Безопасность Orion

“Безопасность через неясность – это совсем не безопасность.”

Популярный парафазинг американского слесаря Альфред Чарльз Хоббс в 1851 году, который легко выбрал замки Хрустального дворца во время лондонской выставки в том году. Мы полностью согласны с этим, и именно поэтому мы разработали концепцию для нашего механизма автоматизации Oracle Cloud Infrastructure (OCI). доступно на GitHub.

Безопасность инфраструктуры Orion

Совместимое с FIPS 140-3 тройное шифрование W/MFA для служб с обратной передачей портов (HTTPS/SSH/IPsec). Пояс, подтяжки и помехи!

RBAC модель, перец с орфрус Контрольные задачи OTP/TOTP

Для входа во все учетные записи инфраструктуры требуется предоставить учетные данные многофакторной аутентификации, включая учетные записи OCI. В этой политике нет бэкдоров, по дизайну.

Для доступа всех сотрудников к корпоративным компьютерам требуется интеграция PKI YubiKey с закрытыми ключами авторизации ECDSA-SHA-2-NISTP-256, хранящимися в слотах PKCS11 на Yubikey, или прямая интеграция смарт-карт с ключами ED25519-sk.

На дисках не сохранены фиксированные пароли. Это лимит автономная автоматизация использования sudo / RBAC, по уважительной причине. Однако мы имеем инструмент устранить труд реагируя на подсказки различных видов.

Выполнение в песочнице для сборок и сценариев CGI

Мы внедряем “общие – ничего” построение зон, по умолчанию равное нулю доступности сети. Это означает, что только то, что клиент может получить доступ или изменить, – это его собственные активы, а не любые другие клиенты или любые другие системные пути в самой зоне (кроме того, /tmp. Кроме того, только корпоративные и бизнес-клиенты имеют доступ к Интернету во время своих сборок, потому что они используют свои собственные уникальные зоны Solaris, которые могут быть точно адаптированы к их требованиям к сборке.

Ditto для сценариев CGI, которые полностью заблокированы с точки зрения доступа к записи для чего-либо, кроме /tmp.

Сквозное шифрование

• OpenSSL v4+ TLS 1.3 (+FS) AES(256) SHA(256) для HTTPS FIPS 140-3 соединений

• OpenSSH v10+ ED25519 FIPS 140-3 с ключами, совместимыми с Post-Quantum KexAlgorithm/NIST lo реверс-порт-пересылка

• IPsec/IKEv2/PFS AES(256) FIPS 140-2 для межрегионального VPN

• AES(256) для шифрования ZFS

Аспекты нулевого доверия

Основная предпосылка архитектура нулевого доверия Во избежание проектирования сетевой безопасности вокруг физиологии моллюска: жесткий снаружи, но мягкий и свободный, как только вы входите. Таким образом, мы не делаем этого; каждый значимый привилегированный сетевой порт внутри различных локальных сетей точки присутствия (POP) подвергается воздействию только интерфейса устройства обратной связи без металла lo0, и имеет смысл только в контексте (обратного) порта, пересылаемого SSH-соединения к нему.

Мы используем TCP-прокси, а не HTTP-прокси и бэкенды MSA, поэтому единственным хостом, который видит ваш незашифрованный веб-трафик TLS, является хост, который расшифровывает его. Те же правила применяются к трафику Subversion — только прямой сквозной трафик с шифрованием TLS в конечную точку сервиса видит ваши незашифрованные данные по проводу.

Удачи с уровнями MSA и уровнями конфиденциальности данных с другими поставщиками. Враг “нефункциональная инженерия” Это сложность. Гораздо проще обеспечить значимые обещания безопасности, когда ваш продукт является федерированным монолитом вместо массивного минного поля MSA, который является еще одним противоположным отличием между Orion и его областью конкурентов.

Эта инфраструктура полностью автоматизирована, как только регион будет подключен к сети, но это все, что мы можем публично рассказать об архитектуре (балансируя прозрачность Хоббса с военной мантрой). “свободные губы раковина корабли” больше искусства, чем науки). Будьте уверены — за пределами разрушения антипуфинга lo0 защита внутри самого фильтра пакетов Solaris 11 (BSD), нет значимых средств для получения доступа к этим услугам, даже для учетных записей клиентов.

Даже если главная учетная запись OCI скомпрометирована, конфиденциальность и целостность всех активов клиентов остаются неприкосновенными. Все, что может сделать черная шляпа, это создать беспорядок с веб-сайтом клиента доступность. В частности, они не могут получить доступ к записям данных службы Subversion. Мы можем восстановить всю инфраструктуру OCI с нуля за 48-72 часа после прекращения доступа к OCI для плохого приложения.

Ведение журналов, мониторинг и аудит

Мы рекомендуем корпоративным клиентам создать учетную запись Splunk, и мы доставим в вашу учетную запись блоги практически в режиме реального времени из всех глобальных POP, которые вам требуются. Журналы ошибок для сценариев CGI на стороне сервера также доступны для Splunk.

Мы отслеживаем доступность сервисов из всех наших POP OCI по всему миру и инициируем события HA (домен доступности) или регионального аварийного переключения, если перерыв в работе сервера длится более 30 секунд.

Аудит ACL может быть выполнен путем простого создания Subversion HEAD веб-сайта с использованием лицензированного Apache. Орион ССГ сценарий и изучение полученной сборки в www/.acl файл в каталоге оформления заказа, в любое время. Обычно процесс сборки занимает менее 10-15 секунд на современном оборудовании.

Крюки фиксации на стороне сервера Subversion также настраиваются для ваших проблем с контролем. От простого отправителя фиксации до защищенного доступа к нашему демону svnpubsub, доступно любое количество пользовательских конфигураций.

Защита приложения Orion

Общественный SSR – это запах

Динамика коленного сустава и отслеживание толпы привели к катастрофическим рискам и необоснованным расходам для тех, кто строит и управляет онлайн-системами. Orion использует более продуманный подход и разрабатывает технологию статического контента, которая стирает традиционное различие в отзывчивости между статическими и динамическими системами. Я думаю, что Джо подходит к чему-то с таким подходом, и я с нетерпением жду, где он может его принять.
– Пол Викси, интернет-пионер

Разделение забот и инженерных компромиссов

В двух словах, то, как работает любая другая вики-платформа, является динамической CMS, поддерживаемой SQL. КРУД приложение, которое позволяет быстро и легко изменять контент, для которого результаты должны быть восстановлены в режиме реального времени (или из кэша веб-страниц) каждый раз, когда кто-то должен просматривать этот контент в Интернете.

В (noSQL) Орион мы рассматриваем редактирование и рендеринг как две отдельные проблемы, которые должны быть обработаны двумя независимыми программными стеками; где гораздо больше процессов, проектирования, проверки и управления зависимостями инвестируется в интерфейс редактирования. Таким образом, мы можем ограничить программное обеспечение стека рендеринга файловым сервером Apache с поддержкой SSI, включающим стандартную веб-аутентификацию и управление доступом, и оптимистично ожидаем, что контент просматривается на порядок чаще, чем он редактируется.

Следовательно, опыт редактирования происходит на невозможном доступе без независимого веб-стека с корректным входом, немного менее быстро после загрузки изменений и намного менее грязно, потому что мы проверяем и создаем измененный контент, а также весь корпус зависимых страниц, во время редактирования, а не во время рендеринга. Построение происходит в отдельно закаленной, изолированной зоне Solaris. Журналы сборки публикуются в сеансе редактирования в режиме реального времени и сохраняются в контроле версий для потомков и подотчетности бизнеса.

На самом деле, стоимость на несколько секунд больше подверженности техническому оборудованию сборки и процессу развертывания статических файлов, прежде чем иметь возможность просматривать зафиксированные, опубликованные изменения на веб-сайте в реальном времени.

И польза? Вы никогда не увидите, что ваш веб-сайт снова взломан** из-за уязвимостей нулевого дня или неисправленных уязвимостей в стеке программного обеспечения веб-сервера рендеринга. Кроме того, сайт редактирования неуязвим для анонимных хакерских усилий, поэтому вы находитесь в гораздо лучшем архитектурном положении безопасности с нами, чем с любым другим поставщиком вики на Земле, независимо от дополнительной защиты, реализованной в остальной части этого документа.

Неплохой трюк, да?

Но это критически зависит от того, что tradeoff является жизнеспособным для редактора. И без применения нашего патентования Управление зависимостями интеллектуального контента™ Рамки могут не стоить затрат для многих предприятий.

Управление ACL

Модель безопасности Orion централизованно управляется настройками, содержащимися в @path::acl как в lib/path.pm. Файлы конфигурации сервера Offshoot динамически генерируются при каждом созданном изменении.

Если вы понимаете модель безопасности файловой системы POSIX, вы будете дома с Orion’s mod_dav_svn модель авторизации и элементы управления .htaccess веб-сервера Apache HTTPd, автоматически генерируемые на вашем веб-сайте lib/acl.yml Конфигурация YAML.

OpenIDC Защита единого входа

Все файлы cookie сеанса OpenID отмечены флагом HttpOnly и Secure, поэтому попытки кражи сеанса JavaScript эффективно нейтрализуются редактором Orion Online.

Все учетные данные файлов cookie дополнительно зашифрованы AES-256 под хешем HMAC SHA-1.

Bcrypt для паролей Subversion

Регулируемое число раундов (в настоящее время по умолчанию равно 5). Вот это запись блога Это объясняет актуальность.

Затронутые средства защиты данных

У всех наших Perl Runtimes есть обязательные проверки краски, включенные с флагом -T; мощная, уникальная защита от Дистанционное использование оболочки.

Вопросы Wiki

Wiki security involves several factors:

1. Защита ИП/API

2. Безопасность промежуточного ПО/бэкенда

3. Защита от обхода шаблона

4. Защита литерала строки шаблона

5. Совместимость ACL ядра поиска

Мы подробно рассмотрим эти вопросы, как они касаются Ориона ниже.

Интерактивный редактор

Онлайн-редактор поддерживает пользовательский интерфейс JSON, просто задав заголовок «Принять» вашего агента пользователя, чтобы предпочитать application/json MIME-тип, поэтому элементы управления безопасностью одинаковы как для ИП, так и для API.

Нет административного ИП/API вне прямого доступа к Subversion. Вместо этого мы предлагаем определенные данные представления в бесплатной поисковой системе, которые могут использоваться для создания информационных панелей с контролем доступа на размещенном веб-сайте.

В противном случае каждый веб-сайт подчиняется конфигурационным файлам в базе веб-сайта lib/ каталог исходных материалов в Subversion.

ACL Subversion управляют доступом для чтения рабочих копий на стороне сервера

Каждый ресурс рабочей копии, доступный через пользовательский интерфейс, проверяется на соответствие спискам контроля доступа Subversion перед их представлением пользователю. Таким образом мы гарантируем, что доступ для чтения к неавторизованным ресурсам для активов, находящихся под контролем версий ( все).

Доступ к фиксации напрямую контролируется с помощью списков контроля доступа Subversion

Ничто не может быть построено и впоследствии просмотрено по сети без соответствующей авторизованной фиксации Subversion. Основная проблема здесь заключается в том, чтобы контролировать, какая информация доступна для совершенных и созданных редакций автора страницы вики.

Если на исходных страницах разметки разрешена предварительная обработка шаблона, необходимо знать, как аргументы шаблона делают содержимое других файлов в дереве доступным в качестве переменных для источника редактируемой страницы.

Часто, если это настроено, отредактированная страница может объявлять свои собственные файлы зависимостей в заголовках страницы, о чем также следует подумать, когда вы взвешиваете наборы функций против элементов безопасности в информационной архитектуре вашей вики. Независимо от вашей позиции, мы защищаем ваш сайт по умолчанию — включая зависимости контента и ssi включает.

Хотя мы можем предложить рекомендации и поддержку в соответствии с вашими потребностями, на самом деле вам решать, как сбалансировать весы для управляемых активов вашей организации в вики-ресурсе, поддерживаемом Orion.

См. ниже раздел на Контроль внедрения зависимостей/ACL для получения более подробной информации и ознакомьтесь с этим живым примером того, как легко можно централизованно настроить ACL lib/acl.yml:

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "@svnadmin": rw
    "*":

Авторы содержимого могут настраивать ограничения страницы в заголовки:

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz,zerotrust

Как следует из примечания, защищенные ресурсы не могут быть скопированы в филиал несанкционированным персоналом, даже без размещения каких-либо дополнительных средств контроля доступа к созданию и модификации филиала. Другими словами, система будет поддерживать эксперименты с филиалами без каких-либо дополнительных средств контроля с вашей стороны, чтобы обеспечить защиту защищенных активов на протяжении всего естественного жизненного цикла каждого филиала.

Создать системные списки управления доступом?

Система сборки является всевидящей и всезнающей, но мы можем гарантировать, что ваши встроенные, защищенные активы будут видны только командам, которые вы управляете и контролируете в ACL Subversion.

Система сборки покажет список имен файлов, созданных в среде IDE браузера после фиксации, но этот список основан только на доступе пользователя к ресурсам, зависящим от действий пользователя по добавлению, обновлению или удалению содержимого в фиксации.

Параметры обхода шаблона

См. sanitize_relative_path:

sub sanitize_relative_path {
  for (@_ ? @_ : $_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

Этот код применяет правила, которые приведены ниже в этом разделе.

включать и расширять теги

Все целевые файлы находятся в подпапке /templates/ папке, и на нее должны ссылаться как на абсолютные пути, укорененные в этой папке.

тег ssi

Все целевые файлы находятся в подпапке /content/ папке, и на нее должны ссылаться как на абсолютные пути, укорененные в этой папке.

Если целевой путь не настроен в @path::patterns с настройкой соответствия, позволяющей либо архивировать, либо классифицировать целевой путь, либо последний измененный автор исходного файла просто не имеет прав на просмотр целевого пути, ssi операция завершится сбоем.

Это потому, что ssi поддержка является необходимым условием для этих наборов функций, чтобы сохранить целевые постоянные ссылки вашего сайта.

Защита фильтра, включающая регулярные выражения, переданные как строковые литералы

Dotiac::DTL внутренне urlencodes все строковые литералы, прежде чем подвергать их eval по соображениям безопасности. Затем он оставляет их закодированными при передаче в качестве аргументов фильтра, что расстраивает при работе со строковыми литералами PCRE.

В этой ситуации наша вилка Dotiac::DTL urldecodes строка и выполняет проверку корректности в Safe::reval песочница перед открытием perlдвижок регулярных выражений. Перелом заключается в том, что строковые литералы, введенные в поддерживаемый аргумент фильтра, будут представлены дословно perl — вам не нужно дублировать обратные косые черты!

Контроль внедрения зависимостей/ACL

Контролируется lib/path.pm импорт.

либ/{путь, просмотр}ACL Subversion .pm

Разумно контролировать доступ к этим ресурсам для записи, ограничивая их людьми, как компетентными в кодовой базе, так и уполномоченными внедрять средства контроля безопасности для всего набора активов, находящихся под контролем версий (также известный как все).

Это также хорошая идея, чтобы включить @svnadmin группы среди тех, у кого есть доступ для чтения-записи, но это не обязательно, даже если вам нужно, чтобы мы вручную сбросили ваши ACL Subversion.

Динамически созданные правила через @путь::acl

Система сборки принимает к сведению ваше lib/path.pm импортирует либо (или оба) из seed_file_deps() и seed_file_acl(), и переносит этот выбор вперед в своей внутренней обработке изменений фиксации Subversion, которые приводят к инкрементной сборке.

Отслеживание миграции контролируемого контента

Когда вы предоставляете пользователям полную историю контроля версий, необходимо соблюдать осторожность, чтобы сохранить контроль авторизации в исходном местоположении контролируемого материала.

В противном случае материал может быть случайно выставлен историческому исследователю без необходимых разрешений**.

Логика отслеживания перемещения/удаления Orion CMS легко справляется с этим.

Пользовательские элементы управления для функции seed_file_deps() и использования функции seed_file_acl() в lib/path.pm

Помимо импорта этих символов в lib/path.pm, есть также выбор в том, как и к каким файлам вы хотите применить их, во время выполнения блока кода walk_content_tree (). В конце концов, это не просто файл конфигурации, а кодовая база со всеми функциями Turing. Perl Мы пришли, чтобы узнать и оценить!

Созданные файлы .htaccess веб-сайта и файлы авторизации Subversion синхронизированы с @path::acl немедленно после совершения

Автоматическая защита ACL для эфемерных ветвей. Требуется нулевая дополнительная конфигурация.

Встроенные средства управления поисковой системой PCRE

Same situation as the general-purpose UI: он перекрестно проверяет сервер Subversion из пользовательского интерфейса.

На действующем сайте поисковая система будет делать то же самое, когда вы включаете поиск по разметке (дерево источника). В противном случае он будет запускать подзапросы httpd на ваш действующий сайт, чтобы проверить, разрешен ли пользователю доступ к этому активному файлу (при условии, что вы защитили свою поисковую систему паролем, чтобы у нее были данные пользователей для работы).

Политики защиты содержимого

• Ограничения аналитики

Google, X и/или LinkedIn.

• Ограничения данных

Данные должны быть доставлены с наших серверов.

• Ограничения контента

Контент должен быть доставлен с наших серверов.

• Ограничения кода

Код JavaScript должен быть доставлен с наших серверов.

• Ограничения стилей

CSS должен быть доставлен с наших серверов.

• Ограничения плагинов

В настоящее время только PDF.

Совместное использование ресурсов между источниками

• Все пользователи с учетной записью могут использовать ИП/API из других источников, используя свои учетные данные для входа.

• Корпоративные и бизнес-клиенты могут относиться к Orion как к Без интерфейса если они хотят создать свой собственный пользовательский интерфейс из JSON Subversion Фарфор или Поиск JSON API.

Зависимости третьих сторон

Замечательно короткие и проверенные временем зависимости; основные компоненты которых охватываются Технология Orion страница.

Полная спецификация программного обеспечения (SBOM), доступная по запросу

Контакты для более подробной информации.