Bezpieczeństwo

Appliance działa na sprzęcie i w sieci, które obsługujesz ty. IronFlock dostarcza oprogramowanie i jego ustawienia domyślne; to, jak dobrze Appliance jest chroniony, zależy także od wybranego trybu, otaczającej go sieci i hosta, na którym działa. Ta strona jest listą kontrolną dla tej części.

Co chroni każdy tryb

Appliance działa w jednym z trzech trybów opisanych w HTTPS i certyfikaty. Różnią się one tym, co jest szyfrowane i weryfikowane:

Używaj HTTPS z twoim firmowym certyfikatem wszędzie tam, gdzie Appliance dzieli sieć z innymi systemami. To jedyny tryb, w którym podłączone urządzenia weryfikują, z kim się komunikują. Dwa pozostałe tryby nadają się do segmentu sieci, do którego dostęp mają wyłącznie Appliance, jego urządzenia i jego operatorzy.

Co pozostaje nieszyfrowane

Nawet z HTTPS część ruchu nie jest szyfrowana. Zaplanuj swoją sieć z uwzględnieniem tego:

• Łącze urządzenia na porcie 18080 jest publikowane na każdym interfejsie sieciowym w każdym trybie. Łączą się z nim agent urządzenia samego Appliance i aplikacje działające na Appliance, a w trybie zwykłym i z samodzielnie wystawionym CA także wszystkie podłączone urządzenia.
• Tunele zdalnego dostępu do Appliance (port 7000) są szyfrowane w trybie zwykłym i z samodzielnie wystawionym CA, ale urządzenia nie mogą sprawdzić certyfikatu Appliance. Ktoś z dostępem do ścieżki sieciowej mógłby podszyć się pod serwer tuneli Appliance. Agenci urządzeń zapisują w logu ostrzeżenie, gdy łączą się w ten sposób.
• Połączenia między usługami wewnątrz Appliance, na przykład z jego bazami danych, nie są szyfrowane. Nie opuszczają one hosta.
• Dane w spoczynku nie są szyfrowane przez Appliance. Użyj szyfrowania systemu operacyjnego hosta lub dysku, jeśli Appliance przechowuje wrażliwe dane albo może opuścić twoją siedzibę.

Lista kontrolna zabezpieczeń

• Wybierz tryb pasujący do twojej sieci (zobacz Co chroni każdy tryb).
• Ogranicz, kto może dotrzeć do portów Appliance. Instalator niczego nie otwiera w twojej zaporze, a Docker publikuje porty Appliance z pominięciem zwykłych reguł wejściowych zapory hosta (ufw, firewalld). Filtruj w łańcuchu DOCKER-USER lub na zaporze sieciowej: instalator zostawia szablon w /opt/ironflock/docker-user-firewall.sh.example. Zezwalaj na porty urządzeń (18080, 15001, 15002, 7000, 30000–30049) wyłącznie z sieci urządzeń — zobacz Urządzenia łączące się z Appliance.
• Aktualizuj system operacyjny hosta i ogranicz, kto ma na nim konto. Każdy z dostępem root do hosta może odczytać wszystkie sekrety Appliance.
• Używaj kluczy SSH zamiast haseł do dostępu administracyjnego do hosta.
• Skonfiguruj synchronizację czasu — zobacz Synchronizacja czasu (NTP).
• Zmień hasło administratora po pierwszym logowaniu i skonfiguruj drugi składnik dla konta administratora.
• Wymagaj drugiego składnika od wszystkich, gdy wszystkie konta już go mają (zobacz Konta i dostęp).
• Chroń konto ironflock.com, do którego należy instancja, drugim składnikiem: ma ono z chmury dostęp administratora do Appliance.
• Instaluj tylko aplikacje, którym ufasz. Aplikacje działają na Appliance i na twoich urządzeniach z szerokim dostępem do hosta, w tym do plików konfiguracyjnych Appliance.
• Aktualizuj Appliance (zobacz Aktualizacje).

Konta i dostęp

• Konto administratora: każdy Appliance otrzymuje przy instalacji własne hasło administratora; instalator pokazuje je jeden raz. Jeśli zostanie utracone, ustaw nowe zgodnie z opisem w Praca lokalna — wylogowuje to także wszystkie sesje administratora.
• Nowi użytkownicy mogą się zarejestrować wyłącznie z zaproszeniem z projektu na Appliance. Bez zaproszenia rejestracja jest odrzucana, również przez logowanie społecznościowe.
• Drugi składnik: użytkownicy mogą skonfigurować aplikację uwierzytelniającą (TOTP), passkeys lub klucze bezpieczeństwa oraz kody odzyskiwania. Passkeys i klucze bezpieczeństwa wymagają HTTPS. Opcja instalatora --2fa ustawia zasadę, która pozostaje ustawiona po aktualizacjach:
  • available — użytkownicy mogą skonfigurować drugi składnik, ale nigdy nie są o niego proszeni.
  • effective (domyślnie) — użytkownicy, którzy mają drugi składnik, muszą go używać.
  • required — każdy użytkownik musi używać drugiego składnika. Najpierw upewnij się, że każde konto go ma: użytkownik bez niego nie może się już zalogować.
• Sesje trwają 24 godziny.
• Dostęp z ironflock.com: konto ironflock.com, które utworzyło klucz instancji, jest połączone z kontem administratora Appliance. Zaproszeni przez ciebie użytkownicy łączą własne konta ironflock.com — zobacz Powiązanie kont. Użytkownik może w każdej chwili usunąć to połączenie.

Sekrety na hoście

Instalator generuje sekrety Appliance jeden raz, podczas instalacji, i zachowuje je po aktualizacjach. Znajdują się one w /opt/ironflock/:

Instalator loguje też Dockera do rejestru IronFlock twoim kluczem licencyjnym, więc konfiguracja Dockera użytkownika root również go zawiera.

Uwzględnij te pliki w kopiach zapasowych i chroń kopie zapasowe tak jak sam Appliance.

Co możesz wymienić samodzielnie:

• Hasło administratora: w profilu lub poleceniem resetu opisanym w Praca lokalna.
• Certyfikat HTTPS: wymień pliki w certs/; Appliance automatycznie wczytuje nowy certyfikat.
• Klucz licencyjny: w sekcji licencji w profilu administratora.
• Poświadczenia SMTP i proxy: w .env, a następnie zrestartuj poleceniem sudo systemctl restart ironflock.service.

W sprawie wewnętrznych sekretów usług skontaktuj się z zespołem IronFlock.

Połączenia wychodzące i telemetria

Miejsca docelowe, z którymi łączy się Appliance, są wymienione w Konfiguracja zapory sieciowej; wszystkie te połączenia są szyfrowane.

• Weryfikacja licencji wysyła klucz licencyjny, odcisk sprzętu oraz tokeny dostępu połączeń Appliance z App Store online.
• Asystent AI wysyła prompty przez bramę LLM IronFlock, chyba że skonfigurujesz własną bramę.
• Brak telemetrii. Appliance nie wysyła analityki użycia: ani interfejs Appliance, ani jego usługi nie raportują użycia do IronFlock ani do stron trzecich.
• Z przeglądarki użytkownika: kafelki map są ładowane z Mapbox, a wprowadzanie głosowe korzysta z usługi rozpoznawania mowy Deepgram. Te połączenia nawiązuje przeglądarka, nie Appliance.

Aktualizacje

• Aktualizacje Appliance uruchamia administrator (zobacz Utrzymanie). Appliance pobiera je przez HTTPS i automatycznie wycofuje zmiany, jeśli aktualizacja się nie powiedzie.
• Aktualizacje agenta urządzeń są podpisane. Każdy agent sprawdza podpis przed zastosowaniem aktualizacji i wycofuje zmiany, jeśli nowa wersja się nie uruchomi — zobacz Aktualizacje agenta urządzeń.
• System operacyjny hosta, łącznie z Dockerem, jest twoją odpowiedzialnością.

Kopia zapasowa i przywracanie

Appliance nie ma wbudowanej kopii zapasowej. Aby wykonać kopię zapasową, zatrzymaj go poleceniem sudo systemctl stop ironflock.service i skopiuj:

• folder /opt/ironflock/, łącznie z .env, license.env, certs/ i registry-token-certs/;
• wolumeny Dockera Appliance (docker volume ls), które zawierają bazy danych, pliki, lokalny App Store i pliki użytkowników.

Przechowuj .env razem z wolumenami z tego samego momentu: zaszyfrowane dane w wolumenach można odczytać wyłącznie kluczami z tego .env.

Wycofanie z eksploatacji

1. Przenieś lub zwolnij licencję, póki Appliance jest jeszcze online — zobacz Przenoszenie licencji na nowy sprzęt.

2. Usuń oprogramowanie:

   sudo systemctl disable --now ironflock.service
   sudo docker compose -f /opt/ironflock/docker-compose.yml \
       --env-file /opt/ironflock/.env down -v
   sudo rm -rf /opt/ironflock

   Instalator zalogował Dockera do rejestru IronFlock kluczem licencyjnym; usuń również to logowanie:

   sudo docker logout instance-registry.ironflock.com

3. Jeśli sprzęt opuszcza twoją siedzibę, wymaż jego dysk — powyższe polecenia usuwają pliki, ale ich nie nadpisują.

Ustawienia osłabiające bezpieczeństwo

Niektóre ustawienia istnieją wyłącznie do rozwiązywania problemów. W środowisku produkcyjnym pozostaw je nieustawione:

• TUNNEL_TLS_INSECURE_SKIP_VERIFY i CLOUD_TUNNEL_TLS_INSECURE_SKIP_VERIFY — wyłączają sprawdzanie certyfikatu tuneli zdalnego dostępu.
• AGENT_UPDATE_ALLOW_UNSIGNED — pozwala agentowi urządzenia stosować niepodpisane aktualizacje.
• TUNNEL_AUTHZ_ENFORCE=false — pozwala urządzeniom otwierać tunele bez potwierdzania swojej tożsamości.
• ?tls.rejectUnauthorized=false w SMTP_CONNECTION_URI — akceptuje dowolny certyfikat od twojego serwera poczty.
• --2fa available — o drugi składnik nigdy się nie prosi.