Relatar uma vulnerabilidade
Relate problemas de segurança em particular, não em um relato público: abra a aba Security do repositório e clique em Report a vulnerability, informando a versão afetada e como reproduzir. Confirmamos os relatos em poucos dias úteis, corrigimos os problemas confirmados em uma nova versão e damos crédito a quem relatou nas notas da versão, a menos que prefira o contrário.
As correções de segurança são publicadas para a versão mais recente. Contato legível por máquina: security.txt.
Como o RMMZit protege seus computadores
Console
O console e o ponto de conexão dos agentes são portas separadas; o console aceita somente as suas redes permitidas, verificadas antes do TLS. Login em dois fatores para toda conta, senhas argon2id, sessões curtas, bloqueio progressivo de logins com falha, proteção contra CSRF, uma Content-Security-Policy rigorosa e um log de auditoria encadeado por hash.
Agentes
Os agentes só se conectam de saída — os computadores gerenciados não precisam de portas abertas —, fixam o certificado do servidor no registro e executam somente comandos assinados pelo servidor e verificados pelo agente.
Acesso remoto
Área de trabalho remota, terminal e arquivos somente para usuários com acesso àquele cliente; cada sessão e ação fica no log de auditoria, e um aviso opcional na tela remota informa ao usuário que alguém está conectado.
Apenas a sua rede
Sem serviço em nuvem, sem telemetria, sem conta conosco. As ações root do console (atualizações, rede, fuso horário) passam por um assistente separado com um conjunto fixo de solicitações validadas; o diagnóstico remove senhas, tokens e chaves.
Como as versões são protegidas
- Cada versão é assinada com a chave de publicação Ed25519 do RMMZit; consoles e agentes verificam a assinatura e os checksums antes de instalar uma atualização.
- O script de instalação verifica a assinatura e o checksum da versão que baixa.
- Os pacotes são compilados a partir de commits com tag; as imagens incluem uma oferta escrita do código-fonte (
SOURCE-CODE.txt). - Uma atualização do console faz primeiro o backup do banco e reverte automaticamente se a nova versão não iniciar.
Como o RMMZit é testado
A cada alteração (GitHub Actions)
| Verificação | O que encontra |
|---|---|
| CI | go vet, o conjunto completo de testes com PostgreSQL embutido, staticcheck, gosec, govulncheck e Gitleaks; builds para Linux e Windows |
| CodeQL | Injeção, path traversal, redirecionamentos inseguros e outros erros de fluxo de dados (Go, JavaScript, workflows) |
| govulncheck | Vulnerabilidades conhecidas no Go e nas dependências que o código realmente usa |
| staticcheck | Bugs e código morto |
| Dependabot | Módulos Go e actions vulneráveis ou desatualizados |
| Secret scanning | Credenciais enviadas por engano (com proteção no push) |
| OpenSSF Scorecard | Práticas da cadeia de suprimentos do repositório |
Antes das versões (em laboratório de testes)
| Verificação | O que encontra |
|---|---|
| gosec | Padrões inseguros em Go: execução de comandos, permissões de arquivos, criptografia fraca |
| Semgrep | Injeção, XSS, cookies inseguros, redirecionamentos abertos (Go, JavaScript, segredos, regras OWASP Top 10) |
| Trivy | Dependências vulneráveis, segredos e configurações incorretas |
| Gitleaks | Segredos em todo o histórico do git |
| OWASP ZAP | Varredura completa com login de administrador: XSS, injeção de SQL, CSRF, path traversal, problemas de cabeçalhos |
| OpenVAS e nmap | Vulnerabilidades de rede, portas abertas e configurações TLS do appliance |
| QA de ponta a ponta | Registro, monitoramento, alertas, área de trabalho remota, terminal, arquivos, scripts, atualizações, funções, LDAP e SSO em computadores Windows e Linux reais |
Os problemas encontrados são corrigidos antes da publicação; riscos aceitos são documentados nas notas da versão.
Este site
rmmzit.com é um site estático: apenas um cookie de idioma, sem análises, sem rastreamento, sem scripts ou fontes de terceiros e com uma Content-Security-Policy que não permite nenhum script. Veja a política de privacidade.