM
سيجري تزويد الأعضاء من مزوّد الهوية لديك عبر SCIM.
التثبيت دون إنترنت
ستتوفر خطوات موثّقة لتثبيت الخادم على شبكة لا تتصل بالإنترنت.
وثائق الأمان
سننشر للخادم نموذج تهديدات، ودليل تحصين، ومصفوفة مسؤولية مشتركة، وعملية للإفصاح عن الثغرات، وسيُجري طرف ثالث اختبار اختراق.
تواصل معنا
اطلب مراجعة أمنية أو تشغيلًا تجريبيًا
إذا كان فريقك يراجع Oleafly Server أو يريد تشغيله تشغيلًا تجريبيًا، فابدأ موضوعًا في GitHub Discussions. اذكر ما تحتاجه مراجعتك، بما في ذلك أي بند من قائمة المخطط له.
هل وجدت ثغرة أمنية؟ لا تنشرها علنًا. أبلغ عنها بشكل خاص على GitHub، كما توضح سياسة الأمان.