Безопасность

Безопасность по умолчанию

Мы описываем меры, которые реализованы в платформе. Сертификаты и аттестации будут указаны здесь только после их получения.

EGN ID на OpenID Connect: Authorization Code с PKCE, проверка подписи, издателя, аудитории и срока токенов.

Консоль хранит токены в HttpOnly-cookie на сервере; браузерный код их не видит. Защита от CSRF — проверка Origin и double-submit токен.

Одноразовые коды и TOTP. Ротация refresh-токенов с отзывом всей цепочки при повторном использовании.

Права вида сервис.ресурс.действие на уровне организации и проекта; явный запрет имеет приоритет.

Принадлежность проекта проверяется в каждом запросе, событии и фоновой задаче; есть регрессионные тесты на межарендаторский доступ.

Неизменяемая запись действий пользователей, сервисов и операторов с идентификатором запроса.

Ключи S3, пароли и cloud-init не записываются в журналы; секреты показываются один раз.

Доступ к OpenStack — через учётные данные с минимальными правами, разделённые по назначению.

Операционные меры

Шифрование при передаче: TLS для всех публичных точек входа
Заголовки безопасности: CSP, HSTS, запрет встраивания во фреймы, nosniff
Опасные операции: подтверждение с вводом имени ресурса; операции оператора — с указанием причины и записью в аудит
Неоплата: ограничение и приостановка без автоматического удаления данных
Сообщить об уязвимости: через форму на странице контактов с пометкой «Безопасность»