الأمان والإفصاح المسؤول

تم تصميم Stella Ops Suite للإصدار الذي يمكن التحقق منه الحوكمة:

  • الإصدارات موقعة بتوقيع المشارك
  • تم التصديق على تصدير الأدلة DSSE
  • السياسات والقرارات إعادة التشغيل بشكل حتمي للتدقيق

الإبلاغ عن ثغرة أمنية

البريد الإلكتروني: security@stella-ops.org

PGP: 9BCF 5D1D 6EA9 8F99 24F4 6071 B618 ABAF 7D23 C65D 7A86 77E8 2DE3 7815 6126 F723

يرجى تضمين:

  • التأثير + المكون/الإصدار المتأثر
  • خطوات إعادة الإنتاج أو إثبات المفهوم
  • ذو صلة السجلات/لقطات الشاشة
  • الجدول الزمني المفضل للإفصاح

نحن نعترف بذلك في غضون 72 ساعة ونبقيك على اطلاع حتى يتم نشر الإصلاح.

تحقق من ما تقوم بتشغيله

المفاتيح: /keys/

التحقق من صورة الحاوية

cosign verify \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stella-ops/stella-ops:<VERSION>

تحقق من مجموعة الأدوات غير المتصلة + البيان الموقع

cosign verify-blob \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature stella-ops-offline-kit-<DATE>.tgz.sig \
  stella-ops-offline-kit-<DATE>.tgz

cosign verify-blob \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature offline-manifest-<DATE>.json.jws \
  offline-manifest-<DATE>.json

الضمانات في الخدمة

  • سلامة الإصدار: توقيعات Cosign + حزم DSSE تشير إلى علامة Git الدقيقة
  • سلسلة الأدلة: كبسولات القرار موقعة وقابلة لإعادة التشغيل (راجع /evidence/)
  • سجلات الوصول: مخزنة لمدة 7 أيام، ثم ip → sha256(ip)
  • سجل وصول JWT: يخزن تجزئة معرف الرمز المميز فقط (بدون بريد إلكتروني/IP)
  • التحقق من صحة الرمز المميز: يمكن التحقق منه في وضع عدم الاتصال باستخدام المفاتيح العامة المنشورة
  • حاوية التعزيز: معرف UID غير الجذر، وحدود وحدة المعالجة المركزية/ذاكرة الوصول العشوائي، ودعم SELinux/AppArmor
  • تكافؤ الفجوة الهوائية: مجموعة أدوات عدم الاتصال بالإنترنت (راجع /offline/)

لا يوجد قياس إلزامي عن بعد

لا توجد تحليلات أو أدوات تعقب أو وحدات بكسل أو JS تابعة لجهة خارجية في واجهة مستخدم الويب. يتم تعطيل القياس عن بعد للمنتج بشكل افتراضي ويتم الاشتراك فيه بشكل صارم.

تفاصيل الخصوصية: /privacy/