Güvenlik açığı bildirme
Güvenlik sorunlarını herkese açık bir bildirimle değil, gizli olarak bildirin: deponun Security sekmesini açın ve etkilenen sürümü ve yeniden oluşturma adımlarını belirterek Report a vulnerability'ye tıklayın. Bildirimleri birkaç iş günü içinde onaylar, onaylanan sorunları yeni bir sürümde düzeltir ve aksini tercih etmedikçe bildiren kişiyi sürüm notlarında anarız.
Güvenlik düzeltmeleri en yeni sürüm için yayımlanır. Makine tarafından okunabilir iletişim: security.txt.
RMMZit bilgisayarlarınızı nasıl korur
Konsol
Konsol ve ajan bağlantı noktası ayrı portlardır; konsol yalnızca izin verilen ağlarınızı kabul eder, TLS’ten önce denetlenir. Her hesap için iki adımlı oturum açma, argon2id parolaları, kısa oturumlar, başarısız girişlerde artan kilitleme, CSRF koruması, sıkı bir Content-Security-Policy ve özetlerle zincirlenmiş denetim günlüğü.
Ajanlar
Ajanlar yalnızca dışarı doğru bağlanır — yönetilen bilgisayarlarda açık port gerekmez —, kayıtta sunucu sertifikasını sabitler ve yalnızca sunucunun imzaladığı ve ajanın doğruladığı komutları çalıştırır.
Uzaktan erişim
Uzak masaüstü, terminal ve dosyalar yalnızca o müşteriye erişimi olan kullanıcılar için; her oturum ve işlem denetim günlüğüne yazılır ve uzak ekrandaki isteğe bağlı bildirim, kullanıcıya birinin bağlı olduğunu bildirir.
Yalnızca sizin ağınız
Bulut hizmeti yok, telemetri yok, bizde hesap yok. Konsoldan root işlemleri (güncellemeler, ağ, saat dilimi) sabit bir doğrulanmış istek kümesine sahip ayrı bir yardımcıdan geçer; tanılama parolaları, belirteçleri ve anahtarları çıkarır.
Sürümler nasıl korunur
- Her sürüm RMMZit Ed25519 sürüm anahtarıyla imzalanır; konsollar ve ajanlar bir güncellemeyi kurmadan önce imzayı ve sağlama toplamlarını doğrular.
- Kurulum betiği indirdiği sürümün imzasını ve sağlama toplamını doğrular.
- Paketler etiketli commit'lerden derlenir; imajlar yazılı bir kaynak kod teklifi içerir (
SOURCE-CODE.txt). - Bir konsol güncellemesi önce veritabanını yedekler ve yeni sürüm başlamazsa otomatik olarak geri döner.
RMMZit nasıl test edilir
Her değişiklikte (GitHub Actions)
| Denetim | Ne bulur |
|---|---|
| CI | go vet, yerleşik PostgreSQL ile tam test paketi, staticcheck, gosec, govulncheck ve Gitleaks; Linux ve Windows derlemeleri |
| CodeQL | Enjeksiyon, path traversal, güvensiz yönlendirmeler ve diğer veri akışı hataları (Go, JavaScript, iş akışları) |
| govulncheck | Go'da ve kodun gerçekten çağırdığı bağımlılıklarda bilinen güvenlik açıkları |
| staticcheck | Hatalar ve ölü kod |
| Dependabot | Güvenlik açığı olan veya eskimiş Go modülleri ve action'lar |
| Secret scanning | Yanlışlıkla eklenen kimlik bilgileri (push korumasıyla) |
| OpenSSF Scorecard | Deponun tedarik zinciri uygulamaları |
Sürümlerden önce (test laboratuvarında)
| Denetim | Ne bulur |
|---|---|
| gosec | Güvensiz Go kalıpları: komut çalıştırma, dosya izinleri, zayıf kriptografi |
| Semgrep | Enjeksiyon, XSS, güvensiz çerezler, açık yönlendirmeler (Go, JavaScript, gizli bilgiler, OWASP Top 10 kuralları) |
| Trivy | Güvenlik açığı olan bağımlılıklar, gizli bilgiler ve hatalı yapılandırmalar |
| Gitleaks | Tüm git geçmişindeki gizli bilgiler |
| OWASP ZAP | Yönetici olarak oturum açılmış tam tarama: XSS, SQL enjeksiyonu, CSRF, path traversal, başlık sorunları |
| OpenVAS ve nmap | Ağ düzeyindeki açıklar, açık portlar ve appliance'ın TLS ayarları |
| Uçtan uca QA | Gerçek Windows ve Linux bilgisayarlarda kayıt, izleme, uyarılar, uzak masaüstü, terminal, dosyalar, betikler, güncellemeler, roller, LDAP ve SSO |
Bulgular sürümden önce düzeltilir; kabul edilen riskler sürüm notlarında belgelenir.
Bu web sitesi
rmmzit.com statik bir sitedir: yalnızca dil çerezi, analiz yok, izleme yok, üçüncü taraf betik veya yazı tipi yok; hiçbir betiğe izin vermeyen bir Content-Security-Policy vardır. Bkz. gizlilik politikası.