Безпека та відповідальне розкриття інформації

Stella Ops Suite розроблено для перевіреного керування випуском:

  • Релізи є Підписом
  • Експорт доказів DSSE-завірений
  • Політики та рішення можна детерміновано відтворити для аудиту

Повідомити про вразливість

Електронна пошта: security@stella-ops.org

PGP: 9BCF 5D1D 6EA9 8F99 24F4 6071 B618 ABAF 7D23 C65D 7A86 77E8 2DE3 7815 6126 F723

Будь ласка, включіть:

  • Вплив + уражений компонент/версія
  • Етапи відтворення або PoC
  • Відповідні журнали/скріншоти
  • Ваш бажаний графік розкриття

Ми підтверджуємо протягом 72 годин і інформуємо вас, доки не буде опубліковано виправлення.

Перевірте, що ви запускаєте

Ключі: /keys/

Перевірте зображення контейнера

cosign verify \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stella-ops/stella-ops:<VERSION>

Перевірте архівний файл Offline Kit + підписаний маніфест

cosign verify-blob \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature stella-ops-offline-kit-<DATE>.tgz.sig \
  stella-ops-offline-kit-<DATE>.tgz

cosign verify-blob \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature offline-manifest-<DATE>.json.jws \
  offline-manifest-<DATE>.json

Захисні заходи в службі

  • Цілісність випуску: Cosign підписи + DSSE пакети, що посилаються на точний Git тег
  • Ланцюжок доказів: Капсули рішень підписані та відтворені (див. /evidence/)
  • Журнали доступу: зберігаються 7 днів, потім ip → sha256(ip)
  • JWT книга доступу: зберігає лише хеш ідентифікатора маркера (без електронної пошти/IP)
  • Перевірка маркера: можна перевірити офлайн за допомогою опублікованих відкритих ключів
  • Захист контейнера: некореневий UID, обмеження CPU/RAM, SELinux/AppArmor підтримка
  • Air-gap Parity: Offline Kit (див. /offline/)

Немає обов’язкової телеметрії

У веб-інтерфейсі немає аналітики, трекерів, пікселів або сторонніх JS. Телеметрія продукту вимкнена за замовчуванням і суворо включена.

Деталі конфіденційності: /privacy/