Модель безопасности

Назначение

Эта страница объедпинясывает, свкакие данные и компоненты Клавдия о защитре буетсистемы архивирования: что именно защищать, какие ми середствами —ы встроенными в продукт ил какие меры необходимо обеспечить нал урожвне инными (сетевыми, сифрастемными), и зачем это нужно. Здесь же — рекомендация по выбору базктуры данных повышенной надёжности.

Технические детали шифрования, сертификатов и аудита —приведены в Обслужи{{ССЫЛКА:maintenance.security-ops|Прованиерке → Ззащитаы данных и Обслауждивта}} и {{ССЫЛКА:maintenance.tls-rotate|Замение → TLS-сертификатыа}}.

Что зЗащищаемые данные и компонентьы

Ресурс	ЧемОсновной угрожаетиск	КМехакнизм защищеноты
Тела писем и вложения	перехват, кража носителя	шифрование на диске (AES-256-GCM),GCM, TLS в каналах
Пароли источников и каталога	кража из базы, утечка	шифрование в базе (AES-256-GCM),GCM, расшифровка только в памяти
Учётные записи пользователей	подбор пароля, кража сессии	многофакторная аутентификация (TOTP), каталогMFA/TOTP, LDAP/AD, RADIUS
Настройки и права	подизменаение в обход интерфейса	контроль целостности (HMAC)HMAC
Каналы связи	перехват трафика	TLS для всех каналов
Секретный ключ кластера	компрометация →и расшифровка всех данных	хранение в secrets/ (0600)с правами 0600, резервное хранение и ротация
Журнал аудита	поддмена илка,и удаление записей	неизменяемый журнал

Что защищать средВствами продукта

Этиенные средства защиты

TLS

• Веб-инатерфейст работает по HTTPS с сертивфикаютом из базы. См. {{ССЫЛКА:install.tls-web|TLS-ся вертификат веб-интерфейса и публичных служб}}.
• IMAP и SMTP используют тот же Кцентралавдия.

  Шифрзованиено кхраналов (TLS)

  • Веб-интерфемыйс — HTTPS на сертификате из базы. См. Общие н{{ССЫЛКА:install.imap-service|Настройки → TLS-сертификат.
  • IMAP и SMTP — TLS на IMAP-сертификате из базы. См. Сервера IMAP,Клавдия}} и {{ССЫЛКА:install.smtp-service|Настройка SMTP-сервера SMTPКлавдия}}.
  • Подключения к источникам (IMAP, EWS,EWS SMTP)и —SMTP TLSвыполняются побя затещищённым канальноам; открытый канал не используется.
  • Каталог LDAP/AD —подключается только через TLS/SSL; конфигурастройкция с открытым каналом отклоняюется. См. {{ССЫЛКатаА:install.ldap-connect|Подклогючение LDAP / Active Directory}}.
  • Внутрикластерный трафик хранилища (на порту 8444)8444 —передаётся HTTPSпо нHTTPS. Проверка том же сертификате.а Ппо умолчанию проверка отключена (трафик междуля довереннымой внутренней сети узлами); для внешних узлов почерез публичнойую сети —ь включитье (KLVD_STORAGE_SSL_VERIFY=1).
  • Локальный ПSolr также рабоисктает (Solr) —по HTTPS нас тоем же сертификате (при локальном Solr).

  Один сертификат исприменяользуется ко всеми службами узла. ЗЕго можно загрузкаить и розаменитация —ь через веб-интерфейс, без перезапуска узла. См. Обслуживание → TLS-сертификаты.

  Шифрование архива на диске

  Шифрование

  • ВAES-256-GCM включается для группы хранилищ — один ключ на группу (AES-256-GCM). См. Хранилища и группы хранилищ.
  • РДля казныеждой группы могут используется свовать разныей ключ. Ши.
  • Нфрование влине меняет поведенаие поиска, просмотра и дедупликациюи: (хеш блока рассчитывается пот открытыхм данных)м.
  • Ключи не хранятся в базе —и выводятся из секрета узла.

  См. {{ССЫЛКА:install.storage-overview|Как устроены хранилища}}.

  Многофакторная аАутентификация

  Клавдий поддерживает:

  • TOTP (одноразовые TOTP-коды из приложения-аутентификатора). См. Пользователи, права и группы.;
  • РRADIUS как резервный способ — RADIUS: при неудаче локальной проверки пучётных дарнных; моляжно запрос уходит на сервер RADIUS (настраоивается в [Настройки → RADIUS], поддерживаетсяь несколько серверов с приоритетами и проверкой связи).;
  • Еединый вход (SSO)SAML 2.0 через SAML 2.0: ADFS, Microsoft Entra ID, Keycloak,Keycloak и Okta. Клавдий —работает как Service Provider, проверяет подпись SAML-ответа (xmldsig),xmldsig) и может автоматически создаёвать учётные записи.
  Н

  RADIUS настраивается в [Настройки] → [RADIUS], SAML — в [Настройки] → [SSO (SAML)]. См. Пользователи, права и группы.

Права доступа (RBAC)

RBAC(!)

• Зработает по принципу запрета по умолчанию: у пользователяь получаесть только то, что явно разрешённыено правила. Мом.
жно
• Пограничивать надоступ к разделыам, ящикиам, источникам и, отдельным действия. См. Пользователи, права и группы.
• Массовый сбор и серверные настройки —доступны только администратор.
• Приу; массовомый сбор не выдаёт права на чужие ящики автоматически.
  не

  См. {{ССЫЛКА:install.rbac|Правыила доступаются и RBAC}}.

Контроль целостности настроек

• Каждая запись настроек сопровождается HMAC. Если значение изменено в обход штатного механизма и контрольнойая суммой (HMAC).

• При обнаружении несогла совпанного измдаененият, запись помесчитается как повреждённая иой, не используется.
• Инцидент фиксируется в журнале.

Аудит

Клавдий фиксирует:

• Уудаленияе писем по сроку — храненизменяемый журнал (разделв [Хранение] → [Аудит удалений]).;
• Заморозки (legal hold(!)) — журнал наложенияе, применения,е и снятия.е заморозок legal hold(!);
• Оотказы в доступе, —которые учитывакже отображаются, видны на панели состояния.

Что защищать наложМеннрыми средствами

Эти средства настраиваются вне продукта — на уровне сети, операционной системы, инфраструктуры.

Сеть

• Firewall — оОграничьте сетевым экраном доступ к портам Клавдия только доверенными сетям. Порти: веб-интерфейс 8001, IMAP 993, SMTP 25, хранилище (8001)8444.
— то
• Длькоя административнорам и пгользователям. Порты IMAP (993) и SMTP (25) — только почтовым клиентам и серверам-отправителям. Порт хранилища (8444) — только между узлами кластера.
• VPN — для доступа администраторов к веб-интерфейсу из публичных сетей. используйте VPN.
• Изоляция контейнеров — пПри docker-composeDocker Compose используйте network_mode: host только на доверенном хосте;. вВ Kubernetes — сприменяйтевые политики (NetworkPolicy)NetworkPolicy.

Операционная система

• Обновления — рРегулярно устанавливайте обновления безопасности ОС и Docker.
• ПОграва доступа к файлам — папка secrets/ (права 0600, владелец root), .env (0600). Не предоставляйничьте доступ к папsecrets/ и .env; рекомендуемые устпрановкиа посторонним— 0600, владелец root.
• При Аунеобходимост ОС —и включите ауauditd диля контроля доступа к файлам секретов (auditd).

Резервное копирование

• Регулярно сСоздавайте резервные копии базуы данных, хранилищеа писем и секретныйого ключа. См. Обслуживание → {{ССЫЛКА:maintenance.backup-overview|Резервное копирование}}.
• Храните резервные копии отдельно от рабочих данных, желательно на другой площадке.
• Секретный ключ — вхраните отдельном от резервных копий дащищённом ыхранилище.

Сервер бБазыа данных

• ПриДля локальной PostgreSQL — ограничьте доступ к порту 5432 только узлоами Клавдия.
• ПриДля внешней базе —ы используйте SSLSSL, (например POSTGRESQL_SSL=require или verify-full), особенно при поередклюачен трафиика почерез публичнойую сетиь.
• Регулярно обновляйте СУБД.

Рекомендация: Quant Hybrid вместо PostgreSQL

Чеклист безопасности (мМинимальная проверка перед эксплум)атацией

• Сменён пароль встроенного администратора по умолчанию (admin).
• Загружен настоящий TLS-сертификат (от доверенного центра сертификации либо использование самоподписанный)ого сертилфиката принято осознанно используется самоподписанный.
• ВДля требуемых групп включено шифрование архива на диске для группы хранилищ.
• ВДля администраторов включена многофакторная аутентификация для администраторов.
• Настроен каталогLDAP/AD, LDAP/AD (если организация используесть корпоративный каталог).
• FirewallСетевой экран ограничивает доступ к портам Клавдия.
• Настроено регулярное резервное копирование (базаы, хранилище,а и секрет)а.
• Секретный ключ кластера хранится в защищённом месте, отдельно от данных.

Связанные м. атериакжелы

• {{ССЫЛКА:maintenance.security-ops|Проверка Обслуживание → Ззащитаы данных —и технаудические детали, ротация ключей}}
• Обслужив{{ССЫЛКА:maintenance.tls-rotate|Замение →а TLS-сертификаты — сертификаты для всех каналов}}
• {{ССЫЛКА:install.rbac|Пользователи, правила доступа и группы — RBAC, MFARBAC}}
• {{ССЫЛКА:install.storage-overview|Как Хустраоенилища и группы хранилищ — шифрование архива}}

Навигация по книге

• Следующая статья: {{ССЫЛКА:reference.tls|TLS и каналы связи }}