Orion 보안

“어리석음을 통한 보안은 전혀 안전하지 않습니다.”

American Locksmith의 발음을 American Locksmith [en] Alfred Charles Hobbs 1851년에 런던 전시회에서 크리스탈 팰리스 자물쇠를 쉽게 골랐습니다. Oracle Cloud Infrastructure(OCI) 자동화 엔진에 대한 우리의 청사진이 바로 이러한 이유에 전적으로 동의합니다. GitHub에서 사용 가능.

Orion Infrastructure 보안

역방향 포트 전달 서비스(HTTPS/SSH/IPsec)에 대한 FIPS 140-3 호환(MFA 삼중 암호화 포함)입니다. 벨트, 서스펜더 및 스트럽!

RBAC 모델, 페퍼링 오르가즘 OTP/TOTP 과제

모든 인프라 계정 로그인 액세스에는 OCI 계정을 비롯한 다중 요소 인증 자격 증명을 제공해야 합니다. 이 정책에는 백도어가 없습니다.

기업 시스템에 대한 모든 직원의 SSH 액세스에는 YubiKey PKI와 Yubikey의 PKCS11 슬롯에 저장된 ECDSA-SHA-2-NISTP-256 권한 부여 개인 키 또는 ED25519-sk Pkey와 직접 스마트 카드 통합이 필요합니다.

디스크에 저장된 고정 암호가 없습니다. 좋은 이유로 sudo/RBAC 사용의 이 limits 헤드리스 자동화,. 그러나 툴링 다양한 종류의 프롬프트에 응답의 토일을 제거합니다.

빌드 및 CGI 스크립트에 대한 샌드박스 실행

배포 “공유 없음” 영역 빌드로, 기본적으로 네트워크 가용성이 0으로 설정됩니다. 즉, 고객이 빌드하여 액세스하거나 수정할 수 있는 유일한 것은 다른 고객이 아닌 자체 자산 또는 영역 자체의 다른 시스템 경로( /tmp. 또한 비즈니스 및 엔터프라이즈 고객만 빌드 시 인터넷에 액세스할 수 있습니다. 빌드 요구 사항에 맞게 정확하게 조정할 수 있는 고유* Solaris 영역을 사용하고 있기 때문입니다.

CGI 스크립트에 대한 Ditto - 다른 스크립트에 대한 쓰기 액세스 측면에서 완전히 잠김 /tmp.

종단 간 암호화

• OpenSSL v4+ TLS 1.3 (+FS) HTTPS FIPS 140-3 연결을 위한 AES (256) SHA (256)

• 교차 호스트용 OpenSSH v10+ ED25519 FIPS 140-3, Post-Quantum KexAlgorithm/NIST 호환 키 포함 lo 역방향 포트 전달

• IPsec/IKEv2/PFS AES (256) 지역 간 VPN을 위한 FIPS 140-2

• ZFS 암호화용 AES(256)

제로 트러스트 측면

기본 Premise 제로 트러스트 아키텍처 클램의 생리학 주위에 네트워크 보안을 설계하는 것을 피하는 것입니다 : 외부에 단단하지만 부드럽고 느슨한 일단 들어가면. 그래서 우리는 그렇게 하지 않습니다. 다양한 POP(Point of Presence) LAN 내의 모든 의미 있는 특권 네트워크 포트는 베어 메탈 머신의 루프백 장치 인터페이스에만 노출됩니다. lo0는 (역방향) 포트 전달 SSH 연결 to it의 컨텍스트에서만 의미가 있습니다.

HTTP 프록시가 아닌 TCP 프록시를 사용하며 MSA 백엔드가 없습니다. 암호화되지 않은 TLS 웹 트래픽을 확인하는 호스트만 해독하는 호스트입니다. Subversion 트래픽에 동일한 규칙이 적용됩니다. — 서비스 엔드포인트로 암호화된 직접 엔드투엔드 TLS 트래픽만 전송 시 암호화되지 않은 데이터를 볼 수 있습니다.

MSA 계층 및 개인 데이터 노출 계층이 다른 공급업체와 함께 있으면 행운을 빕니다. 적의 “비기능 엔지니어링” 복잡성입니다. 제품이 대규모 MSA 광산 필드 대신 연방 모놀리스일 때 의미있는 보안 약속을 제공하는 것이 훨씬 쉽습니다. 이는 오리온과 경쟁사 분야의 또 다른 경쟁 차별화 요소입니다.

이 인프라는 지역이 온라인으로 전환되면 완전히 자동화되지만 아키텍처에 대해 공개적으로 공유 할 수있는 모든 것입니다 (Hobbsian 투명성과 군사 만트라 균형). “느슨한 입술 싱크 배” 과학보다는 예술이다.) 안심 — 브랜드명 상품명 Beyond Breaking the Antispoofing lo0 Solaris 11(BSD) 패킷 필터 자체 내에서의 보호는 고객 계정에서도 이러한 서비스에 대한 액세스 권한을 얻는 의미 있는 수단이 없습니다.

마스터 OCI 제어 계정이 손상되더라도 모든 고객 자산의 기밀성 및 무결성은 위반된 상태로 유지됩니다. 고객 웹 사이트 가용성으로 혼란을 야기할 수 있습니다. 특히 Subversion 서비스 데이터 레코드에 액세스할 수 없습니다. 불량 애플의 OCI 액세스가 종료된 후 48~72시간 내에 전체 OCI 인프라를 처음부터 재구성할 수 있습니다.

로깅, 모니터링 및 감사

우리는 기업 고객이 Splunk 계정을 만들 것을 권장합니다, 우리는 당신이 필요로하는 모든 글로벌 POP에서 귀하의 계정에 거의 실시간 웹 로그를 제공 할 것입니다. 서버측 CGI 스크립팅에 대한 오류 로그도 Splunk에서 사용할 수 있습니다.

오라클은 전 세계 모든 OCI POP에서 서비스 가용성을 모니터링하고, 서버 중단이 30초 이상 지속될 경우 HA(가용성 도메인) 또는 지역별 페일오버 이벤트를 트리거합니다.

ACL 감사는 아파치 라이선스를 사용하여 웹 사이트의 Subversion HEAD를 구축함으로써 수행될 수 있다. 오리온 SSG 스크립트를 실행하고 결과 빌드를 www/.acl 원하는 시간에 체크 아웃 디렉토리에 파일을 저장합니다. 일반적으로 빌드 프로세스는 최신 하드웨어에서 10-15초 미만이 걸립니다.

Subversion Server-Side Commit Hook도 감독 문제에 맞게 사용자 정의할 수 있습니다. 간단한 커밋 메일러에서 svnpubsub 데몬에 대한 보안 액세스에 이르기까지 사용 가능한 사용자 정의 구성이 몇 개나 있습니다.

Orion 애플리케이션 보안

공공 SSR 냄새

Knee-jerk 역동성과 군중 팔로우는 온라인 시스템을 구축하고 운영하는 사람들에게 치명적인 위험과 비합리적인 비용을 초래했습니다. Orion은 더 많은 접근 방식을 취하고 있으며 정적 및 동적 시스템 간의 반응성의 전통적인 차이를 흐리게하는 정적 콘텐츠 기술을 개발하고 있습니다. 나는 조가이 접근 방식에 뭔가를하고 있다고 생각, 나는 그가 그것을 취할 수있는 곳을보고 싶어.
– Paul Vixie, 인터넷 개척자

우려 사항 및 엔지니어링 장단점 분리

간단히 말해서, 다른 모든 위키 플랫폼이 작동하는 방식은 동적 CMS, SQL 지원입니다. 크라우드 콘텐츠를 빠르고 쉽게 수정할 수 있는 앱으로, 온라인에서 해당 콘텐츠를 볼 때마다 결과를 실시간으로 또는 웹 페이지 캐시에서 재구성해야 합니다.

(noSQL) Orion에서는 두 개의 독립 소프트웨어 스택에서 처리해야 하는 두 가지 개별적인 문제로 편집 및 렌더링을 수행합니다. 편집 인터페이스에 훨씬 더 많은 프로세스, 설계, 검증 및 종속성 관리가 투자됩니다. 따라서 렌더링 스택의 소프트웨어를 보그 표준 웹 인증 및 액세스 제어가 포함된 베어본 SSI 지원 아파치 파일 서버로 제한할 수 있으며, 최적으로는 콘텐츠가 편집된 것보다 더 자주 보이기를 기대합니다.

따라서 편집 환경은 유효 로그인 없이 액세스가 불가능한 독립 웹 스택에서 이루어지며, 변경 사항이 업로드되면 조금 덜 빠르며, 훨씬 덜 더러워집니다. 수정된 콘텐츠를 검증하고 빌드하기 때문에 렌더링 시간이 아닌 편집 시 종속 페이지의 전체 코퍼스와 함께 수정된 콘텐츠를 검증하고 빌드합니다. 빌드는 별도로 강화되고 샌드박스화된 Solaris 영역에서 발생합니다. 빌드 로그는 편집 세션에 실시간으로 게시되고 버전 제어에 저장되어 후순위 및 비즈니스 책임에 사용됩니다.

실제로, 비용은 라이브 프로덕션 웹 사이트에서 커밋되고 게시 된 변경 사항을 볼 수 있기 전에 빌드의 기술 기계 및 정적 파일 배포 프로세스에 노출되는 몇 초 정도입니다.

그리고 혜택? 렌더링 웹 서버의 소프트웨어 스택에서 제로데이 또는 패치되지 않은 취약점을 통해 라이브 웹 사이트가 다시 해킹되는 것을 볼 수 없습니다. 또한, 편집 사이트는 익명 해킹 노력에 취약합니다, 그래서 당신은이 문서의 나머지 부분에 구현 된 추가 보호에 관계없이 지구상의 다른 위키 공급 업체보다 우리와 함께 훨씬 더 나은 보안 아키텍처 위치에 있습니다.

니트 트릭, 그렇지?

그러나 그것은 비판적으로 그 트레이드 오프 편집자 경험에 실행 가능 하 고에 경첩. 그리고 우리의 특허 출원 없이 스마트 콘텐츠 종속성 관리™ 프레임 워크는 많은 비즈니스에 대한 비용이 들지 않을 수 있습니다.

ACL 관리

Orion의 보안 모델은 다음에 포함된 설정에 의해 중앙에서 관리됩니다. @path::acl as constucted공제 in lib/path.pm. 오프슈트 서버 구성 파일은 작성된 모든 변경 사항에 대해 동적으로 생성됩니다.

POSIX 파일 시스템 보안 모델을 이해하면 Orion’s와 함께 집에서 바로 사용할 수 있습니다. mod_dav_svn 권한 부여 모델 및 아파치 HTTPd 웹서버의 .htaccess 컨트롤은 웹 사이트의 lib/acl.yml YAML 구성입니다.

OpenIDC SSO 보안

모든 OpenID 세션 쿠키는 HttpOnly이며 보안 플래그가 지정되어 있으므로 자바스크립트 세션 도용 시도는 Orion 온라인 편집기에 의해 효과적으로 중화됩니다.

모든 쿠키 자격 증명 저장소는 HMAC SHA-1 해시 아래에 추가로 AES-256 암호화됩니다.

Subversion 비밀번호에 대한 암호화

조정 가능한 라운드 수(현재 기본값은 5)입니다. 여기 a 블로그 항목 그것은 관련성을 설명한다.

다듬어진 데이터 보호

모든 Perl 런타임에는 -T 플래그를 사용하여 필수 테인트 검사가 활성화되어 있습니다. 강력하고 독보적인 Perl Guard 원격 셸 악용.

위키 문제

Wiki security involves several factors:

1. UI/API 보안

2. 미들웨어/백엔드 보안

3. 템플리트 순회 보호

4. 템플리트 문자열 리터럴 보안

5. 검색 엔진 ACL 호환성

우리는 아래 Orion과 관련하여 이러한 문제를 탐구합니다.

온라인 편집기

온라인 편집기는 단순히 사용자 에이전트의 Accept 헤더를 선호하도록 설정하여 JSON UI를 지원합니다. application/json MIME 형식이므로 UI와 API 모두에 대해 보안 컨트롤이 동일합니다.

직접 Subversion 액세스 외부에는 관리 UI/API가 없습니다. 대신, 우리는 호스팅 된 웹 사이트 내에서 액세스 제어 대시 보드를 구성하는 데 사용할 수있는 무료 검색 엔진에서 특정 데이터 보기를 제공합니다.

그렇지 않으면 각 웹 사이트는 웹 사이트의 기본에 있는 구성 파일에 의해 관리됩니다. lib/ Subversion에서 소스 재질의 디렉토리입니다.

Subversion ACL은 서버측 작업 복사본 읽기 액세스를 제어합니다.

UI를 통해 사용할 수 있는 각 작업 복사본 리소스는 사용자에게 표시하기 전에 하위 버전 ACL에 대해 상호 확인됩니다. 이렇게 하면 버전 제어 중인 자산(즉, 모든 항목)에 대해 무단 리소스에 대한 읽기 액세스가 금지됩니다.

커밋 액세스는 Subversion ACL로 직접 제어됩니다.

해당 권한이 부여된 Subversion 커밋 없이 네트워크를 통해 빌드하고 나중에 볼 수 있는 항목이 없습니다. 여기서 중요한 문제는 위키 페이지 작성자의 커밋 및 작성된 편집에 사용할 수 있는 정보를 제어하는 것입니다.

마크다운 소스 페이지에서 템플리트 선행 처리를 허용할 경우 템플리트 인수가 트리에 있는 다른 파일의 콘텐츠를 편집된 페이지의 소스에서 변수로 사용할 수 있도록 하는 방법을 알아야 합니다.

편집된 페이지가 페이지 헤더에 자체 종속성 파일을 선언할 수 있는 경우가 종종 있습니다. 이 파일은 Wiki의 정보 아키텍처에서 보안 제어에 대해 기능 세트를 측정할 때 고려해야 할 사항이기도 합니다. 귀하의 입장에 관계없이, 우리는 기본적으로 귀하의 사이트를 보호합니다. — 컨텐트 종속성 포함 ssi 포함

고객의 요구 사항에 맞는 지침과 지원을 제공할 수 있지만 Orion 지원 위키에서 조직의 관리 자산에 대한 규모 균형을 맞추는 방법을 결정하는 것은 매우 중요합니다.

다음 절을 참조하십시오. 종속성/ACL 주입 통제 자세한 내용을 보려면 중앙에서 ACL을 얼마나 쉽게 구성할 수 있는지에 대한 이 라이브 예제를 확인하십시오. lib/acl.yml:

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "@svnadmin": rw
    "*":

콘텐츠 작성자는 페이지의 페이지 제한을 구성할 수 있습니다. 헤더:

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz,zerotrust

브랜치 만들기 및 수정에 대한 추가 ACL 컨트롤을 배치하지 않아도 권한 없는 담당자가 보호된 리소스를 브랜치로 복사할 수 없습니다. 즉, 시스템은 부품에 대한 추가 제어 없이 지점 실험을 지원하여 보호된 자산이 각 지점의 자연 수명 주기 전반에 걸쳐 보호되도록 합니다.

시스템 ACL을 작성하시겠습니까?

빌드 시스템은 모든 관광 및 모든 것을 알고 있지만, 구축되고 보호되는 자산이 Subversion ACL에서 관리하고 제어하는 팀에만 표시되도록 할 수 있습니다.

빌드 시스템은 커밋 시 브라우저 IDE를 통해 작성된 파일 이름 목록을 표시하지만, 해당 목록은 커밋에서 사용자의 콘텐츠 추가, 업데이트 또는 삭제 작업에 종속된 리소스에 대한 사용자의 읽기 액세스를 기반으로 합니다.

템플리트 순회 제어

참조 sanitize_relative_path:

sub sanitize_relative_path {
  for (@_ ? @_ : $_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

이 코드는 아래 섹션의 규칙을 적용합니다.

태그 포함 및 확장

모든 대상 파일은 다음의 하위 폴더에 있습니다. /templates/ 폴더는 해당 폴더에 루트 지정된 절대 경로로 참조되어야 합니다.

ssi 태그

모든 대상 파일은 다음의 하위 폴더에 있습니다. /content/ 폴더는 해당 폴더에 루트 지정된 절대 경로로 참조되어야 합니다.

대상 경로가 구성되지 않은 경우 @path::patterns 해당 대상 경로를 아카이브 또는 범주화할 수 있는 일치 설정 또는 소스 파일의 마지막 변경된 작성자가 단순히 대상 경로를 볼 수 있는 권한이 없는 경우 ssi 작업이 실패합니다.

그 이유는 ssi 지원은 사이트의 대상 permalinks를 보존하기 위해 해당 기능 세트에 대한 전제 조건입니다.

문자열 리터럴로 전달된 정규 표현식을 포함하는 필터 보안

Dotiac::DTL 모든 문자열 리터럴을 노출하기 전에 내부적으로 urlencodes eval 보안상의 이유로 그런 다음 필터 인수로 전달될 때 인코딩된 상태로 둡니다. 이 인수는 PCRE 문자열 리터럴로 작업할 때 문제가 됩니다.

그 상황에서, 우리의 포크는 Dotiac::DTL urld는 문자열을 코딩하고 온전성 검사를 수행합니다. Safe::reval 샌드박스에 노출되기 전 perlRegex 엔진 단점은 지원되는 필터 인수에 입력하는 문자열 리터럴이 perl — 백슬래시를 두 번 이스케이프할 필요가 없습니다!

종속성/ACL 주입 통제

제어자 lib/path.pm 가져오기.

라이브러리/{경로, 보기}.pm 하위 버전 ACL

이러한 리소스에 대한 쓰기 액세스를 제어하는 것이 현명합니다. 코드베이스에서 유능한 사용자로 제한하고 버전 제어 하에 있는 전체 자산 세트에 대한 보안 제어를 구현할 수 있는 권한이 부여됩니다(예: everything).

또한 다음을 포함하는 것이 좋습니다. @svnadmin 읽기-쓰기 액세스 권한이 있는 그룹이지만 Subversion ACL을 수동으로 재설정해야 하는 경우에도 반드시 필요한 것은 아닙니다.

다음을 통해 동적 생성 규칙 @경로::acl

빌드 시스템이 사용자의 lib/path.pm seed_file_deps() 및 seed_file_acl() 중 하나(또는 둘 다)를 임포트하고, 증분 빌드를 발생시키는 Subversion 커밋 변경 사항의 내부 처리에서 이 선택을 앞으로 수행합니다.

제어된 콘텐츠 이전 추적

사용자에게 전체 버전 제어 내역을 노출할 때는 제어된 자료의 원래 위치에 대한 권한 부여 제어를 유지하도록 주의해야 합니다.

그렇지 않으면 자료가 실수로 필수 승인없이 역사적 연구자에게 노출 될 수 있습니다.

Orion CMS의 이동/삭제 추적 논리는 이를 원활하게 처리합니다.

lib/path.pm에서 seed_file_deps() 및 seed_file_acl() 사용에 대한 사용자 정의 제어

이러한 기호의 가져오기를 넘어 lib/path.pm또한 walk_content_tree () 코드 블록 실행 중에 적용하려는 파일과 적용 방법에 대한 선택이 있습니다. 결국, 그것은 단지 구성 파일, 하지만 코드베이스, 모든 튜링의 완전한 기능을 가진 Perl 우리는 알고 감사하러 왔습니다!

빌드된 웹 사이트 .htaccess 파일 및 Subversion 권한 부여 파일은 다음과 동기화됩니다. @path::acl 즉시 커밋 시

임시 분기 빌드에 대한 자동 ACL 보호입니다. 0개의 추가 구성이 필요합니다.

PCRE 검색 엔진 내장 컨트롤

Same situation as the general-purpose UI: UI에서 Subversion 서버와 상호 확인합니다.

라이브 사이트에서 마크다운(소스 트리) 검색을 사용으로 설정하면 검색 엔진이 똑같이 수행합니다. 그렇지 않으면 라이브 사이트에 httpd 하위 요청을 실행하여 사용자가 해당 라이브 파일에 액세스할 수 있는 권한이 있는지 테스트합니다(작업할 사용자 데이터가 있도록 검색 엔진에 암호로 보호된 것으로 가정).

콘텐츠 보안 정책

• 분석 제한 사항

구글, X 및/또는 LinkedIn.

• 데이터 제한 사항

데이터는 서버에서 제공되어야 합니다.

• 콘텐츠 제한

콘텐츠는 서버에서 제공되어야 합니다.

• 코드 제한

JavaScript 코드는 서버에서 제공되어야 합니다.

• 스타일 제한 사항

CSS는 서버에서 제공되어야 합니다.

• 플러그인 제한사항

현재 PDF만 있습니다.

Cross-Origin 리소스 공유

• 계정이 있는 모든 사용자는 로그인 자격 증명을 사용하여 다른 곳에서 UI/API를 사용할 수 있습니다.

• 기업 및 기업 고객은 Orion을 헤드리스 CMS iSQL*Plus에서 자체 UI를 작성하려는 경우 JSON Subversion 도자기 또는 JSON 검색 API

제3자 종속성

매우 짧고 시간 테스트를 거친 종속성; 주요 구성 요소는 오리온 기술 페이지.

요청 시 전체 소프트웨어 자재 명세서(SBOM) 사용 가능

연락처 를 참조하십시오.