Prijava ranjivosti
Bezbednosne probleme prijavite privatno, ne kao javnu prijavu: otvorite Security karticu repozitorijuma i kliknite Report a vulnerability, uz verziju i korake za ponavljanje. Prijem potvrđujemo u roku od nekoliko radnih dana, potvrđene probleme ispravljamo u novom izdanju i navodimo prijavioca u beleškama izdanja, osim ako ne želi drugačije.
Bezbednosne ispravke izlaze za najnoviju verziju. Mašinski čitljiv kontakt: security.txt.
Kako RMMZit štiti vaše računare
Konzola
Konzola i port za agente su odvojeni portovi; konzola prihvata samo vaše dozvoljene mreže, što se proverava pre TLS-a. Dvofaktorska prijava za svaki nalog, argon2id lozinke, kratke sesije, postepeno blokiranje neuspelih prijava, zaštita od CSRF-a, strogi Content-Security-Policy i audit log ulančan heš vrednostima.
Agenti
Agenti se povezuju samo ka serveru — na računarima koje održavate nema otvorenih portova — pri registraciji zapamte sertifikat servera i izvršavaju samo komande koje je server potpisao, a agent proverio.
Udaljeni pristup
Udaljena radna površina, terminal i fajlovi samo za korisnike sa pristupom tom klijentu; svaka sesija i akcija se upisuje u audit log, a opciono obaveštenje na udaljenom ekranu govori korisniku da je neko povezan.
Samo vaša mreža
Nema cloud servisa, nema telemetrije, nema naloga kod nas. Root akcije konzole (ažuriranja, mreža, vremenska zona) idu preko posebnog pomoćnika sa fiksnim skupom proverenih zahteva; dijagnostika uklanja lozinke, tokene i ključeve.
Kako su izdanja zaštićena
- Svako izdanje je potpisano RMMZit Ed25519 ključem za izdanja; konzole i agenti proveravaju potpis i kontrolne zbirove pre instalacije ažuriranja.
- Instalaciona skripta proverava potpis i kontrolni zbir izdanja koje preuzima.
- Paketi se grade iz označenih (tag) commit-ova; slike sadrže pisanu ponudu izvornog koda (
SOURCE-CODE.txt). - Ažuriranje konzole prvo pravi bekap baze i automatski vraća prethodnu verziju ako nova ne krene.
Kako se RMMZit testira
Pri svakoj izmeni (GitHub Actions)
| Provera | Šta pronalazi |
|---|---|
| CI | go vet, kompletni testovi nad ugrađenim PostgreSQL-om, staticcheck, gosec, govulncheck i Gitleaks; Linux i Windows build |
| CodeQL | Injection, path traversal, nebezbedna preusmeravanja i druge greške u toku podataka (Go, JavaScript, workflow-i) |
| govulncheck | Poznate ranjivosti u Go-u i u zavisnostima koje kod zaista poziva |
| staticcheck | Greške i mrtav kod |
| Dependabot | Ranjivi ili zastareli Go moduli i akcije |
| Secret scanning | Slučajno upisane lozinke i ključevi (uz zaštitu pri push-u) |
| OpenSSF Scorecard | Bezbednost lanca snabdevanja repozitorijuma |
Pre izdanja (u test laboratoriji)
| Provera | Šta pronalazi |
|---|---|
| gosec | Nebezbedni obrasci u Go-u: izvršavanje komandi, prava na fajlovima, slaba kriptografija |
| Semgrep | Injection, XSS, nebezbedni kolačići, otvorena preusmeravanja (Go, JavaScript, tajne, OWASP Top 10) |
| Trivy | Ranjive zavisnosti, tajne i loša podešavanja |
| Gitleaks | Tajne u celoj git istoriji |
| OWASP ZAP | Potpuno skeniranje prijavljenog administratora: XSS, SQL injection, CSRF, path traversal, problemi u zaglavljima |
| OpenVAS i nmap | Mrežne ranjivosti, otvoreni portovi i TLS podešavanja appliance-a |
| End-to-end QA | Registracija, nadzor, upozorenja, udaljena radna površina, terminal, fajlovi, skripte, ažuriranja, uloge, LDAP i SSO na pravim Windows i Linux računarima |
Nalazi se ispravljaju pre izdanja; prihvaćeni rizici su opisani u beleškama izdanja.
Ovaj sajt
rmmzit.com je statički sajt: samo kolačić za jezik, bez analitike, bez praćenja, bez skripti i fontova trećih strana, sa Content-Security-Policy-jem koji ne dozvoljava nijednu skriptu. Pogledajte politiku privatnosti.