Seguridad
Seguridad de Oleafly Server
Oleafly Server es el servidor de colaboración autoalojado para la app de escritorio Oleafly. Antes de que los investigadores de un laboratorio nacional o de una universidad puedan usarlo, su equipo de TI o de seguridad suele tener que revisarlo. Esta página está escrita para ese equipo. Explica lo que hace el servidor hoy y lo que está previsto para despliegues en entornos regulados.
Esta página trata del servidor. Para la app de escritorio por sí sola, consulta la página de privacidad.
Disponible hoy
Lo que hace el servidor ahora
Autoalojado
Tu organización ejecuta el servidor en sus propias máquinas o en su propia cuenta en la nube, con Docker, Coolify, Render, Railway o como un servicio de Linux normal. Los archivos de los proyectos y la base de datos se quedan ahí. Los archivos pueden guardarse en disco o en cualquier almacenamiento compatible con S3.
Sin llamadas externas
El servidor no hace llamadas de red al exterior, salvo al proveedor de inicio de sesión que configure tu organización.
Tu proveedor de identidad
Los usuarios inician sesión con el proveedor de identidad OpenID Connect de tu organización. También funcionan GitHub y los enlaces por correo electrónico, así como un código de inicio de sesión para dispositivos cuyo navegador no puede volver a la app.
Los administradores deciden quién entra
Los administradores controlan quién puede unirse mediante una lista de permitidos y reglas de dominio, y asignan a cada persona un rol: administrador, mantenedor, miembro o invitado. Los invitados solo ven los proyectos a los que se les invita, con la aprobación de un administrador si lo deseas.
Claves de dispositivo
Cada dispositivo tiene su propia clave y las sesiones están vinculadas a ella, así que un token copiado no sirve de nada sin esa clave. Los tokens de actualización son de un solo uso y el servidor detecta si se reutilizan. Cerrar la sesión de un dispositivo surte efecto de inmediato, incluso en las conexiones que ya están abiertas.
Cambios firmados
El dispositivo que hace un cambio lo firma. El servidor comprueba que cada identidad de edición pertenece al dispositivo que firmó el cambio, y comprueba del mismo modo a los autores de los comentarios. Genera él mismo las instantáneas de los proyectos a partir del registro de cambios firmados, en lugar de confiar en lo que se sube.
Registros de seguridad y de acceso
Un registro de seguridad anota los inicios de sesión, los inicios de sesión rechazados, las acciones de administración y los cambios de dispositivo, cada uno con la dirección del cliente. Los propietarios de un proyecto también pueden llevar un registro de acceso con quién abrió su proyecto.
Imagen de contenedor y SBOM
Cada versión incluye una imagen de contenedor pequeña y sin shell, una lista de materiales de software (SBOM) y la procedencia de la compilación.
Revisiones independientes
Revisores independientes evaluaron la seguridad, el rendimiento y la escalabilidad del servidor. Los problemas que encontraron se corrigieron, y las correcciones están cubiertas por pruebas.
Previsto
Previsto para despliegues en entornos regulados
Algunos despliegues necesitan más de lo que el servidor hace hoy. Nada de esta sección está disponible todavía. Si tu revisión depende de alguno de estos puntos, dínoslo cuando te pongas en contacto. Eso nos ayuda a decidir qué desarrollar primero.
Modo FIPS
En modo FIPS, TLS y las firmas usarán un módulo criptográfico validado según FIPS 140.
Proyectos cifrados
El contenido de los proyectos se cifrará en los dispositivos de los miembros. El servidor retransmitirá cambios sellados y no podrá leer textos, comentarios ni archivos. Las claves se rotarán cada vez que se retire a alguien.
Comprobaciones más estrictas para administradores
Las acciones de administración sensibles pedirán antes Touch ID, Windows Hello o un nuevo inicio de sesión. Las claves de dispositivo se guardarán en el Secure Enclave o en un TPM. Todos los administradores recibirán un correo electrónico cuando cambien los roles o los ajustes, y podrás definir políticas de sesión y de inactividad.
Exportación de auditoría
Los registros de seguridad y de acceso se enviarán de forma continua a tu SIEM como syslog o JSON, con ajustes de retención y retención legal.
Cifrado en reposo
La base de datos y los archivos almacenados se cifrarán con claves del servicio de gestión de claves de tu organización.
Aprovisionamiento con SCIM
Los miembros se aprovisionarán desde tu proveedor de identidad mediante SCIM.
Instalación sin internet
Habrá pasos documentados para instalar el servidor en una red sin acceso a internet.
Documentación de seguridad
Publicaremos un modelo de amenazas, una guía de bastionado, una matriz de responsabilidad compartida y un proceso de divulgación de vulnerabilidades para el servidor, y un tercero hará una prueba de penetración.
Contacto
Solicita una revisión de seguridad o un piloto
Si tu equipo está revisando Oleafly Server o quiere hacer un piloto, abre un hilo en GitHub Discussions. Indica lo que necesita tu revisión, incluido cualquier punto de la lista de lo previsto.
¿Has encontrado una vulnerabilidad? No la publiques. Comunícala en privado a través de GitHub, como explica la política de seguridad.