أوريون الأمن

“الأمن من خلال الغموض ليس الكثير من الأمن على الإطلاق.”

إعادة صياغة شعبية للأقفال الأمريكية ألفرد تشارلز هوبز في عام 1851، اختار بسهولة أقفال كريستال بالاس خلال معرض لندن في ذلك العام. نتفق تمامًا، وهذا هو السبب في أن مخططاتنا لمحرك أتمتة Oracle Cloud Infrastructure (OCI) لدينا هي متاح على GitHub.

أمان البنية الأساسية لـ Orion

متوافق مع FIPS 140-3 مع التشفير الثلاثي MFA للخدمات ذات الميناء العكسي (HTTPS/SSH/IPsec). الحزام والمعلقين والركاب!

RBAC نموذج، فلفل مع مقوس تحديات OTP/TOTP

يتطلب كل الوصول إلى حساب البنية الأساسية توفير بيانات اعتماد التصديق متعدد العوامل، بما في ذلك حسابات OCI. لا توجد أبواب خلفية لهذه السياسة، حسب التصميم.

يتطلب وصول جميع الموظفين إلى أجهزة الشركة YubiKey تكامل PKI مع المفاتيح الخاصة للتصريح ECDSA-SHA-2-NISTP-256 المخزنة في فتحات PKCS11 على Yubikey، أو تكامل البطاقة الذكية المباشر مع مفاتيح ED25519-sk.

لا توجد كلمات مرور ثابتة مخزنة على الأقراص. هذا يحد من أتمتة بدون رأس من استخدام sudo / RBAC، لسبب وجيه. ومع ذلك، لدينا الأدوات للقضاء على كعب الاستجابة لمطالبات من أنواع مختلفة.

تنفيذ وضع الحماية لعمليات الإنشاء واسكربتات CGI

نشرنا “لا شيء مشترك” إنشاء المناطق، مع تعيين القيمة الافتراضية على عدم توفر الشبكة. وهذا يعني أن الأشياء الوحيدة التي يمكن للعميل الوصول إليها أو تعديلها هي أصوله الخاصة، وليس تلك التي يمتلكها أي عميل آخر، أو أي مسارات نظام أخرى في المنطقة نفسها (بالإضافة إلى ذلك) /tmp. علاوة على ذلك، يمكن لعملاء الأعمال والمؤسسات فقط الوصول إلى الإنترنت أثناء عمليات الإنشاء الخاصة بهم، لأنهم يستخدمون مناطق سولاريس الفريدة الخاصة بهم والتي يمكن تصميمها خصيصًا وفقًا لمتطلبات الإنشاء الخاصة بهم.

Ditto لبرامج CGI النصية، والتي يتم تأمينها بالكامل من حيث الوصول للكتابة إلى أي شيء آخر غير /tmp.

التشفير الطرفي

• OpenSSL v4+ TLS 1.3 (+FS) AES(256) SHA(256) لاتصالات HTTPS FIPS 140-3

• OpenSSH v10+ ED25519 FIPS 140-3 مع مفاتيح متوافقة مع ما بعد الكمية KexAlgorithm / NIST للمضيف المتقاطع lo إعادة توجيه الموانئ العكسية

• IPsec/IKEv2/PFS AES(256) FIPS 140-2 لVPN عبر المناطق

• AES(256) لتشفير ZFS

جوانب الثقة الصفرية

الفرضية الأساسية بنية الثقة الصفرية هو تجنب تصميم أمن شبكتك حول فسيولوجيا التشويش: من الصعب على الخارج، ولكن لينة وفضفاضة بمجرد دخولك. لذلك لا نقوم بذلك؛ فكل منفذ شبكة متميز ذي مغزى داخل مختلف شبكات LAN الخاصة بنقطة التواجد (POP) لا يتعرض إلا لواجهة جهاز الاسترجاع الخاص بجهاز bare metal lo0، وهو ذو معنى فقط في سياق منفذ (عكسي) تم توجيه اتصال SSH إليه **.

نستخدم وكلاء TCP، وليس وكلاء HTTP، ولا توجد واجهات خلفية لـ MSA، لذلك المضيف الوحيد الذي يرى حركة مرور ويب TLS غير المشفرة هو المضيف الذي يفك تشفيرها. تنطبق نفس القواعد على حركة مرور الإصدار الفرعي — لا ترى سوى حركة مرور TLS المشفرة المباشرة والشاملة إلى نقطة انتهاء الخدمة بياناتك غير المشفرة على السلك.

حظا سعيدا مع طبقات MSA وطبقات التعرض للبيانات الخاصة مع البائعين الآخرين. عدو “هندسة غير وظيفية” هو تعقيد. من الأسهل بكثير تقديم وعود أمنية ذات مغزى عندما يكون منتجك عبارة عن متحد موحد بدلاً من حقل ألغام MSA ضخم، وهو عامل تمييز آخر بين أوريون ومجال منافسيها.

هذه البنية التحتية مؤتمتة بالكامل بمجرد جلب المنطقة عبر الإنترنت، ولكن هذا كل ما يمكننا مشاركته علناً حول العمارة (موازنة الشفافية الهوبسية مع الشعار العسكري) “سفن غرق الشفاه” الفن أكثر من العلم). مطمئن — ما وراء كسر antispoofing lo0 الحماية داخل مرشح حزمة Solaris 11 (BSD) نفسه، لا توجد وسيلة ذات مغزى للوصول إلى هذه الخدمات، حتى بالنسبة لحسابات العملاء.

حتى إذا تم اختراق حساب تحكم OCI الرئيسي، فإن السرية والسلامة لجميع أصول العملاء لا تزال تنتهك. كل ما يمكن القيام به هو إحداث فوضى مع موقع العميل التوافر. على وجه الخصوص، لا يمكنهم الوصول إلى سجلات بيانات خدمة الإصدار الفرعي. يمكننا إعادة بناء البنية التحتية الكاملة لـ OCI من البداية في غضون 48 إلى 72 ساعة بمجرد إنهاء وصول OCI الخاص بالتفاح السيئ.

التسجيل والمراقبة والتدقيق

نحن نشجع عملاء Enterprise على إنشاء حساب Splunk، وسنقوم بتسليم مدونات الويب في الوقت الفعلي تقريبًا إلى حسابك من كل POP عالمي تحتاجه. كما يتم توفير سجلات الأخطاء لسكريبت CGI من جانب الخادم لـ Splunk.

نراقب توافر الخدمة من جميع نقاط POP في OCI على مستوى العالم، ونشغل HA (نطاق التوفر)، أو أحداث تجاوز الفشل الإقليمية إذا استمر انقطاع الخادم لأكثر من 30 ثانية.

يمكن إجراء تدقيق ACL ببساطة عن طريق بناء رأس Subversion الخاص بموقع الويب باستخدام Apache Licensed أوريون SSG كتابة السيناريو وفحص البناء الناتج إلى www/.acl ملف في دليل الخروج الخاص بك، في أي وقت تريد. عادة ما تستغرق عملية الإنشاء أقل من 10-15 ثانية على الأجهزة الحديثة.

كما يمكن تخصيص خطافات التثبيت من جانب الخادم وفقًا لمخاوفك المتعلقة بالإشراف. من مرسل بريد التثبيت البسيط إلى الوصول الآمن إلى محرك svnpubsub الخاص بنا، هناك أي عدد من التكوينات المخصصة المتاحة.

تأمين تطبيق Orion

SSR العام هو رائحة

أدت ديناميكية الركبة والمتابعة الجماعية إلى مخاطر كارثية وتكاليف غير معقولة لأولئك الذين يقومون ببناء وتشغيل الأنظمة عبر الإنترنت. تتخذ أوريون نهجًا أكثر تفكيرًا وتعمل على تطوير تقنية محتوى ثابتة تعمل على طمس التمييز التقليدي في الاستجابة بين الأنظمة الثابتة والديناميكية. أعتقد أن جو هو على شيء مع هذا النهج، وأنا حريصة على رؤية أين يمكنه أن يأخذها.
– بول فيكسي، رائد الإنترنت

الفصل بين الشواغل والمقايضات الهندسية

باختصار، الطريقة التي تعمل بها كل منصة wiki الأخرى هي كنظام CMS ديناميكي، مدعوم من SQL سحابة التطبيق الذي يجعل من السهل والسريع تعديل المحتوى، والتي يجب إعادة بناء النتائج في الوقت الحقيقي (أو من ذاكرة التخزين المؤقت لصفحة الويب) في كل مرة يحتاج فيها شخص ما لعرض هذا المحتوى عبر الإنترنت.

في Orion (noSQL)، نأخذ التحرير والعرض كمخورين منفصلين يجب التعامل معهما من خلال مجموعتين مستقلتين من البرامج ؛ حيث يتم استثمار المزيد من العمليات والتصميم والتحقق من صحة وإدارة التبعية في واجهة التحرير. هذا حتى نتمكن من الحد من البرنامج على كومة التقديم ليكون خادم ملفات Apache الذي يدعم SSI بدون عظام مع مصادقة الويب وعناصر التحكم في الوصول المضمنة، ومن المتفائل أننا نتوقع أن يتم عرض المحتوى بترتيب من الحجم أكثر من تحريره.

وبالتالي، فإن تجربة التحرير تحدث على مكدس ويب مستقل من المستحيل الوصول إليه دون تسجيل دخول صالح، وهي أقل سرعة بقليل بمجرد تحميل التغييرات، وهي أقل قذرة ؛ لأننا نصدق ونبني المحتوى المعدل، إلى جانب مجموعة كاملة من الصفحات التابعة، *في وقت التحرير، وليس في وقت التقديم *. ويحدث البناء في منطقة سولاريس شديدة الصلابة بشكل منفصل. يتم نشر سجلات الإنشاء في جلسة التحرير في الوقت الفعلي، ويتم حفظها في التحكم في الإصدار للملصقات ومساءلة الأعمال.

في الواقع، فإن التكلفة هي بضع ثوان أكثر من التعرض للآلات الفنية للبناء وعملية نشر الملفات الثابتة قبل أن تتمكن من عرض التغييرات الملتزم بها والمنشورة على موقع الإنتاج المباشر.

والفائدة؟ لن ترى أبدًا أن موقع الويب المباشر الخاص بك يتم اختراقه مرة أخرى من خلال ثغرات أمنية لمدة يوم واحد أو غير مصححة في حزمة برامج خادم الويب التقديم. علاوة على ذلك، فإن موقع التحرير **عرضة لجهود القرصنة المجهولة **، لذلك أنت في وضع معماري أمني أفضل بكثير معنا من أي بائع ويكي آخر على الأرض، بغض النظر عن الحماية الإضافية التي تم تنفيذها في بقية هذه الوثيقة.

خدعة جميلة أليس كذلك؟

لكنه يتوقف بشكل حاسم على أن التجارة قابلة للتطبيق على تجربة المحرر. وبدون تطبيق براءة الاختراع الخاصة بنا إدارة تبعية المحتوى الذكي™ الإطار، قد لا يستحق التكلفة للعديد من الشركات.

إدارة قائمة التحكم بالوصول

تتم إدارة نموذج أمان Orion مركزيًا بواسطة الإعدادات الواردة في @path::acl كما يحجم في lib/path.pm. يتم إنشاء ملفات تكوين خادم Offshoot ديناميكيًا في كل تغيير تم إنشاؤه.

إذا كنت تفهم نموذج أمان نظام ملفات POSIX، فستكون على حق في المنزل مع Orion’s mod_dav_svn نموذج التفويض وعناصر التحكم في الوصول إلى .htaccess الخاصة بخادم ويب Apache HTTPd، والتي يتم إنشاؤها تلقائيًا من موقع الويب الخاص بك lib/acl.yml تكوين YAML.

OpenIDC تأمين تسجيل الدخول الموحد

جميع ملفات تعريف الارتباط الخاصة بجلسة عمل OpenID هي HttpOnly وتم وضع علامة آمن عليها، لذلك يتم تحييد محاولات سرقة جلسة عمل جافا سكريبت بشكل فعال من قبل محرر Orion Online.

كل تخزين بيانات اعتماد ملفات تعريف الارتباط مشفر أيضًا AES-256 تحت شفرة هاش HMAC SHA-1.

تشفير كلمات مرور الإصدار الفرعي

عدد التقريبات القابل للتعديل (يتم افتراضه حاليًا على 5). هنا a إدخال المدونة وهذا يفسر الأهمية.

حماية البيانات الملوثة

جميع أوقات تشغيل Perl لدينا لديها فحوصات إلزامية تم تمكينها بعلامة -T ؛ حارس بيرل قوي وفريد ضد عمليات استغلال حاوية المشروعات البعيدة.

قضايا ويكي

Wiki security involves several factors:

1. تأمين واجهة المستخدم/واجهة برمجة التطبيقات

2. أمان البرامج الوسيطة/الواجهة الخلفية

3. حماية اجتياز القالب

4. التأمين الحرفي لسلسلة القالب

5. توافق قائمة التحكم بالوصول لمحرك البحث

نحن نتعمق في هذه القضايا فيما يتعلق بـ Orion أدناه.

محرر مباشر

يدعم المحرر عبر الإنترنت واجهة مستخدم JSON من خلال تعيين رأس قبول وكيل المستخدم الخاص بك لتفضيله application/json نوع MIME، بحيث تكون عناصر التحكم في الأمان متماثلة لكل من واجهة المستخدم وواجهة برمجة التطبيقات.

لا توجد واجهة مستخدم إدارية/واجهة برمجة تطبيقات خارج الوصول المباشر للإصدار الفرعي. بدلاً من ذلك، نقدم بعض البيانات الطرق في محرك البحث المجاني الذي يمكن استخدامه لإنشاء لوحات معلومات يتم التحكم فيها من خلال الوصول داخل موقع الويب المستضاف.

خلاف ذلك، يتم تغطية كل موقع من خلال ملفات التكوين في قاعدة الموقع lib/ دليل المواد المصدر في الإصدار الفرعي.

تتحكم قوائم ACL للإصدار الفرعي في الوصول إلى قراءة نسخة العمل من جانب الخادم

يتم فحص كل مورد نسخة عمل متوفر من خلال واجهة المستخدم بشكل متقاطع مقابل قوائم ACL الخاصة بالإصدار الفرعي قبل تقديمها إلى المستخدم. وبهذه الطريقة نضمن منع الوصول للقراءة إلى الموارد غير المصرح بها للأصول الخاضعة لمراقبة الإصدار (المعروفة باسم كل شيء).

يتم التحكم في الوصول إلى التثبيت مباشرةً باستخدام قوائم التحكم بالوصول للإصدار الفرعي

لا يمكن إنشاء أي شيء وعرضه لاحقًا عبر الشبكة بدون تثبيت الإصدار الفرعي المعتمد المقابل. المشكلة الرئيسية هنا هي في التحكم في المعلومات المتاحة لمؤلف صفحة wiki الملتزم بها والمبنية.

إذا سمحت بالمعالجة المسبقة للقالب في صفحات مصدر تخفيض السعر، يجب أن تكون على دراية بكيفية إتاحة وسائط القالب لمحتويات الملفات الأخرى في الشجرة كمتغيرات لمصدر الصفحة التي تم تحريرها.

في كثير من الأحيان، إذا تم تكوين الصفحة المحررة للقيام بذلك، يمكن أن تعلن ملفات التبعية الخاصة بها في رؤوس الصفحة، وهو أيضًا شيء يجب التفكير فيه أثناء وزن مجموعات الميزات مقابل عناصر التحكم في الأمان في بنية معلومات Wiki. بغض النظر عن موقفك، نقوم بتأمين موقعك بشكل افتراضي — بما في ذلك تبعيات المحتوى و ssi يتضمن.

على الرغم من أنه يمكننا تقديم التوجيه والدعم لتلبية احتياجاتك، إلا أن الأمر متروك لك حقًا لتحديد كيفية موازنة المقاييس للأصول المدارة لمؤسستك في wiki مدعوم من Orion.

انظر القسم أدناه على عناصر التحكم في حقن التبعية/ACL لمزيد من التفاصيل، واطلع على هذا المثال المباشر حول مدى سهولة تكوين قوائم ACL مركزيًا lib/acl.yml:

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "@svnadmin": rw
    "*":

يمكن لمؤلفي المحتوى تكوين قيود الصفحة في الصفحة ترويسات:

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz,zerotrust

كملاحظة جانبية، لا يمكن نسخ الموارد المحمية إلى فرع من قبل موظفين غير مصرح لهم، حتى دون وضع أي ضوابط إضافية لقائمة التحكم بالوصول على إنشاء الفرع وتعديله. وبعبارة أخرى، سيدعم النظام تجربة الفروع دون أي ضوابط إضافية من جانبك لضمان بقاء الأصول المحمية محمية طوال دورة الحياة الطبيعية لكل فرع.

هل تريد إنشاء قوائم التحكم بالوصول للنظام؟

نظام البناء هو رؤية شاملة ومعرفة، ولكن يمكننا ضمان أن أصولك المبنية والمحمية مرئية فقط للفرق التي تديرها وتتحكم في قوائم ACL للإصدار الفرعي.

سيكشف نظام الإنشاء عن قائمة أسماء الملفات التي تم إنشاؤها من خلال IDE المتصفح عند التثبيت، ولكن هذه القائمة تعتمد فقط على وصول المستخدم للقراءة إلى الموارد التي تعتمد على إجراءات المحتوى الخاصة بالمستخدم في التثبيت أو تحديثها أو حذفها.

عناصر التحكم في اجتياز النموذج

راجع sanitize_relative_path:

sub sanitize_relative_path {
  for (@_ ? @_ : $_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

تفرض هذه التعليمة البرمجية القواعد التالية في هذا القسم.

تضمين العلامات وتمديدها

كل الملفات الهدف موجودة في مجلد فرعي من /templates/ المجلد، ويجب الإشارة إليه كمسارات مطلقة متجذرة في هذا المجلد.

علامة Ssi

كل الملفات الهدف موجودة في مجلد فرعي من /content/ المجلد، ويجب الإشارة إليه كمسارات مطلقة متجذرة في هذا المجلد.

إذا لم يتم تكوين المسار الهدف في @path::patterns مع إعداد مطابق يتيح إمكانية أرشفة المسار الهدف المعني أو تصنيفه، أو أن آخر مؤلف تم تغييره للملف المصدر غير مصرح له ببساطة بعرض المسار الهدف، ssi ستفشل العملية.

وذلك لأن ssi الدعم هو شرط مسبق لمجموعات الميزات هذه، للحفاظ على هدف موقعك *permalinks *.

ترشيح الأمان الذي يتضمن التعبيرات العادية التي تم تمريرها كأحرف سلسلة

Dotiac::DTL ترميز كل أحرف السلسلة داخليًا قبل تعريضها لـ eval لأسباب أمنية. ثم يتركها مشفرة عند تمريرها كوسيطات تصفية، وهو أمر محبط عند العمل باستخدام أحرف سلسلة PCRE.

في هذه الحالة، شوكة لدينا Dotiac::DTL يرمز urldecodes للسلسلة ويقوم بفحص السلامة في Safe::reval صندوق الحماية قبل تعريضهم لـ perlمحرك regex. الجانب العلوي هو أن أحرف السلسلة التي تكتبها في وسيطة مرشح مدعومة ستعرض حرفيًا على perl — لا تحتاج إلى الفرار المزدوج للشرطة المائلة للخلف!

عناصر التحكم في حقن التبعية/ACL

خاضع للتحكم بواسطة lib/path.pm الواردات.

مكتبة{مسار، عرض}.pm قوائم التحكم في الوصول للإصدار الفرعي

من الحكمة التحكم في الوصول المكتوب إلى هذه الموارد، من خلال قصرها على الأشخاص المختصين في قاعدة التعليمات البرمجية والمصرح لهم بتنفيذ ضوابط الأمان لمجموعة كاملة من الأصول الخاضعة لمراقبة الإصدار (المعروفة باسم *كل شيء *).

من الجيد أيضًا تضمين @svnadmin اجمع بين أولئك الذين لديهم وصول للقراءة والكتابة، ولكن ليس من الضروري للغاية حتى لو كنت بحاجة إلينا لإعادة تعيين قوائم ACL الخاصة بالإصدار الفرعي يدويًا.

قواعد تم إنشاؤها ديناميكيًا عبر @مسار::acl

نظام البناء يأخذ علما الخاص بك lib/path.pm تستورد إما (أو كليهما) من seed_file_deps() وseed_file_acl()، وتحمل هذا الخيار إلى الأمام في معالجته الداخلية للإصدار الفرعي، وتلتزم بالتغييرات التي تؤدي إلى بناء تزايدي.

تتبع ترحيل المحتوى الخاضع للتحكم

عند عرض تاريخ التحكم الكامل في الإصدار للمستخدمين، يجب توخي الحذر للحفاظ على عناصر التحكم في الاعتماد في الموقع الأصلي للمواد الخاضعة للتحكم.

خلاف ذلك، يمكن أن تتعرض المادة عن غير قصد لباحث تاريخي بدون الأذونات المطلوبة.

يعالج منطق تتبع نقل / حذف Orion CMS هذا بسلاسة.

عناصر التحكم المخصصة في استخدام seed_file_deps() وseed_file_acl() في lib/path.pm

ما وراء استيراد هذه الرموز إلى lib/path.pm، هناك أيضًا خيار في كيفية تنفيذ كتلة التعليمات البرمجية walk_content_tree () والملفات التي ترغب في تطبيقها عليها. بعد كل شيء، ليس فقط ملف تكوين، ولكن قاعدة تعليمات برمجية، مع جميع ميزات Turing الكاملة Perl لقد جئنا لنعرف ونقدر!

يتم مزامنة ملفات .htaccess للموقع المبني وملفات اعتماد الإصدار الفرعي مع @path::acl فور الالتزام

حماية ACL التلقائية لعمليات إنشاء الفروع المؤقتة. لا يلزم تكوين إضافي.

التحكم المدمج في محرك بحث PCRE

Same situation as the general-purpose UI: يقوم بفحص متقاطع مقابل خادم Subversion من واجهة المستخدم.

في الموقع المباشر، سيعمل محرك البحث بنفس الطريقة عند تمكين عمليات البحث عن تخفيض السعر (شجرة المصدر). خلاف ذلك، سيتم تشغيل طلبات httpd الفرعية إلى موقعك المباشر لاختبار ما إذا كان المستخدم مصرحًا له بالوصول إلى هذا الملف المباشر (على افتراض أن لديك محرك بحث محمي بكلمة مرور بحيث يكون لديه بيانات مستخدم للعمل معه).

سياسات تأمين المحتوى

• [س] قيود التحليلات

جوجل، X، و/أو LinkedIn.

• [س] قيود البيانات

يجب تسليم البيانات من خوادمنا.

• [س] قيود المحتوى

يجب تسليم المحتوى من خوادمنا.

• [س] قيود الرمز

يجب تسليم رمز جافا سكريبت من خوادمنا.

• [س] قيود النمط

يجب تسليم CSS من خوادمنا.

• [س] قيود البرنامج الإضافي

حاليا PDF فقط.

مشاركة الموارد عبر الأصول

• [س] يمكن لجميع المستخدمين الذين لديهم حساب استخدام واجهات برمجة التطبيقات/واجهة المستخدم من مكان آخر باستخدام بيانات اعتماد تسجيل الدخول الخاصة بهم.

• [س] يمكن لعملاء الأعمال والمؤسسات التعامل مع أوريون كـ نظام إدارة المحتوى بدون واجهة إذا كانوا يريدون إنشاء واجهة المستخدم الخاصة بهم من JSON Subversion الخزف أو بحث JSON واجهات برمجة التطبيقات.

تبعيات الطرف الثالث

تبعيات قصيرة ومختبرة زمنيًا بشكل ملحوظ ؛ يتم تغطية مكوناتها الرئيسية على تقنية أوريون الصفحة.

قائمة مواد البرامج الكاملة (SBOM) المتاحة عند الطلب

اتصل بنا لمزيد من التفاصيل.