Безопасность
Безопасность Oleafly Server
Oleafly Server представляет собой сервер совместной работы для настольного приложения Oleafly, который вы размещаете на своей инфраструктуре. Прежде чем исследователи из национальной лаборатории или университета смогут им пользоваться, его обычно должна проверить их ИТ-служба или служба безопасности. Эта страница написана для них. Здесь описано, что сервер делает сегодня и что запланировано для развёртываний в регулируемых средах.
Эта страница посвящена серверу. О самом настольном приложении читайте на странице конфиденциальности.
Уже работает
Что сервер делает сейчас
На вашей инфраструктуре
Ваша организация запускает сервер на своих машинах или в своей облачной учётной записи с помощью Docker, Coolify, Render, Railway или как обычную службу Linux. Файлы проектов и база данных остаются там. Файлы можно хранить на диске или в любом S3-совместимом хранилище.
Никаких внешних запросов
Сервер не выполняет внешних сетевых запросов, кроме запросов к поставщику входа, настроенному вашей организацией.
Ваш поставщик удостоверений
Пользователи входят через поставщика удостоверений OpenID Connect вашей организации. Также работают вход через GitHub и ссылки по электронной почте, а для устройств, браузер которых не может вернуться в приложение, есть код входа.
Администраторы решают, кто присоединяется
Администраторы управляют тем, кто может присоединиться, с помощью списка разрешённых и правил для доменов и назначают каждому роль: администратор, сопровождающий, участник или гость. Гости видят только проекты, в которые их пригласили, при желании только после одобрения администратора.
Ключи устройств
У каждого устройства свой ключ, и сеансы привязаны к нему, поэтому скопированный токен без этого ключа бесполезен. Токены обновления одноразовые, и сервер обнаруживает их повторное использование. Выход устройства из системы срабатывает сразу, даже на уже открытых соединениях.
Подписанные изменения
Устройство, которое вносит изменение, подписывает его. Сервер проверяет, что каждый автор правок привязан к устройству, подписавшему изменение, и так же проверяет авторов комментариев. Снимки проектов он собирает сам из подписанного журнала изменений, а не доверяет загруженным данным.
Журналы безопасности и доступа
Журнал безопасности записывает входы, отклонённые попытки входа, действия администраторов и изменения устройств, указывая для каждого события адрес клиента. Владельцы проектов также могут вести журнал доступа, где видно, кто открывал их проект.
Образ контейнера и SBOM
Каждый выпуск поставляется с небольшим образом контейнера без командной оболочки, перечнем компонентов программного обеспечения (SBOM) и сведениями о происхождении сборки.
Независимые проверки
Независимые рецензенты проверили безопасность, производительность и масштабируемость сервера. Их замечания исправлены, а исправления покрыты тестами.
В планах
Планы для развёртываний в регулируемых средах
Некоторым развёртываниям нужно больше, чем сервер умеет сегодня. Ничего из этого раздела пока недоступно. Если ваша проверка зависит от одного из этих пунктов, скажите об этом, когда свяжетесь с нами. Это поможет нам решить, что делать в первую очередь.
Режим FIPS
В режиме FIPS протокол TLS и подписи будут использовать криптографический модуль, прошедший валидацию по FIPS 140.
Зашифрованные проекты
Содержимое проектов будет шифроваться на устройствах участников. Сервер будет передавать зашифрованные изменения и не сможет прочитать текст, комментарии или файлы. Ключи будут меняться каждый раз, когда кого-то удаляют.
Усиленные проверки администраторов
Перед критичными действиями администратора будет запрашиваться Touch ID, Windows Hello или повторный вход. Ключи устройств будут храниться в Secure Enclave или TPM. Каждый администратор будет получать письмо при изменении ролей или настроек, а вы сможете задавать политики сеансов и бездействия.
Экспорт журналов аудита
Журналы безопасности и доступа будут передаваться потоком в вашу SIEM в формате syslog или JSON, с настройками срока хранения и юридическим удержанием (legal hold).
Шифрование данных при хранении
База данных и хранимые файлы будут шифроваться ключами из службы управления ключами вашей организации.
Подготовка учётных записей через SCIM
Учётные записи участников будут подготавливаться через SCIM из вашего поставщика удостоверений.
Установка без интернета
Появятся задокументированные шаги по установке сервера в сети без доступа в интернет.
Документация по безопасности
Мы опубликуем для сервера модель угроз, руководство по усилению защиты, матрицу разделения ответственности и порядок раскрытия информации об уязвимостях, а сторонняя организация проведёт тест на проникновение.
Связаться с нами
Запросите проверку безопасности или пилотное внедрение
Если ваша команда проверяет Oleafly Server или хочет провести пилотное внедрение, создайте тему в GitHub Discussions. Укажите, что нужно для вашей проверки, включая пункты из списка запланированного.
Нашли уязвимость? Не публикуйте её открыто. Сообщите о ней конфиденциально через GitHub, как описано в политике безопасности.