55 lines
2.6 KiB
Markdown
55 lines
2.6 KiB
Markdown
# Безопасность
|
||
|
||
## Секреты
|
||
|
||
Секретами считаются Hysteria authentication, obfs password, URI целиком,
|
||
generated config и все backups.
|
||
|
||
- CLI не принимает URI в argv.
|
||
- Dataclass скрывает credentials из `repr()`.
|
||
- Ошибки parser не включают исходное значение.
|
||
- diff заменяет secret values на `<REDACTED>`.
|
||
- state хранит только SHA-256 source/config и безопасный endpoint label.
|
||
- URI/config/backups имеют `0600`, каталоги — `0700`.
|
||
- subprocess вызывается массивом аргументов без shell.
|
||
|
||
После попадания действующего URI в чат, issue, shell history или journal оба
|
||
credential следует перевыпустить.
|
||
|
||
## Fail closed
|
||
|
||
До изменения production проверяются:
|
||
|
||
- policy schema;
|
||
- URI syntax и поддерживаемые параметры;
|
||
- точная версия и `with_quic`;
|
||
- deterministic candidate;
|
||
- `sing-box check`.
|
||
|
||
Неизвестные параметры никогда не игнорируются. Production bypass для другой
|
||
версии отсутствует.
|
||
|
||
## Anti-leak
|
||
|
||
Отдельная таблица `inet vpn_egress_guard` отклоняет forwarding с `eth1` напрямую
|
||
на `eth0`. Она не принадлежит sing-box и остаётся отдельной от динамической
|
||
таблицы `inet sing-box`.
|
||
|
||
Guard запускается до sing-box. Остановка или удаление guard unit является
|
||
security-sensitive операцией и не выполняется CLI автоматически.
|
||
|
||
Имена интерфейсов поступают из уже провалидированного policy, subprocess не
|
||
использует shell, а замена таблицы выполняется одной nft batch-транзакцией.
|
||
|
||
## Healthcheck
|
||
|
||
HTTPS healthcheck подтверждает data plane, но раскрывает проверочному endpoint
|
||
факт обращения с VPN egress IP. URL можно заменить внутренним контролируемым
|
||
endpoint. Отключение URL ослабляет проверку до состояния systemd.
|
||
|
||
## Ограничения URI 1.13.19
|
||
|
||
`pinSHA256` не преобразуется в `certificate_public_key_sha256`, потому что это
|
||
разные fingerprint semantics. `ech` не преобразуется без проверенного PEM/config
|
||
list adapter. Silent downgrade TLS запрещён.
|