Безпека
Безпека Oleafly Server
Oleafly Server є самостійно розміщуваним сервером спільної роботи для настільного застосунку Oleafly. Перш ніж дослідники з національної лабораторії чи університету зможуть ним користуватися, його зазвичай має перевірити їхня ІТ-служба або служба безпеки. Ця сторінка написана для них. Тут описано, що сервер робить сьогодні і що заплановано для розгортань у регульованих середовищах.
Ця сторінка присвячена серверу. Про сам настільний застосунок читайте на сторінці конфіденційності.
Уже працює
Що сервер робить зараз
На вашій інфраструктурі
Ваша організація запускає сервер на власних машинах або у власному хмарному обліковому записі за допомогою Docker, Coolify, Render, Railway або як звичайну службу Linux. Файли проєктів і база даних залишаються там. Файли можна зберігати на диску або в будь-якому S3-сумісному сховищі.
Жодних зовнішніх запитів
Сервер не робить зовнішніх мережевих запитів, окрім запитів до постачальника входу, налаштованого вашою організацією.
Ваш постачальник ідентичності
Користувачі входять через постачальника ідентичності OpenID Connect вашої організації. Також працюють вхід через GitHub і посилання електронною поштою, а для пристроїв, браузер яких не може повернутися до застосунку, є код входу.
Адміністратори вирішують, хто приєднується
Адміністратори керують тим, хто може приєднатися, за допомогою списку дозволених і правил для доменів та призначають кожному роль: адміністратор, супровідник, учасник або гість. Гості бачать лише проєкти, до яких їх запросили, за бажанням лише після схвалення адміністратора.
Ключі пристроїв
Кожен пристрій має власний ключ, і сеанси прив’язані до нього, тож скопійований токен без цього ключа марний. Токени оновлення одноразові, і сервер виявляє їх повторне використання. Вихід пристрою із системи діє одразу, навіть для вже відкритих з’єднань.
Підписані зміни
Пристрій, який вносить зміну, підписує її. Сервер перевіряє, що кожен автор правок прив’язаний до пристрою, який підписав зміну, і так само перевіряє авторів коментарів. Знімки проєктів він будує сам із підписаного журналу змін, а не довіряє завантаженим даним.
Журнали безпеки та доступу
Журнал безпеки фіксує входи, відхилені спроби входу, дії адміністраторів і зміни пристроїв, зберігаючи для кожної події адресу клієнта. Власники проєктів також можуть вести журнал доступу, де видно, хто відкривав їхній проєкт.
Образ контейнера і SBOM
Кожен випуск постачається з невеликим образом контейнера без командної оболонки, переліком компонентів програмного забезпечення (SBOM) і відомостями про походження збірки.
Незалежні перевірки
Незалежні рецензенти перевірили безпеку, продуктивність і масштабованість сервера. Їхні зауваження виправлено, а виправлення покрито тестами.
У планах
Плани для розгортань у регульованих середовищах
Деяким розгортанням потрібно більше, ніж сервер уміє сьогодні. Ніщо з цього розділу ще не доступне. Якщо ваша перевірка залежить від одного з цих пунктів, скажіть про це, коли зв’яжетеся з нами. Це допоможе нам вирішити, що робити насамперед.
Режим FIPS
У режимі FIPS протокол TLS і підписи використовуватимуть криптографічний модуль, що пройшов валідацію за FIPS 140.
Зашифровані проєкти
Вміст проєктів шифруватиметься на пристроях учасників. Сервер передаватиме зашифровані зміни й не зможе прочитати текст, коментарі чи файли. Ключі змінюватимуться щоразу, коли когось вилучають.
Посилені перевірки адміністраторів
Перед критичними діями адміністратора запитуватиметься Touch ID, Windows Hello або повторний вхід. Ключі пристроїв зберігатимуться в Secure Enclave або TPM. Кожен адміністратор отримуватиме лист, коли змінюються ролі чи налаштування, а ви зможете задавати політики сеансів і бездіяльності.
Експорт журналів аудиту
Журнали безпеки та доступу передаватимуться потоком у вашу SIEM у форматі syslog або JSON, з налаштуваннями терміну зберігання та юридичним утриманням (legal hold).
Шифрування даних під час зберігання
База даних і збережені файли шифруватимуться ключами зі служби керування ключами вашої організації.
Підготовка облікових записів через SCIM
Облікові записи учасників підготовлюватимуться через SCIM з вашого постачальника ідентичності.
Встановлення без інтернету
З’являться задокументовані кроки встановлення сервера в мережі без доступу до інтернету.
Документація з безпеки
Ми опублікуємо для сервера модель загроз, посібник із посилення захисту, матрицю розподілу відповідальності та процес розкриття вразливостей, а стороння організація проведе тест на проникнення.
Зв’язатися з нами
Запросіть перевірку безпеки або пілотне впровадження
Якщо ваша команда перевіряє Oleafly Server або хоче провести пілотне впровадження, створіть тему в GitHub Discussions. Укажіть, що потрібно для вашої перевірки, зокрема пункти зі списку запланованого.
Знайшли вразливість? Не публікуйте її відкрито. Повідомте про неї конфіденційно через GitHub, як описано в політиці безпеки.