Zgłoszenie podatności
Problemy z bezpieczeństwem zgłaszaj prywatnie, nie w publicznym zgłoszeniu: otwórz kartę Security repozytorium i kliknij Report a vulnerability, podając wersję i sposób odtworzenia problemu. Potwierdzamy zgłoszenia w ciągu kilku dni roboczych, naprawiamy potwierdzone problemy w nowym wydaniu i wymieniamy zgłaszającego w informacjach o wydaniu, chyba że woli inaczej.
Poprawki bezpieczeństwa wydawane są dla najnowszej wersji. Kontakt czytelny maszynowo: security.txt.
Jak RMMZit chroni Twoje komputery
Konsola
Konsola i punkt połączeń agentów to osobne porty; konsola przyjmuje tylko dozwolone sieci, sprawdzane przed TLS. Logowanie dwuskładnikowe dla każdego konta, hasła argon2id, krótkie sesje, narastająca blokada po nieudanych logowaniach, ochrona CSRF, ścisła Content-Security-Policy i dziennik audytu łączony skrótami.
Agenty
Agenty łączą się tylko wychodząco — zarządzane komputery nie potrzebują otwartych portów —, przypinają certyfikat serwera przy rejestracji i wykonują tylko polecenia podpisane przez serwer i sprawdzone przez agenta.
Dostęp zdalny
Pulpit zdalny, terminal i pliki tylko dla użytkowników z dostępem do danego klienta; każda sesja i akcja trafia do dziennika audytu, a opcjonalne powiadomienie na zdalnym ekranie informuje użytkownika, że ktoś jest połączony.
Tylko Twoja sieć
Bez usługi w chmurze, bez telemetrii, bez konta u nas. Akcje root z konsoli (aktualizacje, sieć, strefa czasowa) przechodzą przez osobny pomocnik ze stałym zestawem sprawdzanych żądań; diagnostyka usuwa hasła, tokeny i klucze.
Jak chronione są wydania
- Każde wydanie jest podpisane kluczem wydań Ed25519 RMMZit; konsole i agenci sprawdzają podpis i sumy kontrolne przed instalacją aktualizacji.
- Skrypt instalacyjny sprawdza podpis i sumę kontrolną pobieranego wydania.
- Pakiety są budowane z otagowanych commitów; obrazy zawierają pisemną ofertę kodu źródłowego (
SOURCE-CODE.txt). - Aktualizacja konsoli najpierw tworzy kopię bazy i automatycznie wraca do poprzedniej wersji, jeśli nowa się nie uruchomi.
Jak testowany jest RMMZit
Przy każdej zmianie (GitHub Actions)
| Kontrola | Co wykrywa |
|---|---|
| CI | go vet, pełny zestaw testów z wbudowanym PostgreSQL, staticcheck, gosec, govulncheck i Gitleaks; kompilacje dla Linuksa i Windows |
| CodeQL | Wstrzykiwanie, path traversal, niebezpieczne przekierowania i inne błędy przepływu danych (Go, JavaScript, workflowy) |
| govulncheck | Znane podatności w Go i w zależnościach faktycznie wywoływanych przez kod |
| staticcheck | Błędy i martwy kod |
| Dependabot | Podatne lub przestarzałe moduły Go i akcje |
| Secret scanning | Przypadkowo zatwierdzone dane uwierzytelniające (z ochroną przy push) |
| OpenSSF Scorecard | Praktyki łańcucha dostaw repozytorium |
Przed wydaniami (w laboratorium testowym)
| Kontrola | Co wykrywa |
|---|---|
| gosec | Niebezpieczne wzorce w Go: wykonywanie poleceń, uprawnienia plików, słaba kryptografia |
| Semgrep | Wstrzykiwanie, XSS, niebezpieczne ciasteczka, otwarte przekierowania (Go, JavaScript, sekrety, reguły OWASP Top 10) |
| Trivy | Podatne zależności, sekrety i błędna konfiguracja |
| Gitleaks | Sekrety w całej historii git |
| OWASP ZAP | Pełne skanowanie jako zalogowany administrator: XSS, SQL injection, CSRF, path traversal, problemy z nagłówkami |
| OpenVAS i nmap | Podatności sieciowe, otwarte porty i ustawienia TLS appliance |
| QA end-to-end | Rejestracja, monitorowanie, alerty, pulpit zdalny, terminal, pliki, skrypty, aktualizacje, role, LDAP i SSO na prawdziwych komputerach z Windows i Linux |
Wykryte problemy są naprawiane przed wydaniem; zaakceptowane ryzyka są opisane w informacjach o wydaniu.
Ta strona
rmmzit.com to strona statyczna: tylko plik cookie z językiem, bez analityki, bez śledzenia, bez skryptów i czcionek firm trzecich, z Content-Security-Policy, która nie dopuszcza żadnych skryptów. Zobacz politykę prywatności.