Chính sách bảo mật hệ thống

Tài liệu này mô tả các biện pháp bảo mật đang thực sự được triển khai. Nơi nào chưa triển khai, tài liệu ghi rõ là chưa. Theo nguyên tắc an toàn thông tin, tài liệu không nêu ngưỡng phát hiện cụ thể, đường dẫn quản trị hay chi tiết cấu hình có thể dùng để tấn công.

1. Đường truyền

Cấu hình khi khởi động từ chối chạy ở môi trường thật nếu địa chỉ ứng dụng không phải HTTPS.

2. Mật khẩu

Không có định dạng băm cũ hay đường dự phòng nào trong hệ thống — mọi mật khẩu đều là scrypt.

Chưa có xác thực hai yếu tố cho khách hàng. Đây là quyết định có ý thức ở giai đoạn này và được ghi nhận là việc nên làm. Xác thực hai yếu tố hiện chỉ áp dụng cho nhân sự vận hành.

3. Khoá API

Điều này có nghĩa gì với bạn: nếu bạn mất khoá, TexAPI không thể gửi lại cho bạn — chỉ có thể thu hồi và cấp khoá mới. Nếu cơ sở dữ liệu của TexAPI bị đọc trái phép, khoá của bạn không dựng lại được từ đó.

Hai hạn chế phải công bố:

• Mọi khoá hiển thị giống nhau. Phần tiền tố hiển thị trên giao diện là một chuỗi cố định cho mọi khoá, và TexAPI không lưu 4 ký tự cuối. Hệ quả: nếu bạn phát hiện một khoá bị lộ trong log hay trong một commit, bạn không có cách xác định đó là khoá nào trong số các khoá của mình, và phải thu hồi theo phỏng đoán. Đây là thiếu sót thật, đang được xử lý.
• Khoá API được chấp nhận cả ở dạng tham số truy vấn URL, để tương thích với một số máy khách. URL bị ghi vào log của mọi proxy và CDN trên đường đi. Khuyến nghị: luôn dùng header Authorization.

4. Bí mật của TexAPI và của nhà cung cấp

Khoá API của bạn không bao giờ được chuyển tiếp lên nhà cung cấp hạ tầng. Danh sách chặn header xác thực bảo đảm điều đó; TexAPI dùng khoá riêng của mình khi gọi hạ tầng.

Một hạn chế cần ghi nhận: khoá dùng để mã hoá các bí mật trên được dẫn xuất bằng một lượt băm đơn giản, không có phiên bản khoá — nghĩa là hiện chưa có đường luân chuyển khoá mã hoá. Đã ghi nhận là việc nên làm.

5. Phiên đăng nhập

Hai dòng cuối nghĩa là: một token bị chiếm ở ngày thứ nhất vẫn dùng được tới ngày thứ 30 nếu bạn không tự thu hồi. Vì vậy trang Cài đặt → Phiên đăng nhập là công cụ thật, nên dùng khi thấy bất thường.

6. Kiểm soát truy cập nội bộ

Console vận hành là ứng dụng riêng, tên miền riêng, cookie riêng, phiên 8 giờ, và không cho công cụ tìm kiếm lập chỉ mục.

Phân quyền theo vai, 6 vai và 50 quyền riêng biệt. Nguyên tắc thực thi: quyền là tham số bắt buộc đầu tiên của mỗi tuyến quản trị, nên một tuyến quên kiểm tra quyền không viết ra được. Mọi hành động thay đổi dữ liệu đi qua một điểm duy nhất, nơi mỗi hành động không biên dịch được nếu không khai báo quyền, hành động ghi vết và loại đối tượng.

Vai được thiết kế theo nguyên tắc quyền tối thiểu: vai kỹ thuật không có bất kỳ quyền tài chính nào; vai tài chính không có quyền hạ tầng hay quyền đọc bí mật nhà cung cấp; vai marketing không có quyền xem dữ liệu cá nhân của khách; vai hỗ trợ có thể đình chỉ và thu hồi nhưng không hoàn tiền.

Vai được tra lại từ cơ sở dữ liệu ở từng request, không nướng vào phiên, nên khi thu hồi quyền thì hiệu lực ngay ở lần bấm tiếp theo — và phiên của người đã bị thu hồi quyền bị tự huỷ.

Thao tác tiền có hai lớp chặn thêm: trần số tiền theo từng vai, và bắt buộc nhập lý do bằng văn bản với 13 loại quyền nhạy cảm. Xác thực hai yếu tố là bắt buộc với thao tác tiền vượt ngưỡng — nhân sự chưa bật thì bị từ chối thẳng — nhưng chưa bắt buộc với mọi nhân sự, hiện là tự chọn. Chưa có danh sách IP cho phép đối với console vận hành.

7. Nhật ký kiểm tra

Mọi hành động thay đổi dữ liệu của nhân sự vận hành đều được ghi vết, trong cùng một giao dịch cơ sở dữ liệu với chính thay đổi đó. Hệ quả: không thể có một thay đổi đã ghi mà không có vết, cũng không thể có vết của một thay đổi đã bị hoàn tác. Hành động thất bại và hành động bị từ chối vì thiếu quyền cũng được ghi.

Nội dung mỗi vết: người thực hiện, hành động, đối tượng, lý do, IP, thông tin trình duyệt, ảnh chụp trạng thái trước và sau, mã tương quan, và kết quả.

Chỉ ghi thêm, và điều này được cơ sở dữ liệu thực thi, không phải quy ước: một cơ chế ở tầng cơ sở dữ liệu chặn mọi lệnh sửa và xoá trên bảng nhật ký — sửa một bút toán sai phải bằng cách ghi thêm một bút toán bù. Email của người thực hiện được lưu phi chuẩn hoá có chủ đích, để một nhân sự bị xoá tài khoản không xoá được lịch sử của chính mình.

Giới hạn trung thực: cơ chế này chặn sửa đổi thông thường và sửa đổi do sơ suất, không chặn một người có toàn quyền cơ sở dữ liệu.

8. Che dữ liệu cá nhân trong console vận hành

Việc che được thực hiện ở tầng dịch vụ, không phải tầng giao diện — nghĩa là dữ liệu bị che không có trong dữ liệu trả về, không phải chỉ bị ẩn khi hiển thị.

Việc gỡ che yêu cầu một quyền riêng biệt mà chỉ 4 trong 6 vai có.

Bốn lỗ hổng che đã xác định và đang được xử lý — công bố vì che một nửa còn tệ hơn không che, do nó tạo cảm giác an toàn sai: bề mặt đọc nhật ký kiểm tra trả ảnh chụp trạng thái không che; bảng tổng quan console nhúng nhật ký gần nhất mà không kiểm tra quyền đọc dữ liệu cá nhân; tên hiển thị không được che ở bất kỳ đâu; và đoạn trích nội dung bị kiểm duyệt cũng được ghi vào bề mặt cảnh báo vận hành, nơi không có lớp che nào.

9. Giới hạn tần suất và chống lạm dụng

Có giới hạn tần suất trên: đăng nhập (theo IP và theo email), đăng ký, quên mật khẩu, đổi mật khẩu, gửi lại email xác minh, luồng kết nối thiết bị, đổi mã giảm giá, gửi phiếu hỗ trợ, mọi tuyến quản trị, và trên chính lưu lượng API.

Bộ đếm nằm ở bộ nhớ đệm chia sẻ với thao tác nguyên tử. Khi bộ nhớ đệm không dùng được, hệ thống chuyển sang bộ đếm trong tiến trình thay vì bỏ chặn — suy giảm về cục bộ, không mở cổng.

Con số cụ thể của hạn mức theo gói ở Điều khoản API. Ngưỡng phát hiện lạm dụng không được công bố. Kiểm duyệt nội dung chạy hoàn toàn trong tiến trình, không gửi nội dung của bạn ra ngoài để phân tích.

Hai điểm thiếu, ghi trung thực: chưa có chặn theo IP, chưa có danh sách đen, chưa có hạn chế theo quốc gia — không có bảng, không có mã, không có cấu hình nào cho việc này. Và tuyến tiêu thụ token đặt lại mật khẩu chưa có giới hạn tần suất; token dài 256 bit nên dò tìm không phải rủi ro thực tế, nhưng đây là một cổng không giới hạn.

10. Bảo mật cơ sở dữ liệu và hạ tầng

Ba dòng về sao lưu là thiếu sót nghiêm trọng và TexAPI không che chúng. Hệ quả với bạn: hãy tự lưu bản sao dữ liệu quan trọng của bạn — đừng coi TexAPI là nơi lưu trữ duy nhất cho bất cứ thứ gì bạn không thể mất.

11. Ứng phó sự cố

TexAPI cam kết không che sự cố có ảnh hưởng tới bạn, kể cả khi nguyên nhân là sơ suất của TexAPI.

12. Báo cáo lỗ hổng

TexAPI hoan nghênh báo cáo lỗ hổng và không thực hiện hành động pháp lý đối với người nghiên cứu tuân thủ các nguyên tắc dưới đây.

Gửi tới: support@texapi.dev với tiêu đề bắt đầu bằng [SECURITY].

Cam kết của TexAPI: xác nhận đã nhận trong 03 ngày làm việc; đánh giá ban đầu trong 10 ngày làm việc; thông báo khi đã khắc phục; ghi nhận công khai nếu bạn muốn.

Được phép: kiểm thử trên tài khoản của chính bạn; đọc dữ liệu của chính bạn; báo cáo lỗi logic, lỗi phân quyền, lỗi xác thực, lỗi tính tiền.

Không được phép: truy cập dữ liệu của người khác — nếu vô tình truy cập, hãy dừng ngay, báo cáo, và không lưu lại; tấn công từ chối dịch vụ hay kiểm thử tải; kiểm thử tự động gây ảnh hưởng dịch vụ; tấn công kỹ nghệ xã hội nhắm vào nhân sự TexAPI; kiểm thử vật lý; công bố lỗ hổng trước khi TexAPI khắc phục hoặc trước 90 ngày.

TexAPI hiện không có chương trình thưởng bằng tiền.

13. Nghĩa vụ của bạn

Bảo mật là chia đôi. TexAPI không thể bảo vệ bạn khỏi những việc sau:

• Giữ khoá API như giữ mật khẩu. Không đưa vào mã nguồn công khai, không đưa vào ảnh chụp màn hình, không gửi qua kênh chat không mã hoá.
• Dùng khoá riêng cho từng môi trường và từng máy, để thu hồi được một phần thay vì toàn bộ.
• Đặt trần chi tiêu tháng cho từng khoá. Đây là biện pháp giới hạn thiệt hại hiệu quả nhất mà bạn tự làm được.
• Xác minh email và giữ hộp thư của bạn an toàn — hộp thư là đường đặt lại mật khẩu.
• Soát lại phiên đăng nhập và danh sách máy đã kết nối định kỳ; thu hồi những gì bạn không nhận ra.
• Báo ngay khi nghi ngờ khoá bị lộ.

14. Việc TexAPI cam kết làm tiếp

Danh sách này công khai vì công bố một khoảng trống có thời hạn đáng tin hơn là im lặng.

Tiến độ được cập nhật vào tài liệu này khi hoàn thành.