Güvenlik modeli
Kim neyi yapabilir, sınırlar nerede ve CloudZH neye karşı korumaz.
Katmanlar
| Katman | Koruma |
|---|---|
| Giriş | Tek kapı olarak Caddy, her yerde HTTPS, panel girişinin arkasında yönetici uygulamaları, istekler bir uygulamaya ulaşmadan önce oturum çerezi kaldırılır |
| Oturum açma | Parola politikası, Passkey'ler, kurtarma kodlu doğrulayıcı kodları, başarısız denemelerden sonra kilitleme, oturum kapatma özellikli cihaz listesi |
| Kurallar | Yönetim yalnızca ev ağından veya VPN'den, 2FA zorunlu, hassas işlemler için parola onayı |
| Kontrol paneli | Ayrıcalık yok, sıkılaştırılmış konteyner, üçüncü taraf paketi yok |
| Agent | Unix soketi üzerinden sabit komut listesi, systemd sıkılaştırması, sembolik bağlantılar izlenmeden kontrol edilen yollar, denetim kaydı |
| Sunucu | Sistem yazılımı yalnızca komut satırından, oturum açmalarda Fail2Ban, düğmeyle güvenlik güncellemeleri |
Gizli bilgiler
- Davet bağlantıları yalnızca hash olarak saklanır. Lisans anahtarları hash ile doğrulanır ve hesabında görebilmen için şifreli saklanır.
- Yapay zekâ anahtarları şifreli saklanır, tarayıcı son dört karakteri görür.
- Plex hesap token'ın yalnızca kurulum sırasında bellekte kalır.
- Yönetici uygulamaları API anahtarlarını kendi yapılandırma dosyalarından alır; anahtarlar asla tarayıcıya gönderilmez.
Sınırlar
Sunucuda root yetkisi olan herkes, CloudZH dahil her şeyi okuyabilir ve değiştirebilir. İki uygulama, Lingarr ve Requestrr, kendi girişleri olmadan çalışır ve Docker ağındaki diğer konteynerlerden erişilebilir; dışarıdan ise her yönetici uygulaması gibi panel girişinin arkasındadırlar.