Безопасность

Открыть как Markdown Открыть в ChatGPT Открыть в Claude

Сообщение об уязвимостях

Если вы обнаружите уязвимость безопасности в Meridian:

НЕ открывайте публичную проблему
Отправьте письмо разработчику или используйте GitHub Security Advisories
Включите шаги для воспроизведения и потенциальное воздействие

Мы стремимся ответить в течение 48 часов и будем кредитовать репортёров в исправлении.

Дизайн безопасности

Учётные данные: хранятся с разрешениями 0600 в ~/.config/meridian/cluster.yml, секреты никогда не передаются через shell команды без shlex.quote(), отредактированы из вывода meridian doctor. Разрешения директория 0700 (только владелец). Любое приложение работающее как ваш пользователь может прочитать эти файлы — это неотъемлемо для всех CLI инструментов, которые хранят учётные данные локально (SSH ключи, токены облачного CLI и т.д.). Если ваша локальная машина скомпрометирована на уровне пользователя, шифрование учётных данных не поможет: вредоносное ПО может регистрировать нажатия клавиш на пароль или перехватывать SSH сессии. Защитите вашу локальную машину.
Доступ к панели: админ-интерфейс Remnawave обратно проксируется nginx на секретный HTTPS путь — SSH туннель не требуется. Страницы подключения и ссылки подписки используют отдельный путь и никогда не раскрывают панель. URL и учётные данные админа находятся в разделе panel из ~/.config/meridian/cluster.yml
SSH: аутентификация по пароли отключена и fail2ban включён по умолчанию (--no-harden пропускает оба плюс брандмауэр для серверов, общих с другими сервисами)
Брандмауэр: UFW отклоняет входящий трафик, кроме портов SSH сервера и портов, которые требует его роль — TCP/443 для трафика прокси, TCP/80 где выпускаются сертификаты, UDP/443 только когда Hysteria2 включен и портс слушания на ретрансляторах
Закреплённое ПО: образы Remnawave закреплены к протестированным версиям; загрузки Realm, Xray (для meridian test) и RealiTLScanner закреплены к версиям и проверены по контрольной сумме
TLS: acme.sh обрабатывает сертификаты через Let’s Encrypt, обслуживаемые nginx

Область

Meridian конфигурирует серверы прокси — он не реализует криптографические протоколы. Базовая безопасность зависит от:

Xray-core — протокол VLESS+Reality
Remnawave — стек управления панелью + узлом
nginx — маршрутизация SNI и завершение TLS