אוריון אבטחה

“ביטחון באמצעות ערפול הוא לא הרבה ביטחון בכלל.”

פרפינג פופולרי של מסגר אמריקאי אלפרד צ’ארלס הובס בשנת 1851, אשר בקלות בחרו את מנעולי קריסטל פאלאס במהלך תערוכה בלונדון באותה שנה. אנו מסכימים לחלוטין, וזו הסיבה שהתוכניות שלנו עבור מנוע האוטומציה של Oracle Cloud Infrastructure (OCI) הן זמין בכתובת GitHub.

אבטחת תשתיות אוריון

תואם FIPS 140-3 עם הצפנה משולשת של MFA לשירותים הפוכים (HTTPS/SSH/IPsec). חגורה, משעים וארכופים!

חדר עבודה מודל, pepped עם אורתרוס אתגרי OTP/TOTP

כל הגישה להתחברות לחשבון תשתית מחייבת לספק פרטי אימות של אימות מרובה גורמים, כולל חשבונות OCI. אין רקע למדיניות זו, על ידי עיצוב.

כל גישת העובד למחשבים ארגוניים מחייבת שילוב YubiKey PKI עם מפתחות פרטיים של הרשאת ECDSA-SHA-2-NISTP-256 המאוחסנים בחריצי PKCS11 ב-Yubikey, או שילוב ישיר של כרטיס חכם עם מפתחות ED25519-sk.

אין ססמאות קבועות המאוחסנות בדיסקים. זה מגביל אוטומציה חסרת ראש של שימוש sudo / RBAC, מסיבה טובה. עם זאת, יש כלי כדי לחסל את העמל של תגובה למנחים מסוגים שונים.

ביצוע עם ארגז חול לבנייה ולתסריטי CGI

אנחנו פורסים “משותף כלום” בניית אזורים, המהווה ברירת מחדל לזמינות רשת אפס. המשמעות היא שהדברים היחידים שבניית לקוח יכולה לגשת אליהם או לשנות הם הנכסים שלה, לא אותם לקוחות אחרים, או כל נתיבי מערכת אחרים באזור עצמו (חוץ מזה). /tmp. יתר על כן, רק לקוחות עסקיים וארגונים יש גישה לאינטרנט במהלך הבנייה שלהם, כי הם משתמשים שלהם ייחודי אזורים סולאריים שניתן להתאים בדיוק לדרישות הבנייה שלהם.

Ditto עבור תסריטי CGI, הנעולים במלואם במונחים של גישת כתיבה לכל דבר אחר מלבד /tmp.

הצפנה מקצה לקצה

• OpenSSL v4+ TLS 1.3 (+FS) AES(256) SHA(256) עבור חיבורי HTTPS FIPS 140-3

• OpenSSH v10+ ED25519 FIPS 140-3 עם מפתחות תואמי Post-Quantum KexAlgorithm / NIST עבור מארח צולב lo העברה הפוכה

• IPsec/IKEv2/PFS AES(256) FIPS 140-2 עבור VPN חוצה אזורים

• AES(256) להצפנת ZFS

אפס אמון

ההנחה הבסיסית של ארכיטקטורת אפס אמון זה כדי למנוע עיצוב אבטחת הרשת שלך סביב הפיזיולוגיה של clam: קשה מבחוץ, אבל רך ורפויה ברגע שאתה בפנים. אז אנחנו לא עושים את זה; כל יציאת רשת מועדפת משמעותית בתוך רשתות LAN נקודת הנוכחות השונות (POP) נחשפת רק לממשק התקן הלולאהבק של מכונת המתכת החשופה lo0, והוא בעל משמעות רק בהקשר של חיבור SSH (היפוך) שהועבר ליציאה אליו.

אנו משתמשים בפרוקסי TCP, לא פרוקסי HTTP, ולא במאגרי MSA, כך שהמארח היחיד שרואה את תעבורת האינטרנט TLS הלא מוצפנת שלך הוא המארח שמפענח אותה. אותם כללים חלים על תעבורת Subversion — רק תעבורה מוצפנת TLS ישירה מקצה לקצה לנקודת הקצה שירות רואה את הנתונים הלא מוצפנים שלך בחוט.

בהצלחה עם שכבות MSA ושכבות של חשיפת נתונים פרטית עם ספקים אחרים. האויב של “הנדסה לא פונקציונלית” זה מורכבות. זה הרבה יותר קל לספק הבטחות אבטחה משמעותיות כאשר המוצר שלך הוא מונולית מאוחדת במקום שדה מוקשים MSA מסיבי, וזה עוד מבדיל קונטררי בין אוריון לתחום המתחרים שלה.

אינפרה זו היא אוטומטית לחלוטין ברגע שאזור מובא לאינטרנט, אבל זה כל מה שאנחנו יכולים לחלוק בפומבי על הארכיטקטורה (איזון שקיפות ההובסיאנית עם המנטרה הצבאית). “שפתיים רופפות לשקוע ספינות” זה יותר אומנות מאשר מדע. להיות בטוח/ה — מעבר לשבירת antispoofing lo0 הגנה בתוך מסנן המנות של Solaris 11 (BSD) עצמו, אין אמצעי משמעותי להשגת גישה לשירותים אלה, אפילו לחשבונות לקוחות.

גם אם חשבון הבקרה הראשי של OCI נפרץ, confidentiality ו-integrity של כל נכסי הלקוחות נשארים בלתי הפיכים. כל מה שכובע שחור יכול לעשות הוא לעשות בלגן עם אתר הלקוח זמינות. בפרט, הם לא יכולים לגשת לרשומות נתוני שירות Subversion. אנו יכולים לבנות מחדש את תשתית OCI במלואה מאפס תוך 48-72 שעות ברגע שהגישה ל-OCI של התפוח הרע הסתיימה.

רישום, ניטור וביקורת

אנו מעודדים לקוחות של Enterprise ליצור חשבון Splunk, ואנו נספק בלוגי אינטרנט כמעט בזמן אמת לחשבון שלך מכל POP גלובלי הדרוש לך. יומני שגיאות עבור סקריפטים CGI בצד השרת שלך הופכים לזמינים גם עבור Splunk.

אנו מנטרים את זמינות השירות מכל OCI POPs שלנו ברחבי העולם, ומפעילים HA (דומיין זמינות), או אירועים אזוריים בגיבוי בעת כשל אם הפסקת שרת נמשכת יותר מ-30 שניות.

ביקורת ACL יכולה להתבצע על ידי בניית ראש Subversion של אתר אינטרנט באמצעות Apache Licensed אוריון SSG התסריט ובדיקת הבנייה המתקבלת www/.acl קובץ בספריית הקופה שלך, בכל עת שתרצה. בדרך כלל תהליך הבנייה ייקח פחות מ 10-15 שניות על חומרה מודרנית.

Subversion Server-Side Commit Hooks ניתנים גם להתאמה אישית לדאגות הפיקוח שלך. מ-commit mailer פשוט ועד לגישה מאובטחת ל-svnpubsub daemon שלנו, יש מספר כלשהו של תצורות מותאמות אישית זמינות.

אבטחת יישום של אוריון

SSR ציבורי הוא ריח

דינמיות הברך-ג’רק ועקבות ההמון הובילו לסיכונים קטסטרופליים ועלויות בלתי סבירות לאלה שבונים ומפעילים מערכות מקוונות. אוריון נוקטת בגישה שקולה יותר ומפתחת טכנולוגיית תוכן סטטית המטשטשת את ההבחנה המסורתית בתגובה בין מערכות סטטיות ודינמיות. אני חושב שג’ו הוא על משהו עם גישה זו, ואני להוט לראות לאן הוא יכול לקחת את זה.
– פול ויקסי, אינטרנט פיוניר

הפרדת דאגות ועסקאות הנדסה

בקיצור, הדרך שבה כל פלטפורמת ויקי אחרת עובדת היא כמו CMS דינמי, מגובה SQL עברית אפליקציה שעושה את זה מהיר וקל לשנות תוכן, שעבורו יש לשחזר את התוצאות בזמן אמת (או ממטמון דף אינטרנט) בכל פעם שמישהו צריך לראות את התוכן הזה באינטרנט.

ב (noSQL) אוריון, אנו לוקחים עריכה ועיבוד כשני חששות נפרדים שיש לטפל בהם על ידי שתי ערימות תוכנה עצמאיות; שבו הרבה יותר תהליך, עיצוב, אימות וניהול תלות מושקעים בממשק העריכה. זה כדי שנוכל להגביל את התוכנה על מחסנית הרינדור להיות שרת קבצים אפאצ’י מאופשר SSI עם אימות אינטרנט סטנדרטי בוג ובקרות גישה מעורבים, ובאופן אופטימלי אנו מצפים כי התוכן נצפה בסדר גודל לעתים קרובות יותר מאשר הוא נערך.

כתוצאה מכך, חוויית העריכה מתרחשת במחסנית אינטרנט עצמאית בלתי אפשרית לגישה ללא-תקפה, היא קצת פחות מהירה לאחר שהשינויים מועלים, והיא הרבה פחות מלוכלכת; מכיוון שאנו מאמתים ובונים את התוכן המתוקן, יחד עם כל המאגר של דפים תלויים, בזמן עריכה, לא בזמן רינדור. הבנייה מתרחשת באזור סולאריס קשיח בנפרד, עם ארגז חול. יומני הבנייה מתפרסמים במושב העריכה בזמן אמת, ונשמרים בבקרת גרסאות לדורות הבאים ואחריות עסקית.

למעשה, העלות היא עוד כמה שניות של חשיפה למכונות הטכניות של הבנייה ותהליך פריסת הקבצים הסטטי לפני שתוכל לצפות בשינויים שבוצעו, שפורסמו באתר הייצור החי.

והיתרון? אתה אף פעם לא תראה את האתר החי שלך נפרץ שוב דרך נקודות תורפה של אפס יום או שלא טופלו במחסנית התוכנה של שרת האינטרנט המעבד. יתר על כן, אתר העריכה הוא בלתי פגיע למאמצי פריצה אנונימיים, כך שאתה נמצא במצב אבטחה-אדריכלי הרבה יותר טוב איתנו מאשר עם כל ספק ויקי אחר על פני כדור הארץ, ללא קשר להגנות הנוספות המיושמות בשאר מסמך זה.

טריק לא?

אבל זה תלוי באופן ביקורתי על זה tradeoff להיות קיימא לחוויית העורך. ללא בקשת הפטנט שלנו ניהול תלות של תוכן חכם™ יתכן שלא יהיה שווה את המחיר עבור עסקים רבים.

ניהול ACL

מודל האבטחה של אוריון מנוהל באופן מרכזי על ידי ההגדרות הכלולות ב @path::acl כפי שהתפרש ב lib/path.pm. קובצי תצורה של שרת Offshoot נוצרים באופן דינמי על כל שינוי מובנה.

אם אתה מבין את מודל האבטחה של מערכת הקבצים POSIX, אתה תהיה ממש בבית עם אוריון של mod_dav_svn מודל ההרשאה ופקדי .htaccess של שרת האינטרנט Apache HTTPd, שנוצרו באופן אוטומטי מהאתר שלך lib/acl.yml תצורת YAML.

OpenIDC אבטחת SSO

כל קובצי ה-cookie של המושב OpenID מסומנים בדגל HttpOnly ו-Secure, כך שהמושב של Javascript שגונב ניסיונות מנוטרל ביעילות על ידי העורך המקוון של אוריון.

כל אחסון פרטי האימות של קובצי cookie מוצפן בנוסף ל-AES-256 מתחת לגיבוב HMAC SHA-1.

הצפן סיסמאות של תת-גרסה

מספר סיבובים ניתן להתאמה (כרגע ברירת המחדל היא 5). הנה a רשומת בלוג זה מסביר את הרלוונטיות.

הגנות נתונים פגומות

לכל זמני הריצה של פרל שלנו יש בדיקות צבע חובה המאופשרות עם דגל T; מגן פרל רב עוצמה וייחודי נגד פיצוץ מעטפת מרוחקת.

ויקיפדיה: סוגיות

Wiki security involves several factors:

1. אבטחת ממשק משתמש/API

2. תוכנות ביניים / Backend Security

3. הגנות מעבר שיטתי של תבנית

4. אבטחת ליטרל מחרוזת תבנית

5. תאימות ACL של מנוע חיפוש

אנו עוסקים בנושאים אלה כפי שהם מתייחסים אוריון למטה.

עורך מקוון

העורך המקוון תומך בממשק משתמש JSON פשוט על-ידי הגדרת כותרת ‘קבל’ של סוכן המשתמש שלך כדי להעדיף את application/json סוג MIME כך שפקדי האבטחה זהים לממשק המשתמש וגם ל-API.

אין ממשק משתמש/API מינהלי מחוץ לגישה ישירה ל-Subversion. במקום זאת, אנו מציעים נתונים מסוימים views במנוע החיפוש החינמי שיכול לשמש לבניית לוחות מידע בשליטת גישה בתוך אתר האינטרנט המתארח.

אחרת, כל אתר הוא goverend על ידי קבצי התצורה בבסיס האתר. lib/ ספריית חומרי המקור בתת-גרסה.

רשימות בקרת גישה של Subversion שולטות בגישת קריאה בעותק עבודה בצד השרת

כל משאב עותק עבודה הזמין דרך ממשק המשתמש נבדק בקישור צולב כנגד רשימות בקרת הגישה של Subversion לפני הצגתם למשתמש. בדרך זו אנו מבטיחים כי גישת קריאה למשאבים לא מורשים תימנע עבור הנכסים הנמצאים תחת בקרת גרסאות (ידועה גם כ- הכל).

הגישה לאישור לביצוע נשלטת ישירות עם רשימות בקרת גישה של תת-גרסה

לא ניתן לבנות דבר ולהציג אותו לאחר מכן ברשת ללא התחייבות מורשית מתאימה של Subversion. הבעיה העיקרית כאן היא בשליטה איזה מידע זמין לעריכות המחויבות והבנייה של מחבר דף הוויקי.

אם אתה מתיר עיבוד מוקדם של תבנית בדפי המקור המסומנים, עליך להיות מודע לאופן שבו ארגומנטים של תבנית הופכים את התוכן של קבצים אחרים בעץ לזמין כמשתנים למקור הדף הערוך.

לעתים קרובות, אם הוגדר לעשות זאת, הדף הערוך יכול להכריז על קבצי התלות שלו בכותרות הדף, וזה גם משהו לחשוב על כפי שאתה שוקל ערכות תכונות נגד בקרות אבטחה בארכיטקטורת המידע של Wiki שלך. ללא קשר לעמדתך, אנו מאבטחים את האתר שלך כברירת מחדל — כולל יחסי תלות של תוכן ו- ssi כולל.

בעוד אנו יכולים להציע הדרכה ותמיכה כדי להתאים את הצרכים שלך, זה באמת תלוי בך כדי להחליט כיצד לאזן את קנה המידה עבור הנכסים המנוהלים של הארגון שלך בוויקי מגובה אוריון.

ראה סעיף להלן ב- בקרות הזרקת תלות/ACL לקבלת פרטים נוספים, וקופה דוגמה חיה זו של כמה קל להגדיר ACLs במרכז lib/acl.yml:

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "@svnadmin": rw
    "*":

מחברי תוכן יכולים להגדיר הגבלות דף בדף כותרות:

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz,zerotrust

כסימן צדדי, לא ניתן להעתיק משאבים מוגנים לסניף על ידי כוח אדם לא מורשה, גם מבלי להציב בקרות ACL נוספות על יצירה ושינוי של סניף. במילים אחרות, המערכת תתמוך בניסוי סניפים ללא כל פקדים נוספים מצידך כדי להבטיח שנכסים מוגנים יישארו מוגנים לאורך מחזור החיים הטבעי של כל סניף.

האם לבנות ACLs של מערכת?

מערכת הבנייה היא כל רואה וידע, אבל אנחנו יכולים להבטיח כי הנכסים המובנים שלך, מוגנים גלויים רק לצוותים שאתה מנהל ושולט ב- Subversion ACLs.

מערכת הבנייה תחשוף את רשימת שמות הקבצים שהיא בנתה באמצעות IDE של הדפדפן בעת ביצוע commit, אך רשימה זו מבוססת רק על גישת קריאה של משתמש למשאבים התלויים בפעולות ההוספה, העדכון או המחיקה של תוכן של המשתמש ב-commit.

בקרות מעבר שיטתי של תבנית

ראו sanitize_relative_path:

sub sanitize_relative_path {
  for (@_ ? @_ : $_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

קוד זה אוכף את הכללים הבאים בסעיף זה.

לכלול ולהרחיב תגיות

כל קובצי היעד נמצאים בתיקיית משנה של /templates/ תיקייה, ויש להתייחס אליה כאל נתיבים מוחלטים המושרשים בתיקייה זו.

תגית ssi

כל קובצי היעד נמצאים בתיקיית משנה של /content/ תיקייה, ויש להתייחס אליה כאל נתיבים מוחלטים המושרשים בתיקייה זו.

אם נתיב היעד אינו מוגדר ב- @path::patterns עם הגדרה מתאימה שמאפשרת להעביר לארכיב או לסווג את נתיב היעד הנדון, או שהמחבר האחרון שהשתנה של קובץ המקור פשוט אינו מורשה להציג את נתיב היעד, ssi הפעולה תיכשל.

כי זה בגלל ssi תמיכה היא תנאי מוקדם עבור ערכות תכונות אלה, כדי לשמור על היעד של האתר שלך permalinks.

אבטחת סינון המעורבת בביטויים רגילים שהועברו כליטרלי של מחרוזות

Dotiac::DTL urlencodes פנימי כל ליטרלים מחרוזת לפני חשיפתם eval מסיבות ביטחוניות. לאחר מכן הוא משאיר אותם מקודדים כאשר מועברים כארגומנטים מסנן, וזה מתסכל כאשר עובדים עם ליטרלים מחרוזת PCRE.

במצב זה, מזלג של Dotiac::DTL מפענח את המחרוזת ומבצע בדיקת שפיות Safe::reval שולחן חול לפני חשיפתו אל perlמנוע Regex החיסרון הוא שהליטרלים של המחרוזת שאתה מקליד לארגומנט מסנן נתמך ייחשפו ל- verbatim perl — אין צורך לחמוק פעמיים מהלוכסנים האחוריים!

בקרות הזרקת תלות/ACL

נשלט על-ידי lib/path.pm יבוא.

lib/ {נתיב,הצגה}.pm רשימות בקרת גישה של תת-גרסה

נבון לשלוט בגישת הכתיבה למשאבים אלה, על-ידי הגבלתם לאנשים המוסמכים במסד הקוד וגם על-ידי הרשאה ליישם בקרות אבטחה לכל קבוצת הנכסים תחת בקרת גרסאות (הידועה גם כ- הכל).

זה גם רעיון טוב לכלול את @svnadmin קבוצה בין אלה עם גישת קריאה-כתיבה, אבל זה לא הכרחי בהחלט גם אם אתה צריך אותנו לאפס באופן ידני את רשימות בקרת הגישה Subversion שלך.

כללים שנוצרו באופן דינמי באמצעות @נתיב::acl

מערכת הבנייה מציינת את lib/path.pm מייבא אחד משני (או שניהם) של seed_file_deps() ו-seed_file_acl(), ונושא את הבחירה קדימה בעיבוד הפנימי שלה של שינויים באישור לביצוע Subversion שמביאים לבנייה תוספתית.

מעקב הגירת תוכן מבוקר

כאשר אתה חושף את היסטוריית ניהול הגרסאות המלאה למשתמשים שלך, יש לנקוט בזהירות כדי לשמור על בקרות ההרשאה במיקום המקורי של החומר הנשלט.

אחרת, החומר יכול להיחשף בטעות לחוקר היסטורי ללא האישורים הנדרשים**.

לוגיקת המעקב של ה-CMS של אוריון מטפלת בזה בצורה חלקה.

פקדים מותאמים אישית בשימוש ב-seed_file_deps() וב-seed_file_acl() ב-lib/path.pm

מעבר לייבוא של סמלים אלה אל lib/path.pm, יש גם בחירה כיצד, ולאילו קבצים ברצונך להחיל אותם, במהלך ביצוע גוש קוד walk_content_tree (). אחרי הכל, זה לא רק קובץ תצורה, אלא בסיס קוד, עם כל התכונות המלאות של טיורינג Perl באנו להכיר ולהעריך!

קובצי .htaccess של Website Built וקובצי הרשאה של Subversion מסונכרנים עם @path::acl מיד עם ההתחייבות

הגנת ACL אוטומטית לבנייה של סניפים אפמרליים. דרושה תצורה נוספת אפס.

בקרות מובנות במנוע חיפוש PCRE

Same situation as the general-purpose UI: הוא מבצע בדיקה צולבת מול שרת ה-Subversion מממשק המשתמש.

באתר החי, מנוע החיפוש יעשה את אותו הדבר כאשר אתה מפעיל חיפושים markdown (עץ מקור). אחרת, היא תריץ תת-בקשות httpd לאתר החי שלך כדי לבדוק אם המשתמש מורשה לגשת לקובץ חי זה (בהנחה שיש לך הגנה באמצעות סיסמה על מנוע החיפוש שלך כך שיש לו נתוני משתמש לעבוד איתם).

כללי מדיניות אבטחת תוכן

• הגבלות Analytics

גוגל, X ו/או LinkedIn.

• הגבלות נתונים

יש למסור את הנתונים מהשרתים שלנו.

• הגבלות תוכן

התוכן חייב להימסר מהשרתים שלנו.

• הגבלות קוד

קוד JavaScript חייב להימסר מהשרתים שלנו.

• הגבלות סגנון

ה-CSS חייב להימסר מהשרתים שלנו.

• הגבלות Plugin

כרגע רק PDF.

שיתוף משאבים חוצי מקורות

• כל המשתמשים עם חשבון יכולים לצרוך ממשק משתמש/ממשקי API ממקום אחר באמצעות פרטי האימות שלהם להתחברות.

• לקוחות עסקיים וארגוניים יכולים להתייחס לאוריון כאל CMS ללא ראש אם הם רוצים לבנות ממשק משתמש משלהם JSON Subversion פורצלן או חיפוש JSON ממשקי API.

יחסי תלות של צד שלישי

תלות קצרה ונבדקת בזמן; המרכיבים העיקריים אשר מכוסים על טכנולוגיית אוריון דף.

עץ מוצר של תוכנה מלאה (SBOM) זמין לפי בקשה

צור קשר לפרטים נוספים.