安全性
Oleafly Server 安全性
Oleafly Server 是 Oleafly 桌面應用程式的自架協作伺服器。國家實驗室或大學的研究人員要使用它之前，通常須先經過其 IT 或資安團隊審查。本頁就是為該團隊撰寫的，說明伺服器目前的做法，以及針對受監管部署所規劃的功能。
本頁說明的是伺服器。若只想了解桌面應用程式本身，請參閱隱私頁面。
目前已具備
伺服器目前的做法
自行架設
由你的組織在自己的機器或雲端帳戶上執行伺服器，可使用 Docker、Coolify、Render、Railway，或作為一般的 Linux 服務執行。專案檔案與資料庫都留在那裡。檔案可以儲存在磁碟上，也可以存放在任何與 S3 相容的儲存服務中。
不對外連線
除了你的組織所設定的登入提供者之外，伺服器不會對外發出任何網路呼叫。
使用你的身分識別提供者
使用者透過你所屬組織的 OpenID Connect 身分識別提供者登入。也可以使用 GitHub 或電子郵件連結登入。若裝置上的瀏覽器無法返回應用程式，還可以使用登入碼。
由管理員決定誰能加入
管理員透過允許清單與網域規則控制誰可以加入，並為每個人指派角色：管理員、維護者、成員或訪客。訪客只能看到受邀加入的專案，如有需要，也可以設定為須經管理員核准。
裝置金鑰
每部裝置都有自己的金鑰，工作階段會與該金鑰綁定，因此即使權杖遭到複製，沒有該金鑰也無法使用。更新權杖只能使用一次，伺服器會偵測重複使用。將裝置登出會立即生效，連已開啟的連線也不例外。
已簽章的變更
變更由做出該變更的裝置簽章。伺服器會檢查每個編輯身分是否屬於簽署該變更的裝置，也以同樣方式檢查註解作者。伺服器會根據已簽章的變更記錄自行產生專案快照，而不是信任上傳的內容。
安全性記錄與存取記錄
安全性記錄會記下登入、遭拒的登入、管理員操作與裝置變更，每筆都附有用戶端位址。專案擁有者也可以保留存取記錄，記下誰開啟過他們的專案。
容器映像檔與 SBOM
每個發行版本都附有一個不含 shell 的小型容器映像檔、一份軟體物料清單（SBOM）以及建置來源證明。
獨立審查
獨立審查人員檢查了伺服器的安全性、效能與擴充性。發現的問題都已修正，且每項修正都有對應的測試。
規劃中
針對受監管部署的規劃
有些部署的需求超出伺服器目前的能力。本節所列項目目前都尚未提供。如果你的審查取決於其中某一項，請在聯絡我們時告知，這有助於我們決定優先開發哪些項目。
FIPS 模式
在 FIPS 模式下，TLS 與簽章將使用通過 FIPS 140 驗證的密碼模組。
加密專案
專案內容將在成員的裝置上加密。伺服器將轉送密封後的變更，無法讀取文字、註解或檔案。每當有人被移除，金鑰都將輪替。
更嚴格的管理員驗證
敏感的管理員操作將先要求 Touch ID、Windows Hello 或重新登入。裝置金鑰將保存在 Secure Enclave 或 TPM 中。角色或設定變更時，每位管理員都將收到電子郵件，你也將能設定工作階段與閒置原則。
稽核匯出
安全性記錄與存取記錄將以 syslog 或 JSON 格式串流至你的 SIEM，並支援保留設定與法律保存。
靜態加密
資料庫與儲存的檔案將使用來自你所屬組織金鑰管理服務的金鑰加密。
SCIM 佈建
成員將透過 SCIM 從你的身分識別提供者佈建。
無網際網路環境安裝
將會提供文件，說明如何在無法連上網際網路的網路中安裝伺服器。
安全性文件
我們將為伺服器發布威脅模型、強化指引、共同責任矩陣與漏洞揭露流程，並將由第三方執行滲透測試。