Segnalare una vulnerabilità
Segnala i problemi di sicurezza in privato, non in una segnalazione pubblica: apri la scheda Security del repository e fai clic su Report a vulnerability, indicando la versione interessata e come riprodurre il problema. Confermiamo le segnalazioni entro pochi giorni lavorativi, correggiamo i problemi confermati in una nuova release e citiamo chi li ha segnalati nelle note di rilascio, salvo diversa preferenza.
Le correzioni di sicurezza vengono rilasciate per la versione più recente. Contatto leggibile dalle macchine: security.txt.
Come RMMZit protegge i tuoi computer
Console
Console ed endpoint degli agenti sono porte separate; la console accetta solo le reti consentite, verificate prima del TLS. Accesso a due fattori per ogni account, password argon2id, sessioni brevi, blocco progressivo degli accessi falliti, protezione CSRF, una Content-Security-Policy rigorosa e un registro di audit concatenato tramite hash.
Agenti
Gli agenti si collegano solo in uscita — i computer gestiti non hanno bisogno di porte aperte —, fissano il certificato del server alla registrazione ed eseguono solo comandi firmati dal server e verificati dall’agente.
Accesso remoto
Desktop remoto, terminale e file solo per gli utenti con accesso a quel cliente; ogni sessione e azione finisce nel registro di audit, e un avviso facoltativo sullo schermo remoto indica all’utente che qualcuno è connesso.
Solo la tua rete
Nessun servizio cloud, nessuna telemetria, nessun account da noi. Le azioni root della console (aggiornamenti, rete, fuso orario) passano da un helper separato con un insieme fisso di richieste verificate; la diagnostica rimuove password, token e chiavi.
Come sono protette le release
- Ogni release è firmata con la chiave di rilascio Ed25519 di RMMZit; console e agenti verificano firma e checksum prima di installare un aggiornamento.
- Lo script di installazione verifica firma e checksum della release che scarica.
- I pacchetti sono compilati da commit con tag; le immagini contengono un’offerta scritta del codice sorgente (
SOURCE-CODE.txt). - Un aggiornamento della console esegue prima il backup del database e torna automaticamente indietro se la nuova versione non si avvia.
Come viene testato RMMZit
A ogni modifica (GitHub Actions)
| Controllo | Cosa trova |
|---|---|
| CI | go vet, la suite di test completa con PostgreSQL integrato, staticcheck, gosec, govulncheck e Gitleaks; build per Linux e Windows |
| CodeQL | Injection, path traversal, redirect non sicuri e altri errori nel flusso dei dati (Go, JavaScript, workflow) |
| govulncheck | Vulnerabilità note in Go e nelle dipendenze effettivamente richiamate dal codice |
| staticcheck | Bug e codice inutilizzato |
| Dependabot | Moduli Go e action vulnerabili o obsoleti |
| Secret scanning | Credenziali inserite per errore nel codice (con protezione al push) |
| OpenSSF Scorecard | Pratiche della supply chain del repository |
Prima delle release (in laboratorio di test)
| Controllo | Cosa trova |
|---|---|
| gosec | Schemi Go non sicuri: esecuzione di comandi, permessi dei file, crittografia debole |
| Semgrep | Injection, XSS, cookie non sicuri, redirect aperti (Go, JavaScript, segreti, regole OWASP Top 10) |
| Trivy | Dipendenze vulnerabili, segreti ed errori di configurazione |
| Gitleaks | Segreti in tutta la cronologia git |
| OWASP ZAP | Scansione completa con accesso da amministratore: XSS, SQL injection, CSRF, path traversal, problemi di intestazioni |
| OpenVAS e nmap | Vulnerabilità di rete, porte aperte e impostazioni TLS dell’appliance |
| QA end-to-end | Registrazione, monitoraggio, avvisi, desktop remoto, terminale, file, script, aggiornamenti, ruoli, LDAP e SSO su computer Windows e Linux reali |
I problemi riscontrati vengono corretti prima del rilascio; i rischi accettati sono documentati nelle note di rilascio.
Questo sito
rmmzit.com è un sito statico: solo un cookie per la lingua, niente analisi, niente tracciamento, niente script o font di terze parti e una Content-Security-Policy che non consente alcuno script. Vedi l’informativa sulla privacy.