Polityka bezpieczeństwa

Tunnelry zarządza certyfikatami i zaporą serwera VPN, więc zgłoszenia dotyczące bezpieczeństwa traktujemy poważnie. Ta strona mówi, jak zgłosić problem z bezpieczeństwem i czego się spodziewać. (English version: SECURITY.md.)

Zgłaszanie luki

Prosimy, nie zakładaj publicznego zgłoszenia i nie publikuj jej nigdzie. Napisz prywatnie na security@tunnelry.com.

Przydatne zgłoszenie mówi: której części dotyczy (aplikacji WWW, programu pomocniczego vpnctl, instalatora, mechanizmu aktualizacji lub wygenerowanej konfiguracji) i w jakiej wersji (jest w stopce aplikacji), jak ją odtworzyć i co, Twoim zdaniem, mógłby zrobić atakujący. Napisz też, czy planujesz opublikować swoje ustalenia, żebyśmy mogli uzgodnić rozsądny termin.

Dostaniesz odpowiedź oraz poprawkę lub jasne wyjaśnienie, tak szybko, jak potrafi jedna osoba. Prosimy o danie projektowi uczciwej szansy na naprawę, zanim coś opublikujesz.

Które wersje są wspierane

Poprawki bezpieczeństwa dostaje najnowsze wydanie, przez podpisany mechanizm aktualizacji. Starsze wersje nie są łatane: zaktualizuj do najnowszej. Tunnelry jest nadal w wersji 0.x, więc wersja drugorzędna (minor) może zmieniać sposób działania.

Zakres

W zakresie: aplikacja WWW, vpnctl, instalator, mechanizm aktualizacji i wygenerowana konfiguracja (OpenVPN, nftables, nginx, php-fpm, unbound).

Poza zakresem: luki w oprogramowaniu zewnętrznym, które nie wynikają ze sposobu, w jaki Tunnelry je konfiguruje (zgłaszaj je ich własnym projektom), oraz ataki wymagające wcześniejszego dostępu root do serwera.

Jak system jest zaprojektowany, żeby się bronić

Aplikacja WWW nigdy nie działa jako root i może wywoływać tylko jeden mały program pomocniczy z ustalonej listy poleceń; wydania i aktualizacje są podpisane i weryfikowane przed instalacją; zapora blokuje wszystko, na co nie pozwala żadna rola. Założenia, na których oparto projekt, opisuje model zagrożeń dołączony do projektu.