Güvenlik
Oleafly Server güvenliği
Oleafly Server, Oleafly masaüstü uygulaması için kendi altyapınızda barındırdığınız iş birliği sunucusudur. Ulusal bir laboratuvardaki veya bir üniversitedeki araştırmacıların sunucuyu kullanabilmesi için genellikle önce BT veya güvenlik ekiplerinin onu incelemesi gerekir. Bu sayfa o ekip için yazıldı. Sunucunun bugün neler yaptığını ve düzenlemeye tabi kurulumlar için nelerin planlandığını anlatır.
Bu sayfa sunucuyu kapsar. Masaüstü uygulamasının kendisi için gizlilik sayfasını okuyun.
Şu anda mevcut
Sunucunun bugün yaptıkları
Kendi altyapınızda
Kuruluşunuz sunucuyu Docker, Coolify, Render veya Railway ile ya da düz bir Linux hizmeti olarak kendi makinelerinde veya kendi bulut hesabında çalıştırır. Proje dosyaları ve veritabanı orada kalır. Dosyalar diskte veya S3 uyumlu herhangi bir depolama alanında saklanabilir.
Dış çağrı yok
Sunucu, kuruluşunuzun ayarladığı oturum açma sağlayıcısı dışında hiçbir dış ağ çağrısı yapmaz.
Kendi kimlik sağlayıcınız
Kullanıcılar, kuruluşunuzun OpenID Connect kimlik sağlayıcısıyla oturum açar. GitHub ve e-posta bağlantıları da çalışır. Tarayıcısı uygulamaya geri dönemeyen cihazlar için oturum açma kodu da kullanılabilir.
Kimin katılacağına yöneticiler karar verir
Yöneticiler, kimlerin katılabileceğini bir izin listesi ve alan adı kurallarıyla belirler ve her kişiye bir rol verir: yönetici, bakımcı, üye veya konuk. Konuklar yalnızca davet edildikleri projeleri görür, isterseniz yönetici onayıyla.
Cihaz anahtarları
Her cihazın kendi anahtarı vardır ve oturumlar bu anahtara bağlıdır, bu yüzden kopyalanan bir token o anahtar olmadan işe yaramaz. Yenileme token'ları tek kullanımlıktır ve sunucu yeniden kullanımı tespit eder. Bir cihazın oturumunu kapatmak, zaten açık olan bağlantılarda bile hemen etkili olur.
İmzalı değişiklikler
Değişikliği yapan cihaz onu imzalar. Sunucu, düzenleme yapan her kimliğin değişikliği imzalayan cihaza ait olduğunu denetler ve yorum yazarlarını da aynı şekilde denetler. Proje anlık görüntülerini, yüklenen verilere güvenmek yerine imzalı değişiklik günlüğünden kendisi oluşturur.
Güvenlik ve erişim günlükleri
Güvenlik günlüğü oturum açmaları, reddedilen oturum açma girişimlerini, yönetici işlemlerini ve cihaz değişikliklerini her birinin istemci adresiyle birlikte kaydeder. Proje sahipleri ayrıca projelerini kimlerin açtığını gösteren bir erişim günlüğü tutabilir.
Kapsayıcı imajı ve SBOM
Her sürüm, kabuk içermeyen küçük bir kapsayıcı imajı, bir yazılım malzeme listesi (SBOM) ve derleme köken bilgisiyle birlikte gelir.
Bağımsız incelemeler
Bağımsız inceleyiciler sunucunun güvenliğini, performansını ve ölçeklenebilirliğini denetledi. Tespit ettikleri sorunlar giderildi ve düzeltmelerin testleri var.
Planlanan
Düzenlemeye tabi kurulumlar için planlananlar
Bazı kurulumlar, sunucunun bugün sunduğundan fazlasına ihtiyaç duyar. Bu bölümdekilerin hiçbiri henüz kullanılabilir değil. İncelemeniz bu maddelerden birine bağlıysa bizimle iletişime geçtiğinizde bunu belirtin. Bu, önce neyi geliştireceğimize karar vermemize yardımcı olur.
FIPS modu
FIPS modunda TLS ve imzalar, FIPS 140 doğrulamalı bir kriptografik modül kullanacak.
Şifreli projeler
Proje içeriği üyelerin cihazlarında şifrelenecek. Sunucu şifreli değişiklikleri iletecek ve metinleri, yorumları ya da dosyaları okuyamayacak. Biri her çıkarıldığında anahtarlar döndürülecek.
Daha sıkı yönetici denetimleri
Hassas yönetici işlemleri önce Touch ID, Windows Hello veya yeniden oturum açma isteyecek. Cihaz anahtarları Secure Enclave'de veya bir TPM'de saklanacak. Roller veya ayarlar değiştiğinde her yöneticiye e-posta gidecek ve oturum ile boşta kalma politikalarını belirleyebileceksiniz.
Denetim dışa aktarımı
Güvenlik ve erişim günlükleri, saklama ayarları ve yasal tutma (legal hold) ile birlikte syslog veya JSON olarak SIEM'inize akışla gönderilecek.
Bekleyen veri şifrelemesi
Veritabanı ve saklanan dosyalar, kuruluşunuzun anahtar yönetimi hizmetinden alınan anahtarlarla şifrelenecek.
SCIM ile kullanıcı sağlama
Üyeler, kimlik sağlayıcınızdan SCIM aracılığıyla sağlanacak.
İnternetsiz kurulum
Sunucuyu internet erişimi olmayan bir ağa kurmak için belgelenmiş adımlar olacak.
Güvenlik belgeleri
Sunucu için bir tehdit modeli, bir sıkılaştırma kılavuzu, bir paylaşılan sorumluluk matrisi ve bir güvenlik açığı bildirim süreci yayımlayacağız. Üçüncü bir taraf da bir sızma testi yapacak.
İletişim
Güvenlik incelemesi veya pilot uygulama isteyin
Ekibiniz Oleafly Server'ı inceliyorsa veya bir pilot uygulama yürütmek istiyorsa GitHub Discussions'da bir konu başlatın. İncelemeniz için gerekenleri, planlanan listedeki maddeler dahil belirtin.
Bir güvenlik açığı mı buldunuz? Bunu herkese açık paylaşmayın. Güvenlik politikasında açıklandığı gibi GitHub üzerinden gizli olarak bildirin.