نمای کلی امنیت
چگونگی محافظت لرالینک از نصب‌ها، حساب‌ها و محتوا، در یک صفحه، از جمله آنچه هنوز برقرار نشده است.
آخرین به‌روزرسانی: ۱۳ نوامبر ۲۰۲۶
خلاصه
| حوزه | آنچه امروز برقرار است |
|---|---|
| مسئولیت‌پذیری | SSStudio، با نام تجاری LeraLink |
| میزبانی | Cloudflare؛ پایگاه‌های داده، پرونده‌ها، پیکربندی و صف‌های کار از ۳ نوامبر ۲۰۲۶ در حوزهٔ قضایی اتحادیهٔ اروپای Cloudflare ذخیره می‌شوند. ایمیل توسط Resend؛ مدل‌های هوش مصنوعی از Cloudflare، OpenAI و Google، که به ترتیبی ثابت که پلتفرم تعیین کرده است آزموده می‌شوند |
| جداسازی | هر درخواست به یک نصب تعیین می‌شود؛ تصمیم دربارهٔ دسترسی در سرور گرفته می‌شود؛ درخواست‌های میان‌نصبی به‌صورت بسته شکست می‌خورند |
| ورود | کدهای ایمیلی یک‌بارمصرف، بدون گذرواژه؛ کلیدهای عبور (passkey) از ۳ نوامبر ۲۰۲۶ برای مدیریت پلتفرم الزامی و برای مدیریت نصب‌ها در دسترس‌اند؛ مدیریت افزون بر این پشت Cloudflare Access قرار دارد |
| محتوای محدود | فقط برای اشخاص و نقش‌های نام‌برده خواندنی است؛ هیچ مدل هوش مصنوعی هرگز آن را نمی‌خواند |
| مدیریت تغییر | نخست محیط آزمایشی (staging)، تأیید مالک پیش از محیط تولید، بررسی‌های خودکار برای هر تغییر، امکان بازگرداندن |
| ممیزی | سابقهٔ ممیزی فقط‌افزودنی از تغییرات مربوط به اشخاص و مجوزها، تحت نگهداری قانونی |
| پشتیبان‌گیری | پشتیبان شبانهٔ پایگاه داده با چک‌سام که ۳۰ روز در اتحادیهٔ اروپا نگهداری می‌شود، به‌علاوهٔ بازیابی به نقطه‌ای در زمان؛ بازیابی آزموده شده است |
| افشا | سیاست افشای هماهنگ آسیب‌پذیری و /.well-known/security.txt در هر نشانی |
| هنوز انجام‌نشده | بدون آزمون نفوذ مستقل، بدون گواهی‌نامه، بدون ورود یکپارچه، کلیدهای عبور هنوز برای هر نصب الزامی نیستند |
حاکمیت و مسئولیت‌پذیری
SSStudio، با نام تجاری LeraLink، تنها مالک مسئول امنیت و حریم خصوصی است. SSStudio دربارهٔ تدابیر امنیتی تصمیم می‌گیرد، هر تغییر در محیط تولید را تأیید می‌کند، دسترسی مدیریتی به پلتفرم را در اختیار دارد و به رخدادها و گزارش‌ها رسیدگی می‌کند.
کار امنیتی در یک دفتر ثبت خطر با اولویت‌ها و دروازه‌های انتشار پیگیری می‌شود. خطری که مانع مرحله‌ای از دورهٔ آزمایشی (pilot) شود، پیش از آغاز آن مرحله با شواهد ثبت‌شده بسته می‌شود.
شرح قراردادی این تدابیر در تدابیر فنی و سازمانی آمده است که جزئی از قرارداد پردازش داده است.
معماری
لرالینک روی Cloudflare اجرا می‌شود: کد برنامه، پایگاه‌های داده، ذخیره‌سازی پرونده، پیکربندی، صف‌های کار، هماهنگی و نمایهٔ جست‌وجو. هیچ ارائه‌دهندهٔ میزبانی دیگر و هیچ پایگاه دادهٔ خارجی وجود ندارد. ایمیل توسط Resend تحویل داده می‌شود. وظایف هوش مصنوعی از مدل‌های Cloudflare، OpenAI و Google استفاده می‌کنند (نگاه کنید به تأمین‌کنندگان). هر وظیفه مدل‌های خود را به ترتیبی ثابت که پلتفرم تعیین کرده است می‌آزماید؛ مدیران یک نصب می‌توانند آن ترتیب را، همراه با هر ارائه‌دهنده، در صفحهٔ «AI در این نصب» ببینند.
از ۳ نوامبر ۲۰۲۶، پایگاه‌های داده، پرونده‌ها (تصاویر، صوت، اسناد، بسته‌های برون‌بری و پشتیبان‌ها)، پیکربندی و صف‌های کار در حوزهٔ قضایی اتحادیهٔ اروپای Cloudflare ذخیره می‌شوند. درخواست‌ها در شبکهٔ جهانی Cloudflare پردازش می‌شوند، معمولاً در نزدیک‌ترین مرکز داده به خواننده. بخشی از پردازش بیرون از اتحادیهٔ اروپا انجام می‌شود: نمایهٔ جست‌وجو، حافظه‌های نهان کوتاه‌مدت، آمار ناشناس خواندن، پردازش هوش مصنوعی و سوابق تحویل ایمیل. سند «داده‌های شما کجا ذخیره می‌شوند» هر یک از این موارد را فهرست می‌کند. به‌طور خلاصه: داده‌ها در اتحادیهٔ اروپا ذخیره می‌شوند؛ در شبکهٔ جهانی Cloudflare پردازش می‌شوند.
جداسازی نصب‌ها و مجوزدهی
هر سازمان یا شخص یک نصب را اداره می‌کند: یک سایت دانشی جداگانه با اعضا، محتوا و تنظیمات خود. نصب‌ها کد و زیرساخت پلتفرم را به اشتراک می‌گذارند و در سطح نرم‌افزار از یکدیگر جدا شده‌اند.
- هر درخواست، از روی نشانی‌ای که به آن ارسال شده است، دقیقاً به یک نصب تعیین می‌شود. هیچ بخشی از برنامه برای یک نصب خاص نوشته نشده است.
- هر تصمیم دربارهٔ دسترسی در سرور و توسط یک ارزیاب واحد گرفته می‌شود. این ارزیاب در نظر می‌گیرد که چه کسی درخواست می‌کند، عضویت او در آن نصب، نقش‌ها و اعطاهای او، منع‌های صریح (منع همیشه غالب است) و تاریخ‌های انقضا.
- درخواستی که به داده‌های نصب دیگری برسد رد می‌شود. هنگامی که بررسی‌ای نتواند کامل شود، پاسخ رد است، نه دسترسی.
- قابلیتی که برای یک نصب فعال نیست، برای آن نصب در سرور وجود ندارد. فقط در رابط کاربری پنهان نشده است.
- یک نصب هرگز نمی‌بیند که شخصی به کدام نصب‌های دیگر تعلق دارد.
- آخرین مالک یک نصب را نمی‌توان حذف کرد، بنابراین هیچ نصبی بدون مالک مسئول نمی‌ماند.
- هر تغییر در اشخاص و مجوزها در سابقهٔ ممیزی نوشته می‌شود.
فهرست کامل اقدامات حفاظت‌شده در هر تغییر، با یک آزمون خودکار، در برابر قواعد مجوزدهی بررسی می‌شود.
هویت و ورود
- خوانندگان، اعضا، نویسندگان و مشارکت‌کنندگان با یک کد یک‌بارمصرف که با ایمیل فرستاده می‌شود وارد می‌شوند. هیچ گذرواژه‌ای برای ربوده شدن یا استفادهٔ دوباره وجود ندارد. هر کد یک بار کار می‌کند و ظرف چند دقیقه منقضی می‌شود.
- مدیران می‌توانند با یک کلید عبور (WebAuthn) وارد شوند. این کار از ۳ نوامبر ۲۰۲۶ برای مدیریت پلتفرم الزامی است، و یک نصب می‌تواند آن را برای مدیریت خود الزامی کند؛ تا زمانی که چنین نکند، مدیران آن همچنان می‌توانند با کد ایمیلی وارد شوند. کلید عبور در برابر فیشینگ مقاوم است و به نشانی دقیق مدیریت پیوند خورده است. هنگامی که نصبی کلید عبور را الزامی می‌کند، کدهای ایمیلی برای مدیریت آن رد می‌شوند، و اقدامات حساس (تغییرات دسترسی، مالکیت، دامنه‌ها، برون‌بری‌ها، حالت نگهداری و حالت رخداد، مدیریت کلیدها) در صورتی که کلید عبور در پنج دقیقهٔ اخیر به کار نرفته باشد دوباره آن را درخواست می‌کنند. نخستین کلید عبور را فقط می‌توان از طریق یک پیوند ثبت‌نام یک‌بارمصرف افزود که شخص مجاز دیگری صادر کرده است، و هرگز تنها از یک نشست با کد ایمیلی.
- سطوح مدیریتی افزون بر این با Cloudflare Access (Zero Trust) محافظت می‌شوند.
- نشست‌ها محدودیت‌های ثابتی دارند که برای مدیران کوتاه‌تر است. کوکی‌های نشست پیشوند __Host- دارند و HttpOnly، Secure و SameSite=Lax هستند. سرور فقط چکیده‌ای (hash) از هر نشانهٔ نشست را ذخیره می‌کند. نشانی‌های IP و توصیف‌های مرورگر فقط به‌صورت چکیده‌های کلیددار ذخیره می‌شوند.
سند «ورود و امنیت حساب» محدودیت‌های نشست و جزئیات هر روش را ارائه می‌دهد.
محتوای محدود
نویسنده‌ای که دسترسی مناسب دارد می‌تواند یک قطعه، یا یک پروژهٔ کامل، را به اشخاص یا نقش‌های نام‌برده محدود کند. در این صورت، قطعهٔ محدود برای همان اشخاص و برای هیچ کس دیگر، از طریق هیچ صفحه، خوراک، جست‌وجو، برون‌بری یا نشانی پرونده‌ای، خواندنی نیست. هر کس دیگر همان پاسخی را دریافت می‌کند که برای قطعه‌ای که وجود ندارد.
هیچ مدل هوش مصنوعی هرگز یک قطعهٔ محدود را نمی‌خواند. این قطعه از ترجمه، پیشنهادها، تولید تصویر، لایهٔ دانش و نمایهٔ جست‌وجو کنار گذاشته می‌شود؛ اگر قطعه‌ای که پیش‌تر عمومی بوده است محدود شود، مدخل‌های آن در نمایهٔ جست‌وجو ظرف چند دقیقه حذف می‌شوند.
محدودسازی کنترل دسترسی است، نه رمزگذاری سرتاسری. مدیر پلتفرم و مالک نصب از نظر فنی می‌توانند به پایگاه داده دسترسی یابند، و پشتیبان‌ها محتوای محدود را، مانند همهٔ داده‌های دیگر، ۳۰ روز نگه می‌دارند. قطعه‌ای که زمانی عمومی بوده است ممکن است همچنان در مرورگرهای خوانندگان یا نزد اشخاص ثالثی که آن را دریافت کرده‌اند نگهداری شود.
رمزگذاری
- همهٔ ترافیک از HTTPS استفاده می‌کند. امنیت سخت‌گیرانهٔ انتقال HTTP (HSTS) تنظیم شده است، بنابراین مرورگرها به اتصال‌های رمزگذاری‌نشده بازنمی‌گردند.
- داده‌های ذخیره‌شده در پایگاه‌های داده و ذخیره‌سازی پروندهٔ Cloudflare، در حالت سکون، توسط Cloudflare و با استفاده از AES-256 (با AES-GCM به‌عنوان حالت ترجیحی) رمزگذاری می‌شوند، و مدیریت کلیدهای رمزگذاری به‌طور کامل بر عهدهٔ زیرساخت داخلی Cloudflare است.
- نشانه‌های نشست فقط به‌صورت چکیده ذخیره می‌شوند. نشانی‌های IP و توصیف‌های مرورگر فقط به‌صورت چکیده‌های کلیددار ذخیره می‌شوند.
- لرالینک کلیدهای رمزگذاری تحت مدیریت مشتری ارائه نمی‌کند.
اسرار
- اعتبارنامه‌های Cloudflare، ارائه‌دهندگان هوش مصنوعی و تحویل ایمیل به‌صورت اسرار رمزگذاری‌شده در محیط‌های میزبانی و استقرار نگهداری می‌شوند. این اعتبارنامه‌ها هرگز در کد منبع ذخیره نمی‌شوند.
- اعتبارنامه‌های استقرار در محیط تولید را فقط استقراری می‌تواند به کار برد که مالک آن را تأیید کرده باشد.
- مدیری که یک ارائه‌دهندهٔ هوش مصنوعی را می‌افزاید، با نام به کلید آن ارجاع می‌دهد؛ خود کلید دوباره نشان داده نمی‌شود، و اعتبارنامه‌های خود پلتفرم را نمی‌توان برای یک ارائه‌دهنده برگزید.
- هر جا که ممکن است رازی افشا شده باشد، جایگزین می‌شود و راز پیشین باطل می‌گردد.
توسعهٔ امن و مدیریت تغییر
- کد منبع در یک مخزن خصوصی GitHub نگهداری می‌شود. شاخهٔ اصلی محافظت‌شده است.
- هر تغییر نخست به یک محیط آزمایشی (staging) جداگانه با پایگاه‌های دادهٔ خود می‌رود که آن هم در حوزهٔ قضایی اتحادیهٔ اروپا است.
- یک تغییر فقط پس از آنکه مالک انتشار را در GitHub تأیید کند به محیط تولید می‌رسد.
- بررسی‌های خودکار در هر تغییر اجرا می‌شوند: آزمون‌های رفتاری، بررسی هر اقدام حفاظت‌شده در برابر قواعد مجوزدهی، بررسی مصنوعات عمومی و بررسی پوشش ترجمه.
- بررسی مصنوعات عمومی در هر ساخت تأیید می‌کند که آنچه مرورگرها و خزنده‌ها می‌توانند دریافت کنند هیچ نقشهٔ منبع (source map)، هیچ واژه‌نامهٔ داخلی و هیچ توضیحی در صفحات ساخته‌شده ندارد، و پیام‌های خطا هیچ جزئیات داخلی را در بر ندارند.
- سرآیندهای امنیتی در هر پاسخ تنظیم می‌شوند، از جمله HSTS، X-Content-Type-Options: nosniff و سیاست امنیت محتوا (Content Security Policy).
- محتوا از خدمات دیگر (YouTube، Vimeo، X و دیگر رسانه‌های بیرونی) فقط پس از آنکه خواننده اجازه دهد بارگذاری می‌شود.
- هر انتشار را می‌توان به نسخهٔ پیشین بازگرداند. هر تغییر در ساختار پایگاه داده پیش از اعمال، با یک نقطهٔ بازیابی ثبت می‌شود.
ثبت رویداد، پایش و ممیزی
- سابقهٔ ممیزی. تغییرات در اشخاص، نقش‌ها، اعطاها، مالکیت، دامنه‌ها، حالت‌های رخداد و نگهداری و دیگر اقدامات مدیریتی در یک سابقهٔ ممیزی فقط‌افزودنی نوشته می‌شوند. این سابقه را نمی‌توان از طریق محصول ویرایش کرد و تحت نگهداری قانونی نگه داشته می‌شود، حتی پس از حذف یک حساب. جدول زمانی نگهداری داده توضیح می‌دهد که این به چه معناست.
- گزارش‌های خدمت. پلتفرم گزارش‌های عملیاتی ساختاریافته را برای عیب‌یابی در Cloudflare می‌نویسد. این گزارش‌ها برای مدتی کوتاه توسط Cloudflare نگهداری می‌شوند.
- پایش. یک پایشگر داخلی هر ۱۵ دقیقه خدمت را بررسی می‌کند. صفحهٔ وضعیت عمومی، status.lera.link، روی GitHub و مستقل از پلتفرم اصلی لرالینک اجرا می‌شود و وضعیت پلتفرم را به‌طور کلی نشان می‌دهد. برای اطلاعات بیشتر به سند دسترس‌پذیری و وضعیت مراجعه کنید.
افشای آسیب‌پذیری
ما از گزارش‌های پژوهشگران امنیتی استقبال می‌کنیم. سیاست افشای هماهنگ آسیب‌پذیری توضیح می‌دهد که چگونه گزارش دهید، چه چیزی در دامنهٔ شمول است و ما چگونه پاسخ می‌دهیم. هر نشانی لرالینک فایل /.well-known/security.txt را با نشانی تماس برای گزارش، security@lera.link، منتشر می‌کند.
پشتیبان‌گیری و بازیابی
- هر شب یک پشتیبان منطقی از کل پایگاه داده تهیه می‌شود، با چک‌سام بررسی می‌شود و ۳۰ روز در اتحادیهٔ اروپا نگهداری می‌شود.
- بازیابی به نقطه‌ای در زمانِ Cloudflare می‌تواند پایگاه داده را به لحظه‌ای پیش از یک تغییر مخرب بازگرداند.
- بازیابی ابزاری آزموده‌شده است. روی نسخه‌ای از محیط تولید، بازیابی کامل پایگاه داده در ۳۱ اکتبر ۲۰۲۶، ۲۴ دقیقه طول کشید. انتقال به اتحادیهٔ اروپا در ۳ نوامبر ۲۰۲۶ خود یک بازیابی کامل از ۲۷۱٬۰۳۲ ردیف بود که همهٔ شمارش‌های آن مطابقت داشت.
سند پشتیبان‌گیری و بازیابی جزئیات، اهداف بازیابی و محدودیت‌ها را ارائه می‌دهد.
پاسخ به رخداد
یک رویهٔ مکتوب برای رخدادها وجود دارد. پلتفرم می‌تواند یک نصب، یا کل پلتفرم، را ظرف چند دقیقه در حالت فقط‌خواندنی قرار دهد، تا خواندن ادامه یابد در حالی که هیچ چیز قابل تغییر نیست. شواهد حفظ می‌شوند و سابقهٔ ممیزی هرگز حذف نمی‌شود.
هر جا که دادهٔ شخصی تحت تأثیر قرار گیرد، ما مشتریان نصب‌ها را بدون تأخیر ناموجه و ظرف ۴۸ ساعت پس از آگاهی از نقضی که بر داده‌های آنان اثر می‌گذارد، چنان‌که در قرارداد پردازش داده آمده است، آگاه می‌کنیم. سند پاسخ به رخداد و اطلاع‌رسانی کل فرایند را شرح می‌دهد. برای گزارش رخدادی مشکوک، به security@lera.link بنویسید.
تأمین‌کنندگان
لرالینک از شمار اندکی تأمین‌کننده استفاده می‌کند: Cloudflare (میزبانی، ذخیره‌سازی، DNS، مدل‌های هوش مصنوعی)، GitHub (میزبانی کد، صفحهٔ وضعیت و برخی عملیات نگهداری)، Resend (تحویل ایمیل)، OpenAI و Google (مدل‌های هوش مصنوعی)، و DotNet Talk AB (شریک تداوم، با دسترسی دائمی به مخزن کد منبع و حساب Cloudflare، بدون دسترسی به Superadmin). هر یک، با نقش، مکان و تضمین‌های آن، در سند پردازشگران فرعی و دریافت‌کنندگان فهرست شده است. تغییرات طبق سیاست اطلاع‌رسانی تغییرات از پیش اعلام می‌شوند.
آنچه هنوز انجام نداده‌ایم
| کاستی | وضعیت |
|---|---|
| آزمون نفوذ مستقل | هنوز انجام نشده است؛ انجام آن برنامه‌ریزی شده است. بازبینی‌های داخلی و بررسی‌های خودکار جایگزین آن نیستند. |
| گواهی‌نامه (ISO 27001، SOC 2 یا مشابه آن) | هیچ گواهی‌نامه‌ای در دست نیست. سند مستندسازی و اطمینان امنیتی توضیح می‌دهد که به جای آن چه شواهدی می‌توانیم ارائه دهیم. |
| ورود یکپارچه (SAML یا OpenID Connect) برای سازمان‌ها | هنوز در دسترس نیست. هنوز برنامه‌ای برای آن وجود ندارد. |
| کلیدهای عبور | از ۳ نوامبر ۲۰۲۶ برای مدیریت پلتفرم و برای برخی نصب‌ها الزامی است. هنوز برای مدیریت هر نصب الزامی نیست. |
| کلیدهای امنیتی سخت‌افزاری | هنوز با لرالینک آزموده نشده‌اند. |
| پشتیبانی و پاسخ به رخداد | پشتیبانی در ساعات اداری ارائه می‌شود؛ میز پشتیبانی شبانه‌روزی وجود ندارد. پایش رخدادها و پاسخ به رخدادها به‌صورت شبانه‌روزی انجام می‌شود. سند تداوم کسب‌وکار همکاری تداوم با DotNet Talk AB را شرح می‌دهد. |
| ممیزی رسمی دسترس‌پذیری | هنوز انجام نشده است؛ نگاه کنید به بیانیهٔ دسترس‌پذیری. |
تماس
پرسش‌ها و گزارش‌های امنیتی: security@lera.link. پرسش‌های حریم خصوصی: privacy@lera.link.