Segurança
Segurança do Oleafly Server
O Oleafly Server é o servidor de colaboração auto-hospedado do app de desktop Oleafly. Antes que pesquisadores de um laboratório nacional ou de uma universidade possam usá-lo, a equipe de TI ou de segurança geralmente precisa avaliá-lo. Esta página foi escrita para essa equipe. Ela mostra o que o servidor faz hoje e o que está planejado para implantações em ambientes regulados.
Esta página trata do servidor. Para o app de desktop por si só, leia a página de privacidade.
Disponível hoje
O que o servidor faz agora
Auto-hospedado
Sua organização roda o servidor nas próprias máquinas ou na própria conta de nuvem, com Docker, Coolify, Render, Railway ou como um serviço Linux comum. Os arquivos dos projetos e o banco de dados ficam lá. Os arquivos podem ser armazenados em disco ou em qualquer armazenamento compatível com S3.
Sem chamadas externas
O servidor não faz chamadas de rede externas, exceto para o provedor de login que sua organização configurar.
Seu provedor de identidade
Os usuários fazem login com o provedor de identidade OpenID Connect da sua organização. GitHub e links por e-mail também funcionam, assim como um código de login para dispositivos cujo navegador não consegue voltar ao app.
Os administradores decidem quem entra
Os administradores usam uma lista de permissões e regras de domínio para controlar quem pode entrar, e dão a cada pessoa uma função: administrador, mantenedor, membro ou convidado. Convidados veem apenas os projetos para os quais foram convidados, com aprovação de um administrador, se você quiser.
Chaves de dispositivo
Cada dispositivo tem a própria chave, e as sessões ficam vinculadas a ela, então um token copiado não serve para nada sem essa chave. Os tokens de atualização são de uso único, e o servidor detecta reutilização. Encerrar a sessão de um dispositivo tem efeito imediato, mesmo em conexões que já estão abertas.
Alterações assinadas
O dispositivo que faz uma alteração a assina. O servidor verifica se cada identidade de edição pertence ao dispositivo que assinou a alteração e verifica os autores de comentários da mesma forma. Ele mesmo gera os snapshots dos projetos a partir do registro de alterações assinadas, em vez de confiar em uploads.
Logs de segurança e de acesso
Um log de segurança registra logins, logins recusados, ações de administração e mudanças de dispositivo, cada um com o endereço do cliente. Os proprietários de projetos também podem manter um log de acesso com quem abriu o projeto.
Imagem de contêiner e SBOM
Cada versão traz uma imagem de contêiner pequena e sem shell, uma lista de materiais de software (SBOM) e a proveniência do build.
Avaliações independentes
Avaliadores independentes verificaram a segurança, o desempenho e a escalabilidade do servidor. Os problemas encontrados foram corrigidos, e as correções têm testes.
Planejado
Planejado para implantações em ambientes regulados
Algumas implantações precisam de mais do que o servidor faz hoje. Nada nesta seção está disponível ainda. Se a sua avaliação depende de algum destes itens, diga isso quando entrar em contato. Isso nos ajuda a decidir o que desenvolver primeiro.
Modo FIPS
No modo FIPS, o TLS e as assinaturas vão usar um módulo criptográfico validado conforme o FIPS 140.
Projetos criptografados
O conteúdo dos projetos será criptografado nos dispositivos dos membros. O servidor vai repassar alterações seladas e não vai conseguir ler textos, comentários nem arquivos. As chaves serão rotacionadas sempre que alguém for removido.
Verificações mais rígidas para administradores
Ações administrativas sensíveis vão pedir antes Touch ID, Windows Hello ou um novo login. As chaves de dispositivo vão ficar no Secure Enclave ou em um TPM. Todos os administradores vão receber um e-mail quando funções ou configurações mudarem, e você vai poder definir políticas de sessão e de inatividade.
Exportação de auditoria
Os logs de segurança e de acesso serão enviados continuamente ao seu SIEM como syslog ou JSON, com configurações de retenção e retenção legal.
Criptografia em repouso
O banco de dados e os arquivos armazenados serão criptografados com chaves do serviço de gerenciamento de chaves da sua organização.
Provisionamento via SCIM
Os membros serão provisionados a partir do seu provedor de identidade via SCIM.
Instalação sem internet
Haverá etapas documentadas para instalar o servidor em uma rede sem acesso à internet.
Documentação de segurança
Vamos publicar um modelo de ameaças, um guia de hardening, uma matriz de responsabilidade compartilhada e um processo de divulgação de vulnerabilidades para o servidor, e um terceiro vai fazer um teste de invasão.
Contato
Solicite uma avaliação de segurança ou um piloto
Se a sua equipe está avaliando o Oleafly Server ou quer fazer um piloto, abra um tópico no GitHub Discussions. Diga do que a sua avaliação precisa, incluindo qualquer um dos itens planejados.
Encontrou uma vulnerabilidade? Não divulgue publicamente. Reporte-a em particular pelo GitHub, como explica a política de segurança.