პაროლები ჰეშირებულია, არ ინახება
პანელი ინახავს bcrypt ჰეშს და მეტს არაფერს. აქ ვერავინ წაიკითხავს შენს პაროლს — და სწორედ ამიტომ ვერავინ გეტყვის, რა იყო ის. დაბრუნების ერთადერთი გზა აღდგენაა, და ეს ასეა განზრახ.
უსაფრთხოება
რა იცავს რეალურად შენს ანგარიშსა და სერვერებს
RE:NODE საკუთარ პანელს წერს და არ ყიდულობს მზამზარეულს — ამიტომ ამ ადგილის უსაფრთხოება ის არის, რაც ჩვენ ავაწყვეთ და შეგვიძლია ავხსნათ, და არა სხვისი გაყიდული ფუნქციების სია. ეს გვერდი სწორედ ის არის, რაც შიგნით დევს — იმ ნაწილების ჩათვლით, რომლებიც შეზღუდვაა და არა უპირატესობა.
- მხოლოდ HTTPS
- ჩვეულებრივი HTTP გადამისამართდება; სერტიფიკატები თავად ახლდება.
- ორფაქტორიანი
- ერთჯერადი კოდები ნებისმიერი აპლიკაციიდან, აღდგენის კოდებთან ერთად.
- ღამით, სხვა მანქანაზე
- ასლები ცალკე აპარატურაზე ინახება და ყოველი კოპირების შემდეგ მოწმდება.
- თითო კონტეინერი
- შენს სერვერს აქვს საკუთარი ფაილური სისტემა, მეხსიერება და CPU-ს ზღვარი.
შენი ანგარიში
ყველაფერი, რაც წყვეტს, ნამდვილად შენ ხარ თუ არა.
ორფაქტორიანი ავთენტიფიკაცია
დროზე დაფუძნებული კოდები ნებისმიერი აუთენტიფიკატორის აპლიკაციიდან, ერთჯერადი აღდგენის კოდებით, რომლებსაც ჩართვისთანავე მიიღებ. შეინახე ისინი იქ, სადაც ტელეფონი არაა: სწორედ ისინი გაბრუნებენ უკან, როცა ტელეფონი აღარაა.
შესვლა შეზღუდულია და შემოწმებული
შესვლა, რეგისტრაცია და პაროლის აღდგენა თითო მისამართზე შეზღუდულია სიხშირით და captcha-ს უკან დგას. პაროლის გამოცნობა წამგებიანი ხდება ბევრად ადრე, ვიდრე შედეგს გამოიღებდა.
სესიები, რომლებსაც ხედავ და წყვეტ
შენი ანგარიშის გვერდი აჩვენებს ყველა ღია სესიას, საიდან გამოიყენება და როდის იყო ბოლოს აქტიური, და საშუალებას გაძლევს დაასრულო ის, რომელსაც ვერ ცნობ. თავად cookie-ები დაშიფრულია, JavaScript-ისთვის მიუწვდომელი და სხვა საიტებიდან არ იგზავნება.
შესასვლელი
რას გადის მოთხოვნა, სანამ შენს მონაცემებამდე მიაღწევს.
HTTPS და მხოლოდ HTTPS
ჩვეულებრივი HTTP გადამისამართდება და არ მომსახურდება, სერტიფიკატები კი ავტომატურად გამოიცემა და ახლდება — ასე რომ ვადაგასული სერტიფიკატი კვირა დღეს ჩუმად ვერ მოხდება.
ყველა ფორმას CSRF token აქვს
მოთხოვნა, რომელიც რაღაცას ცვლის და არ მოვიდა ჩვენ მიერ მოწოდებული გვერდიდან, უარყოფილია. სხვა საიტი ვერ იმოქმედებს შენი სახელით იმ ჩანართში, რომელიც ღია დაგრჩა.
სკანერებს პასუხს არ ვცემთ
ტრაფიკის დიდი ნაწილი, რომელიც პანელს პოულობს, მას არ ეძებს: ის ინტერნეტს უვლის და ყველა ჰოსტს სთხოვს კრედენშალების ფაილებსა და კოდის ხეს, რომლებიც აქ არ არსებობს. ასეთი მოთხოვნები ერთი შეხედვით ამოიცნობა, მისამართს პასუხის გაცემა უწყდება და ყოველი დაბრუნებისას ბლოკი უფრო გრძელდება. ყოველი უარი იწერება ჟურნალში, რომელსაც ოპერატორი ნამდვილად კითხულობს.
ბლოკირება კიდეზე
fail2ban აპლიკაციის წინ დგას, ასე რომ ტრაფიკი, რომელიც აშკარად კლიენტი არაა, PHP პროცესს საერთოდ არ ხარჯავს.
შენი სერვერი
ერთი კლიენტის სერვერი მეორის საქაღალდე არ არის.
იზოლირებული კონტეინერები
თითოეული სერვერი თავის კონტეინერში მუშაობს, საკუთარი ფაილური სისტემით და მეხსიერების, CPU-სა და დისკის საკუთარი ზღვრებით. მეზობელი ვერ წაიკითხავს შენს ფაილებს და ვერც შენს რესურსს დახარჯავს დატვირთულ საღამოს.
კრედენშალები თითო სერვერზე
ადმინის პაროლები, RCON-ის პაროლები და ბაზის მომხმარებლები შენი სერვერისთვის გენერირდება და არა გეგმაზე გაზიარებული — და გეჩვენება შენ და არა სხვას.
API გასაღებები მისამართზე მიბმით
გასაღები შეიძლება შეიზღუდოს მისამართების სიით, რაც გაჟონილ გასაღებს სხვაგან უსარგებლოს ხდის. გასაღებები დაშიფრულად ინახება და მხოლოდ ერთხელ, შექმნისას, ჩანს.
ქვემომხმარებლები და არა საერთო პაროლი
მიეცი ვინმეს კონსოლი ფაილების გარეშე, ან სარეზერვო ასლები ბილინგის გარეშე. ყოველი მოქმედება იმ ანგარიშს მიეწერება, რომელმაც ის შეასრულა, სერვერის აქტივობის ჟურნალში — ასე რომ კითხვას „ვინ გადატვირთა“ პასუხი აქვს.
მონაცემები და სარეზერვო ასლები
დაზღვევა, რომელიც იმავე დისკზე არ დევს, რასაც აზღვევს.
ყოველ ღამე და უყურადღებოდ უსაფრთხოდ
ბაზა და სამუშაო მონაცემები ყოველ ღამე იწერება. ასლი პანელს ბლოკირებაში არ აჩერებს, ბაზის პაროლი არასდროს ჩნდება ბრძანების სტრიქონში, სადაც სხვა პროცესები წაიკითხავდნენ, და ორი გაშვება ერთმანეთს ვერ გადაეფარება.
მეორე ასლი სხვა მანქანაზე
პანელი, კლიენტების დისკები და ადგილობრივი ასლები ერთ საცავს იზიარებს — ასე რომ საცავის მწყობრიდან გამოსვლა პროდაქშენსაც წაიღებდა და მის დაზღვევასაც. ყველაფერი ცალკე აპარატურაზეც ჩამოიტვირთება.
გადამოწმებული და არა უბრალოდ დაკოპირებული
თითოეული ასლი მოწმდება არქივის მთლიანობაზე და, ბაზის შემთხვევაში, იმ დასრულების ჩანაწერზე, რომელიც მხოლოდ მაშინ იწერება, როცა ჩაწერა ნამდვილად დასრულდა. ასლი, რომელიც არავის შეუმოწმებია, ვარაუდია.
შენახვის ვადა, რომელიც დისკს არ ავსებს
ასლები გრაფიკით იშლება და სამუდამოდ არ გროვდება. სარეზერვო ასლები, რომლებიც იზრდება მანამ, სანამ პანელს თან არ წაიღებს, ის ავარიაა, რომლის გამოგონებაც არ გვინდა.
რას გადის მოთხოვნა
თანმიმდევრობით, იმ წამიდან, როცა პანელში ღილაკს დააჭერ.
- 1
დაშიფვრა
კავშირი იშიფრება მანამ, სანამ მოთხოვნის ერთი ბაიტიც გაიგზავნება. ჩვეულებრივი HTTP მხოლოდ გადამისამართებას იღებს.
- 2
რეპუტაცია
მისამართი ფასდება იმის მიხედვით, რასაც აკეთებდა. მოთხოვნები, რომლებმაც უკვე გამოაჩინეს თავი, აქ სრულდება — 404-ით, რომელიც არაფერს ეუბნება.
- 3
სესია და წყარო
სესიის cookie იშიფრება და CSRF token მოწმდება — ასე რომ მოთხოვნა შენგანაცაა და ჩვენს მიერ მოწოდებული გვერდიდანაც.
- 4
უფლება
მხოლოდ ამის შემდეგ მოწმდება, აქვს თუ არა ამ ანგარიშს ამ კონკრეტულ სერვერზე ამის უფლება — და იწერება იმავე სერვერის აქტივობის ჟურნალში.
რას არ ვაკეთებთ
უსაფრთხოების გვერდის ის ნაწილი, რომელიც ჩვეულებრივ აკლია.
არავის ვეკითხებით, სად ხარ
ქვეყნის დადგენა ხდება ჩვენივე მანქანაზე არსებული ცხრილიდან. მისამართის მესამე მხარის სერვისით დადგენა ნიშნავდა სხვისთვის ჩვენი ვიზიტორების შესახებ თხრობას, თითო მოთხოვნით.
გვერდის ნახვები მისამართის გარეშე ინახება
ვითვლით, რას კითხულობენ, რომ ვიცოდეთ რომელი გზამკვლევი ღირს დაწერად. ვინ წაიკითხა — არ ვინახავთ.
დაკარგულ პაროლს ვერ აღვადგენთ
ჰეშირება სწორედ ამას ნიშნავს. და თუ ორფაქტორიანი ჩართულია და აღდგენის კოდებიც დაიკარგა, ანგარიშს ვერავის დავუბრუნებთ — შენც ჩათვლილი. შეინახე კოდები.
ზოგიერთი თამაშის კრედენშალი ისე ინახება, როგორც აკრიფე
Arma 3, DayZ, Project Zomboid და 7 Days to Die ანონიმურად ვერ დაყენდება: ინსტალატორი Steam-ში შენი სახელით შედის, სერვერს კი ეს მონაცემები ყოველ განახლებაზე სჭირდება. გამოიყენე ანგარიში, რომელიც სერვერებისთვის გიჭირავს, და არასდროს შენი მთავარი. ამას თითოეული თამაშის გვერდი ყიდვამდე ამბობს და არა შემდეგ.
იპოვე რამე?
თუ გგონია, რომ სისუსტე აღმოაჩინე, გვითხარი სხვებზე ადრე და გავასწორებთ. რეალურ პრობლემაზე შეტყობინება ჩვენთვის იმაზე მეტად ღირს, ვიდრე ნებისმიერი მყიდველისთვის.
დაგვიკავშირდი