Bảo mật
Bảo mật Oleafly Server
Oleafly Server là máy chủ cộng tác tự lưu trữ dành cho ứng dụng máy tính Oleafly. Trước khi các nhà nghiên cứu tại một phòng thí nghiệm quốc gia hay một trường đại học có thể dùng nó, đội ngũ CNTT hoặc bảo mật của họ thường phải đánh giá nó. Trang này được viết cho đội ngũ đó. Trang trình bày những gì máy chủ làm được hôm nay và những gì dự kiến cho các bản triển khai chịu quy định quản lý.
Trang này nói về máy chủ. Về riêng ứng dụng máy tính, hãy đọc trang quyền riêng tư.
Đã có hôm nay
Những gì máy chủ làm hiện nay
Tự lưu trữ
Tổ chức của bạn chạy máy chủ trên máy hoặc tài khoản đám mây của chính mình, bằng Docker, Coolify, Render, Railway hoặc dưới dạng một dịch vụ Linux thông thường. Tệp dự án và cơ sở dữ liệu nằm lại ở đó. Tệp có thể được lưu trên ổ đĩa hoặc trong bất kỳ kho lưu trữ nào tương thích S3.
Không gọi ra bên ngoài
Máy chủ không thực hiện lệnh gọi mạng nào ra bên ngoài, ngoại trừ tới nhà cung cấp đăng nhập mà tổ chức của bạn thiết lập.
Nhà cung cấp danh tính của bạn
Người dùng đăng nhập bằng nhà cung cấp danh tính OpenID Connect của tổ chức bạn. Đăng nhập bằng GitHub và liên kết qua email cũng dùng được, cũng như mã đăng nhập cho những thiết bị có trình duyệt không thể quay lại ứng dụng.
Quản trị viên quyết định ai được tham gia
Quản trị viên kiểm soát ai có thể tham gia bằng danh sách cho phép và quy tắc tên miền, đồng thời gán cho mỗi người một vai trò: quản trị viên, người bảo trì, thành viên hoặc khách. Khách chỉ thấy những dự án họ được mời vào, kèm sự phê duyệt của quản trị viên nếu bạn muốn.
Khóa thiết bị
Mỗi thiết bị có khóa riêng, và các phiên được gắn với khóa đó, nên một token bị sao chép sẽ vô dụng nếu không có khóa ấy. Refresh token chỉ dùng được một lần, và máy chủ phát hiện việc dùng lại. Đăng xuất một thiết bị có hiệu lực ngay lập tức, kể cả trên những kết nối đang mở.
Thay đổi có chữ ký
Thiết bị tạo ra thay đổi sẽ ký thay đổi đó. Máy chủ kiểm tra rằng mỗi danh tính chỉnh sửa thuộc về đúng thiết bị đã ký thay đổi, và kiểm tra tác giả bình luận theo cách tương tự. Máy chủ tự dựng bản chụp nhanh dự án từ nhật ký thay đổi đã ký thay vì tin vào dữ liệu tải lên.
Nhật ký bảo mật và truy cập
Nhật ký bảo mật ghi lại các lần đăng nhập, các lần đăng nhập bị từ chối, thao tác của quản trị viên và thay đổi về thiết bị, mỗi mục kèm địa chỉ máy khách. Chủ dự án cũng có thể lưu nhật ký truy cập cho biết ai đã mở dự án của họ.
Image container và SBOM
Mỗi bản phát hành đi kèm một image container nhỏ không có shell, danh mục thành phần phần mềm (SBOM) và thông tin nguồn gốc bản dựng.
Đánh giá độc lập
Những người đánh giá độc lập đã kiểm tra bảo mật, hiệu năng và khả năng mở rộng của máy chủ. Các vấn đề họ phát hiện đã được sửa, và các bản sửa đều có kiểm thử.
Dự kiến
Dự kiến cho các bản triển khai chịu quy định quản lý
Một số bản triển khai cần nhiều hơn những gì máy chủ làm được hôm nay. Chưa có mục nào trong phần này khả dụng. Nếu việc đánh giá của bạn phụ thuộc vào một trong các mục này, hãy cho chúng tôi biết khi liên hệ. Điều đó giúp chúng tôi quyết định nên xây dựng gì trước.
Chế độ FIPS
Ở chế độ FIPS, TLS và chữ ký sẽ dùng một mô-đun mật mã đã được thẩm định theo FIPS 140.
Dự án được mã hóa
Nội dung dự án sẽ được mã hóa trên thiết bị của các thành viên. Máy chủ sẽ chuyển tiếp các thay đổi đã niêm phong và sẽ không thể đọc văn bản, bình luận hay tệp. Khóa sẽ được xoay vòng mỗi khi có ai đó bị gỡ bỏ.
Kiểm tra chặt hơn với quản trị viên
Các thao tác quản trị nhạy cảm sẽ yêu cầu Touch ID, Windows Hello hoặc đăng nhập lại trước. Khóa thiết bị sẽ được giữ trong Secure Enclave hoặc TPM. Mọi quản trị viên sẽ nhận email khi vai trò hoặc cài đặt thay đổi, và bạn sẽ có thể đặt chính sách về phiên và thời gian không hoạt động.
Xuất nhật ký kiểm toán
Nhật ký bảo mật và nhật ký truy cập sẽ được truyền liên tục tới SIEM của bạn dưới dạng syslog hoặc JSON, kèm cài đặt thời hạn lưu giữ và tạm giữ pháp lý.
Mã hóa dữ liệu lưu trữ
Cơ sở dữ liệu và các tệp được lưu sẽ được mã hóa bằng khóa từ dịch vụ quản lý khóa của tổ chức bạn.
Cấp phát qua SCIM
Thành viên sẽ được cấp phát từ nhà cung cấp danh tính của bạn thông qua SCIM.
Cài đặt không cần internet
Sẽ có tài liệu hướng dẫn từng bước để cài máy chủ trên một mạng không có kết nối internet.
Tài liệu bảo mật
Chúng tôi sẽ công bố mô hình mối đe dọa, hướng dẫn gia cố bảo mật, ma trận trách nhiệm chung và quy trình công bố lỗ hổng cho máy chủ, và một bên thứ ba sẽ thực hiện kiểm thử xâm nhập.
Liên hệ
Yêu cầu đánh giá bảo mật hoặc thí điểm
Nếu đội của bạn đang đánh giá Oleafly Server hoặc muốn chạy thí điểm, hãy mở một chủ đề trong GitHub Discussions. Hãy nêu những gì việc đánh giá của bạn cần, kể cả các mục trong danh sách dự kiến.
Phát hiện lỗ hổng? Đừng đăng công khai. Hãy báo cáo riêng trên GitHub, theo hướng dẫn trong chính sách bảo mật.