نموذج الأمان

هذه الصفحة هي الرواية الصريحة: ما يفعله النظام، وما لا يفعله عمدًا، ومن أين تأتي كل خاصية — من شيء تستطيع التحقق منه لا من طمأنة.

هوية المستأجر

يُعرَّف المشترك بزوج المستأجر واسم المستخدم، لا باسم المستخدم وحده. ويؤخذ نصف المستأجر من خاصية RADIUS متحقَّق منها — عنوان الجهاز أو معرّفه أو المحطة المطلوبة — أو من رمز جلسة متحقَّق منه. ولا يُقرأ أبدًا من جسم الطلب ولا من معاملات الرابط.

أمان مستوى الصفوف

كل جدول مرتبط بمستأجر في بوستجريس يحمل سياسة مبنية على متغيّر جلسة يُضبط طوال كل معاملة. والاستعلام الذي ينسى ترشيح المستأجر لا يسرّب؛ بل يعيد نتيجة أضيق.

ويتصل التطبيق بدور ليس مستخدمًا خارقًا في قاعدة البيانات، لأن المستخدم الخارق يتجاوز تلك السياسات تجاوزًا مطلقًا. وهذا أهم سطر في النشر: فبمستخدم قاعدة بيانات خاطئ تكون كل سياسة مكتوبة وموجودة في الفهرس وخاملة.

وتحصل أوراق التقسيم على سياساتها الخاصة بدل وراثتها، وفحص في البناء يفشل حين تنقص واحدة.

كلمات المرور وبيانات الاعتماد

كلمات مرور الموظفين والموزّعين مجزّأة بخوارزمية Argon2id. ولا يمكن استرجاعها، ولا نحن نستطيع.

أما بيانات اعتماد المشتركين فحالة مختلفة، وتستحق قولًا صريحًا لا تلميحًا: تتطلب بروتوكولات PAP و CHAP و MS-CHAPv2 أن يحتفظ الخادم ببيانات الاعتماد في صورة يستطيع الحساب عليها، فتُخزَّن كلمة مرور المشترك في صورة يستطيع مسار RADIUS استخدامها. وهذه خاصية في تلك البروتوكولات لا خيار تخزين. فإن كان نموذج التهديد لديك لا يسمح بذلك فالجواب تغيير طريقة المصادقة في شبكتك، لا انتظار أن يهزم نظام فوترة البروتوكول.

وتُخزَّن أكواد الكروت بحيث يستطيع الموظف قراءة الكود من الكرت المطبوع، وهو ما يحتاجه الكاونتر والدعم.

وتُشفَّر بيانات اعتماد بوابات الدفع قبل أن تصل إلى قاعدة البيانات ولا تُعاد إلى المتصفح أبدًا.

حسابات الموظفين والجلسات

• تحقق بخطوتين مبني على الوقت، لكل حساب.
• إبطال الجلسات: الجلسة المُخرَجة أو المُبطَلة تتوقف فورًا لا عند انتهائها الطبيعي.
• مدة جلسة قابلة للضبط لكل مستأجر.
• سجل تدقيق لا يُعدَّل، يبيّن من فعل ماذا، ومعه معرّف الطلب.

الرموز والويب هوك وسجل التدقيق

رموز الواجهة البرمجية محدودة بتقاطع نطاقها مع صلاحيات صاحبها الحيّة، والرمز المقيَّد ليس مديرًا عامًا أيًا كان من أنشأه. وتُرفض رفضًا قاطعًا على بيانات اعتماد الحساب وعلى إدارة الرموز نفسها.

والويب هوك الصادر موقَّع، فيستطيع المستقبِل التحقق من أن التسليم جاء من نسختك.

والبثّ طويل الأمد يعيد إثبات بيانات اعتماده نحو مرة كل دقيقة: أبطل رمزًا، أو عطّله، أو علّق صاحبه، أو احجب المستأجر، فينتهي البثّ المفتوح خلال الدقيقة بدل أن يستمر حتى إعادة تشغيل الخدمة.

النسخ الاحتياطية

تُشفَّر نسخ النسخة الاحتياطية قبل أن تغادر الجهاز وتُكتب إلى تخزين تربطه بنفسك، فالأرشيف لك والمفتاح غير مشترك مع الوجهة.

والاستعادة تُمارَس لا تُفترض: يُشغَّل مسار الاسترداد تمرينًا من منصة التحكم، لا يُوثَّق ويُرجى.