امنیت
گزارش آسیب‌پذیری‌ها
اگر آسیب‌پذیری امنیتی در Meridian کشف کردید:
- هیچ issue عمومی نباز نکنید
- ایمیل به maintainer یا از GitHub Security Advisories استفاده کنید
- مراحل تکرار و تأثیر احتمالی را شامل کنید
هدف ما پاسخ در عرض 48 ساعت است و گزارش‌دهندگان را در رفع‌کننده اعتبار می‌دهیم.
طراحی امنیتی
- اعتبارنامه‌ها: با مجوز
0600در~/.config/meridian/cluster.ymlذخیره شده‌اند، اسرار هرگز از طریق دستورهای شل بدونshlex.quote()نمی‌رند، از خروجیmeridian doctorحذف شده‌اند. مجوز‌های دایرکتوری0700(تنها مالک) هستند. هر برنامه‌ای که به‌عنوان کاربر شما اجرا می‌شود می‌تواند این فایل‌ها را بخواند — این برای همه ابزارهای CLI که اعتبارنامه را محلی ذخیره می‌کنند طبیعی است (کلیدهای SSH، توکن‌های cloud CLI، و غیره). اگر دستگاه محلی شما در سطح کاربر سوء‌استفاده شود، رمزگذاری اعتبارنامه کمکی نخواهد کرد: بدافزار می‌تواند رمز گذارواژه یا جلسات SSH را رهگیری کند. دستگاه محلی خود را حفاظت کنید. - دسترسی پنل: رابط کاربری مدیر Remnawave توسط nginx در مسیر HTTPS مخفی معکوسproxy می‌شود — هیچ تونل SSH لازم نیست. صفحات اتصال و پیوندهای اشتراک از مسیر جداگانه استفاده می‌کنند و هیچ‌گاه پنل را فاش نمی‌کنند. URL و اعتبارنامه مدیر در قسمت
panelاز~/.config/meridian/cluster.ymlهستند - SSH: احراز هویت رمز واژه غیرفعال است و fail2ban به‌طور پیش‌فرض فعال است (
--no-hardenهر دو را نادیده می‌گیرد، بعلاوه firewall، برای سرورهای به‌اشتراک‌گذاری شده با سرویس‌های دیگر) - Firewall: UFW ترافیک ورودی را رد می‌کند به جز پورت‌های SSH سرور و پورت‌هایی که نقش آن نیاز دارد — TCP/443 برای ترافیک proxy، TCP/80 جایی که گواهینامه صادر می‌شود، UDP/443 تنها وقتی Hysteria2 فعال است، و پورت شنوندگی روی relays
- نرم‌افزار pinned: تصاویر Remnawave به نسخه‌های تست‌شده pinned می‌شوند؛ Realm، Xray (برای
meridian test)، و دانلود‌های RealiTLScanner نسخهpinned شده‌اند و checksum تأیید شده‌اند - TLS: acme.sh گواهینامه‌ها را از طریق Let’s Encrypt مدیریت می‌کند، توسط nginx خدمت می‌شوند
محدوده
Meridian سرورهای proxy را پیکربندی می‌کند — پروتکل‌های رمزنگاری را پیاده‌سازی نمی‌کند. امنیت زیربنایی به موارد زیر بستگی دارد: