# امنیت

> طراحی امنیت، گزارش آسیب‌پذیری و محدوده.

## گزارش آسیب‌پذیری‌ها

اگر آسیب‌پذیری امنیتی در Meridian کشف کردید:

1. **هیچ issue عمومی نباز نکنید**
2. ایمیل به maintainer یا از [GitHub Security Advisories](https://github.com/getmeridian/meridian/security/advisories/new) استفاده کنید
3. مراحل تکرار و تأثیر احتمالی را شامل کنید

هدف ما پاسخ در عرض 48 ساعت است و گزارش‌دهندگان را در رفع‌کننده اعتبار می‌دهیم.

## طراحی امنیتی

- **اعتبارنامه‌ها**: با مجوز `0600` در `~/.config/meridian/cluster.yml` ذخیره شده‌اند، اسرار هرگز از طریق دستورهای شل بدون `shlex.quote()` نمی‌رند، از خروجی `meridian doctor` حذف شده‌اند. مجوز‌های دایرکتوری `0700` (تنها مالک) هستند. هر برنامه‌ای که به‌عنوان کاربر شما اجرا می‌شود می‌تواند این فایل‌ها را بخواند — این برای همه ابزارهای CLI که اعتبارنامه را محلی ذخیره می‌کنند طبیعی است (کلیدهای SSH، توکن‌های cloud CLI، و غیره). اگر دستگاه محلی شما در سطح کاربر سوء‌استفاده شود، رمزگذاری اعتبارنامه کمکی نخواهد کرد: بدافزار می‌تواند رمز‌ گذارواژه یا جلسات SSH را رهگیری کند. دستگاه محلی خود را حفاظت کنید.
- **دسترسی پنل**: رابط کاربری مدیر Remnawave توسط nginx در مسیر HTTPS مخفی معکوس‌proxy می‌شود — هیچ تونل SSH لازم نیست. صفحات اتصال و پیوندهای اشتراک از مسیر جداگانه استفاده می‌کنند و هیچ‌گاه پنل را فاش نمی‌کنند. URL و اعتبارنامه مدیر در قسمت `panel` از `~/.config/meridian/cluster.yml` هستند
- **SSH**: احراز هویت رمز‌ واژه غیرفعال است و fail2ban به‌طور پیش‌فرض فعال است (`--no-harden` هر دو را نادیده می‌گیرد، بعلاوه firewall، برای سرورهای به‌اشتراک‌گذاری شده با سرویس‌های دیگر)
- **Firewall**: UFW ترافیک ورودی را رد می‌کند به جز پورت‌های SSH سرور و پورت‌هایی که نقش آن نیاز دارد — TCP/443 برای ترافیک proxy، TCP/80 جایی که گواهینامه صادر می‌شود، UDP/443 تنها وقتی Hysteria2 فعال است، و پورت شنوندگی روی relays
- **نرم‌افزار pinned**: تصاویر Remnawave به نسخه‌های تست‌شده pinned می‌شوند؛ Realm، Xray (برای `meridian test`)، و دانلود‌های RealiTLScanner نسخه‌pinned شده‌اند و checksum تأیید شده‌اند
- **TLS**: [acme.sh](https://github.com/acmesh-official/acme.sh) گواهینامه‌ها را از طریق Let's Encrypt مدیریت می‌کند، توسط nginx خدمت می‌شوند

## محدوده

Meridian سرورهای proxy را پیکربندی می‌کند — پروتکل‌های رمزنگاری را **پیاده‌سازی نمی‌کند**. امنیت زیربنایی به موارد زیر بستگی دارد:

- [Xray-core](https://github.com/XTLS/Xray-core) — پروتکل VLESS+Reality
- [Remnawave](https://remna.st/) — پنل + stack مدیریت گره
- [nginx](https://nginx.org/) — SNI routing و TLS termination
