Skip to content

SECURITY.md

Latest commit

 

History

History
278 lines (211 loc) · 24 KB

SECURITY.md

File metadata and controls

278 lines (211 loc) · 24 KB
Raw

Security Policy (Azərbaycan dili)

🌐 Languages: 🇺🇸 English · 🇪🇹 am · 🇸🇦 ar · 🇧🇬 bg · 🇧🇩 bn · 🇧🇦 bs · 🇨🇿 cs · 🇩🇰 da · 🇩🇪 de · 🇬🇷 el · 🇪🇸 es · 🇪🇪 et · 🇮🇷 fa · 🇫🇮 fi · 🇫🇷 fr · 🇮🇪 ga · 🇮🇳 gu · 🇳🇬 ha · 🇮🇱 he · 🇮🇳 hi · 🇭🇷 hr · 🇭🇺 hu · 🇦🇲 hy · 🇮🇩 id · 🇳🇬 ig · 🇮🇹 it · 🇯🇵 ja · 🇬🇪 ka · 🇰🇭 km · 🇮🇳 kn · 🇰🇷 ko · 🇱🇹 lt · 🇱🇻 lv · 🇮🇳 ml · 🇮🇳 mr · 🇲🇾 ms · 🇲🇹 mt · 🇲🇲 my · 🇳🇵 ne · 🇳🇱 nl · 🇳🇴 no · 🇮🇳 or · 🇮🇳 pa · 🇵🇭 phi · 🇵🇱 pl · 🇵🇹 pt · 🇧🇷 pt-BR · 🇷🇴 ro · 🇷🇺 ru · 🇱🇰 si · 🇸🇰 sk · 🇸🇮 sl · 🇷🇸 sr · 🇸🇪 sv · 🇰🇪 sw · 🇮🇳 ta · 🇮🇳 te · 🇹🇭 th · 🇹🇷 tr · 🇺🇦 uk-UA · 🇵🇰 ur · 🇺🇿 uz · 🇻🇳 vi · 🇳🇬 yo · 🇨🇳 zh-CN · 🇹🇼 zh-TW

Zəifliklərin Bildirilməsi

OmniRoute-da təhlükəsizlik zəifliyi aşkar etsəniz, lütfən, onu məsuliyyətli şəkildə bildirin:

  1. İctimai GitHub problemi AÇMAYIN
  2. GitHub Security Advisories xidmətindən istifadə edin
  3. Bunları daxil edin: təsvir, təkrarlama addımları və potensial təsir

Cavab Müddəti

Mərhələ Hədəf
Təsdiq 48 saat
Təsnifat və Qiymətləndirmə 5 iş günü
Düzəliş Buraxılışı 14 iş günü (kritik)

Dəstəklənən Versiyalar

Versiya Dəstək Statusu
3.9.x 🗓️ Planlaşdırılıb — LTS xətti (stable/v3), aşağıya baxın
3.8.x ✅ Aktiv
3.7.x ✅ Təhlükəsizlik
< 3.7.0 ❌ Dəstəklənmir

LTS dəstək müddəti (v3.9.x)

3.8.59-dan sonrakı versiya 3.9.0-dır və bu versiya stable/v3 budağında uzunmüddətli dəstək xəttini açır (baxın: ROADMAP.md → "Mərhələ 3 — v3.9.0 LTS").

  • stable/v3 nələri qəbul edir: xəta düzəlişləri, təhlükəsizlik yamaqları və provayder yeniləmələri. Yeni funksiyalar v4 kanalına daxil edilir; LTS xəttində sabitlik prioritetdir. npm install omniroute (latest dist-teqi) bütün v4 dövrü ərzində v3-də qalır.
  • Dəstək müddəti: stable/v3 3.9.0 buraxılışından sonra 12 ay ərzində və ya v4.0.0 latest kimi dərc edildikdən sonrakı 90 gün ərzində — bunlardan hansı daha gec başa çatarsa, həmin tarixədək təhlükəsizlik düzəlişləri və kritik reqressiya düzəlişləri alır. Nəticədə müəyyən edilən bitmə tarixi 3.9.0 buraxılış qeydlərində və buraxılış həyata keçirildikdə ROADMAP.md faylında qeyd olunur.
  • LTS xəttində zəifliyin bildirilməsi: digər versiyalarda olduğu kimi eyni kanaldan — məxfi GitHub Security Advisory vasitəsilə bildirilməli, heç vaxt açıq məsələ yaradılmamalıdır. Hansı versiyanı sınaqdan keçirdiyinizi qeyd edin (məsələn, 3.9.2); düzəlişlər stable/v3 budağına daxil edilir və v4-ə ötürülür.
  • LTS buraxılışı zamanı təhlükəsizlik baza səviyyəsi: skanerin ölçülmüş vəziyyəti, marşrut qoruyucusu və açıq etimadnamələrə dair sübutlar docs/security/LTS_SECURITY_BASELINE.md faylında qeydə alınır.

Təhlükəsizlik Arxitekturası

OmniRoute çoxqatlı təhlükəsizlik modelini tətbiq edir:

Sorğu → CORS → Authz konveyeri (təsnif et → siyasətlər → tətbiq et)
       → Qoruyucu mexanizmlər (PII maskalayıcısı, prompt inyeksiyası, görüntü körpüsü)
       → Tezlik Məhdudlaşdırıcısı → Dövrə Kəsici → Soyuma Müddəti → Modelin Bloklanması → Provayder

🔐 Autentifikasiya və Avtorizasiya

Funksiya Tətbiq
İdarəetmə Panelinə Giriş JWT tokenləri ilə parol əsaslı autentifikasiya (HttpOnly kukiləri)
API Açarı ilə Autentifikasiya CRC yoxlamalı HMAC-imzalı açarlar
OAuth 2.0 + PKCE Provayderə xas brauzer/cihaz OAuth-ı dəstəkləndiyi yerlərdə PKCE-dən istifadə edir; yalnız idxal üçün nəzərdə tutulan Devin etimadnamələri ayrıca idarə olunur.
Tokenin Yenilənməsi Müddət bitməzdən əvvəl OAuth tokeninin avtomatik yenilənməsi
Təhlükəsiz Kukilər HTTPS mühitləri üçün AUTH_COOKIE_SECURE=true
Authz Konveyeri Marşrut təsnifatı (PUBLIC / CLIENT_API / MANAGEMENT) — baxın: docs/architecture/AUTHZ_GUIDE.md
Marşrut Qoruyucusu Səviyyələri İdarəetmə marşrutları üçün 3 səviyyəli model (LOCAL_ONLY / ALWAYS_PROTECTED / MANAGEMENT) — baxın: docs/security/ROUTE_GUARD_TIERS.md
İdarəetmə Əhatəli MCP Uzaqdan /api/mcp/* girişi manage əhatə dairəsinə malik API açarları ilə məhdudlaşdırılır; /api/cli-tools/runtime/* ciddi şəkildə yalnız geri dövrə üçün qalır. Baxın: ROUTE_GUARD_TIERS
MCP Əhatə Dairələri 32 detallı əhatə dairəsi (read:health, write:combos, execute:completions və s.) — baxın: docs/frameworks/MCP-SERVER.md

🛡️ Saxlanılan Məlumatların Şifrələnməsi

SQLite-da saxlanılan bütün həssas məlumatlar scrypt açar törətməsi ilə AES-256-GCM istifadə edilərək şifrələnir:

  • API açarları, giriş tokenləri, yeniləmə tokenləri və ID tokenləri
  • Versiyalaşdırılmış format: enc:v1:<iv>:<ciphertext>:<authTag>
  • STORAGE_ENCRYPTION_KEY təyin edilmədikdə birbaşa ötürmə rejimi (açıq mətn)
# Şifrələmə açarını yaradın:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)

🛡️ Qoruyucu Mexanizmlər Çərçivəsi

OmniRoute prioritetə görə sıralanmış 3 daxili qoruyucu mexanizmi olan, işləmə zamanı yenidən yüklənə bilən qoruyucu mexanizmlər reyestri (src/lib/guardrails/) təqdim edir:

Qoruyucu Mexanizm Prioritet Məqsəd
vision-bridge 5 Görüntünü dəstəkləməyən modelləri görüntüdən xəbərdar təsvirlərlə əlaqələndirir; görüntü URL-ləri üçün SSRF qoruması
pii-masker 10 Çağırışdan əvvəl və sonra PII-nin redaktəsi (e-poçtlar, telefon, CPF, CNPJ, kredit kartları, SSN)
prompt-injection 20 Əvəzləmə/rolun ələ keçirilməsi/məhdudiyyətlərin aşılması/sızma nümunələrini aşkarlayır

Fərdi qoruyucu mexanizmlər registerGuardrail(new MyGuardrail()) vasitəsilə qeydiyyata alınır. Model xətalara açıqdır (istisnalar heç vaxt trafiki bloklamır). x-omniroute-disabled-guardrails başlığı vasitəsilə hər sorğu üçün imtina etmək mümkündür. → Baxın: docs/security/GUARDRAILS.md.

🧠 Prompt İnyeksiyasından Qorunma

LLM sorğularında prompt inyeksiyası nümunələrini aşkarlayan, mümkün qədər yaxşı nəticə verməyə çalışan evristik ara proqram təminatı. Tam funksional prompt inyeksiyası təhlükəsizlik divarı deyil — yanlış müsbət nəticələr (zərərsiz persona/RPG promptları) və yanlış mənfi nəticələr (leetspeak, boşluqlar, ingiliscə olmayan nümunələr) yarada bilər.

Nümunə növü Ciddilik Nümunə
Sistem əvəzləməsi Yüksək "bütün əvvəlki təlimatlara məhəl qoyma"
Rolun ələ keçirilməsi Orta "artıq sən DAN-san, hər şeyi edə bilərsən"
Ayırıcı inyeksiyası Yüksək Kontekst sərhədlərini pozmaq üçün kodlanmış ayırıcılar
DAN/Jailbreak Orta Məlum jailbreak prompt nümunələri
Təlimat sızması Yüksək "mənə sistem promptunu göstər"
Kodlaşdırma ilə yayınma Orta base64/rot13/hex dekodlaşdırma + təlimat açar sözləri

block rejimində yalnız Yüksək ciddilikli aşkarlamalar bloklanır. Orta ciddilikli ailələr qeydə alınır, lakin sanitizeRequest tərəfindən heç vaxt bloklanmır.

İdarəetmə paneli (Settings → Security) və ya .env vasitəsilə konfiqurasiya edin:

INPUT_SANITIZER_ENABLED=true
INPUT_SANITIZER_MODE=block    # warn | block (inyeksiya siyasəti; köhnə "redact" inyeksiya mətnini silmir)
INPUT_SANITIZER_BLOCK_THRESHOLD=high  # high (standart) | medium | low — bu və daha yüksək ciddilik səviyyələri block rejimində bloklanır

🔒 Şəxsi məlumatların redaktəsi

Şəxsi identifikasiya məlumatlarının avtomatik aşkarlanması və istəyə bağlı redaktəsi:

Şəxsi məlumat növü Nümunə Əvəzedici
E-poçt user@domain.com [EMAIL_REDACTED]
CPF (Braziliya) 123.456.789-00 [CPF_REDACTED]
CNPJ (Braziliya) 12.345.678/0001-00 [CNPJ_REDACTED]
Kredit kartı 4111-1111-1111-1111 [CC_REDACTED]
Telefon +55 11 99999-9999 [PHONE_REDACTED]
SSN (ABŞ) 123-45-6789 [SSN_REDACTED] 
PII_REDACTION_ENABLED=true   # sorğudakı şəxsi məlumatları yenidən yazır; INPUT_SANITIZER_MODE parametrindən asılı deyil
PII_RESPONSE_SANITIZATION=true  # istəyə bağlı: müştərilərə qaytarılan provayder cavablarında şəxsi məlumatları redaktə edir

🌐 Şəbəkə təhlükəsizliyi

Funksiya Təsvir
CORS Domenlərarası açıq icazə siyahısı (CORS_ALLOWED_ORIGINS; köhnə CORS_ORIGIN)
IP filtrləməsi İdarəetmə panelində icazə verilən/bloklanan IP diapazonları
Tezlik məhdudlaşdırması Avtomatik geri çəkilmə ilə hər provayder üzrə tezlik limitləri
Kütləvi sorğu axınının qarşısının alınması Mutex + hər bağlantı üzrə kilidləmə ardıcıl 502 xətalarının qarşısını alır
TLS barmaq izi Bot aşkarlanmasını azaltmaq üçün brauzerəbənzər TLS barmaq izi təqlidi
CLI barmaq izi Yerli CLI imzalarına uyğunlaşmaq üçün hər provayder üzrə başlıq/gövdə sıralaması

🔌 Dayanıqlılıq və əlçatanlıq

Funksiya Təsvir
Dövrə açarı Hər provayder üzrə SQLite-da saxlanılan 3 vəziyyətli (Bağlı → Açıq → Yarıaçıq) mexanizm
Sorğu idempotentliyi Dublikat sorğular üçün 5 saniyəlik təkrarsızlaşdırma pəncərəsi
Eksponensial geri çəkilmə Artan gecikmələrlə avtomatik təkrar cəhd
Sağlamlıq paneli Provayderlərin vəziyyətinin real vaxt rejimində monitorinqi

📋 Uyğunluq

Funksiya Təsvir
Jurnalların saxlanması CALL_LOG_RETENTION_DAYS müddətindən sonra avtomatik təmizləmə
Jurnallaşdırmadan imtina Hər API açarı üzrə noLog bayrağı sorğuların jurnallaşdırılmasını deaktiv edir
Audit jurnalı İnzibati əməliyyatlar audit_log cədvəlində izlənilir
MCP auditi Bütün MCP alət çağırışları üçün SQLite əsaslı audit jurnalı
Zod yoxlaması Bütün API girişləri modul yüklənərkən Zod v4 sxemləri ilə yoxlanılır

Tələb Olunan Mühit Dəyişənləri

Server işə salınmazdan əvvəl bütün məxfi dəyərlər təyin edilməlidir. Onlar yoxdursa və ya zəifdirsə, server dərhal xəta ilə dayanacaq.

# TƏLƏB OLUNUR — bunlar olmadan server işə düşməyəcək:
JWT_SECRET=$(openssl rand -base64 48)     # minimum 32 simvol
API_KEY_SECRET=$(openssl rand -hex 32)    # minimum 16 simvol

# TÖVSİYƏ OLUNUR — saxlanılan məlumatların şifrələnməsini aktivləşdirir:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)

Server changeme, secret və ya password kimi məlum zəif dəyərləri aktiv şəkildə rədd edir.

Docker Təhlükəsizliyi

  • İstehsal mühitində root olmayan istifadəçidən istifadə edin
  • Məxfi dəyərləri yalnız oxuma üçün nəzərdə tutulmuş volume-lar kimi qoşun
  • .env fayllarını heç vaxt Docker image-lərinə köçürməyin
  • Həssas faylları istisna etmək üçün .dockerignore istifadə edin
  • HTTPS arxasında işləyərkən AUTH_COOKIE_SECURE=true təyin edin
docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest

Asılılıqlar

  • npm audit əmrini müntəzəm icra edin (npm run audit:deps əsas hissəni və electron-u əhatə edir)
  • Asılılıqları yenilənmiş vəziyyətdə saxlayın
  • Layihə commit öncəsi yoxlamalar üçün husky + lint-staged istifadə edir (lint-staged + check-docs-sync + check:any-budget:t11)
  • CI konveyeri hər push zamanı ESLint təhlükəsizlik qaydalarını icra edir (no-eval, no-implied-eval, no-new-func = xəta)
  • Provayder sabitləri modul yüklənərkən Zod vasitəsilə yoxlanılır (src/shared/validation/schemas.ts)
  • Təhlükəsizliyi standart olaraq təmin edən kitabxanalardan istifadə olunur: dompurify / isomorphic-dompurify (XSS), jose (JWT), better-sqlite3 (parametrləşdirilmiş sorğular sayəsində SQLi riski yoxdur), bcryptjs (parolların heşlənməsi)

Ciddi Təhlükəsizlik Qaydaları

Bu qaydaların icrası alətlər və yoxlayan şəxslər tərəfindən təmin edilir:

  1. Məxfi dəyərləri heç vaxt commit etməyin — .env gitignore-a əlavə edilib; .env.example şablondur (literal dəyərlər yoxdur, yalnız şərhlər var — aşağıdakı PUBLIC_CREDS.md sənədinə baxın)
  2. Heç vaxt eval(), new Function() və ya dolayı eval istifadə etməyin — ESLint bunu məcburi şəkildə yoxlayır
  3. Açıq operator təsdiqi olmadan Husky hook-larından heç vaxt yan keçməyin (--no-verify, --no-gpg-sign)
  4. Route-larda heç vaxt birbaşa SQL yazmayın — həmişə src/lib/db/ vasitəsilə işləyin (parametrləşdirilmiş)
  5. Giriş məlumatlarını həmişə Zod ilə yoxlayın — src/shared/validation/schemas.ts
  6. Yuxarı axından gələn header-ləri həmişə təmizləyin — qadağan olunmuşlar siyahısı src/shared/constants/upstreamHeaders.ts faylındadır
  7. Saxlanılan giriş məlumatlarını şifrələyin — src/lib/db/encryption.ts vasitəsilə AES-256-GCM
  8. Açıq yuxarı axın OAuth identifikatorları üçün resolvePublicCred() istifadə edin — mənbə koduna heç vaxt AIza… / GOCSPX-… / …apps.googleusercontent.com literal dəyərlərini yerləşdirməyin. docs/security/PUBLIC_CREDS.md sənədinə baxın.
  9. Xəta cavablarını buildErrorBody() / sanitizeErrorMessage() vasitəsilə yaradın — işlənməmiş err.stack / err.message dəyərlərini heç vaxt HTTP / SSE / executor / MCP cavab gövdələrinə daxil etməyin. docs/security/ERROR_SANITIZATION.md sənədinə baxın.
  10. exec() / spawn() icra zamanı dəyərləri env seçimi vasitəsilə ötürülməlidir — xarici yolları və ya etibar edilməyən dəyərləri shell vasitəsilə ötürülən skriptlərə heç vaxt sətir interpolyasiyası ilə daxil etməyin. İstinad: src/mitm/cert/install.ts::updateNssDatabases.
  11. Standart olaraq təhlükəsiz kitabxanalara üstünlük verin — tldrsec/awesome-secure-defaults səhifəsinə baxın (Helmet.js, DOMPurify, ssrf-req-filter, safe-regex, Google Tink). Öz həllinizi hazırlamazdan əvvəl onlardan istifadə edin.

Təchizat zənciri skanerinin aşkarlamaları (Socket.dev / Snyk / oxşarları)

Əhatə dairəsi qeydi: Repozitoriyanın kökündəki socket.yml yalnız dərc edilmiş npm artefaktının Socket.dev reyestri tərəfindəki dərcdən sonrakı skanı üçün projectIgnorePaths parametrini formalaşdırır — bu, məcburi CI/PR birləşdirmə keçidi deyil. .github/workflows daxilində heç bir iş axını, heç bir package.json skripti və heç bir Makefile hədəfi Socket.dev-i çağırmır.

Dərc edilmiş omniroute npm artefaktı Next.js-in output: "standalone" quruluşunu paketə daxil edir; bu isə sənədləşdirilmiş imtiyazlı funksiyalar (MITM, Zed idxalı, Cloud Sync, daxili xidmət nəzarətçisi) daxil olmaqla hər bir marşrut emalçısının .next/server/*.js daxilində minimallaşdırılmış fraqmentlərə düşməsi deməkdir. Evristik təchizat zənciri skanerləri tez-tez həmin fraqmentləri zərərli proqram imzaları ilə nümunə uyğunlaşdırması vasitəsilə yoxlayır.

İstifadə etdiyimiz skaner konfiqurasiyası repozitoriyanın kökündəki socket.yml faylında yerləşir (Socket.dev GitHub App formatı v2 — baxın: https://docs.socket.dev/docs/socket-yml). O, skanerin yalnız həqiqətən dərc edilmiş istifadəçilərə çatan kod yolları barədə hesabat verməsi üçün göndərilməyən qovluqları (tests/, _tasks/, _references/, _ideia/, _mono_repo/, docs/ və s.) açıq şəkildə istisna edir — skanın özü bu repozitoriyadakı iş axını ilə deyil, həmin faylı oxuyan Socket GitHub App tərəfindən başladılır.

Hər aşkarlama kateqoriyası üçün aşkarlama üzrə ayrıca müşayiətçi təsdiqi saxlayırıq:

  • docs/security/SOCKET_DEV_FINDINGS.md — aşkarlama üzrə xəritə: mənbə faylı ↔ işarələnmiş fraqment ↔ davranış ↔ v3.8.6 versiyasında tətbiq edilmiş risk azaltma tədbiri.
  • Hər işarələnmiş funksiyadakı mənbədaxili SECURITY-AUDITOR-NOTE: blokları eyni sənədə istinad edir.

Konveyeri xəbərdarlığı yumşalda bilməyən istifadəçilər üçün: OMNIROUTE_BUILD_PROFILE=minimal npm run build ilə qurun. Bu, dörd həssas modulu icra zamanı HTTP 503 feature-disabled qaytaran stub-larla əvəz edir; beləliklə, imtiyazlı kod yolları paketdə fiziki olaraq mövcud olmur. Dərcetmə təlimatı üçün docs/security/SOCKET_DEV_FINDINGS.md sənədinə baxın.

İstinadlar