🔐 Sécurité

Introduction

La sécurité est une priorité absolue dans Semaphore UI. Que vous automatisiez des tâches d'infrastructure critiques ou que vous gériez l'accès de votre équipe à des systèmes sensibles, Semaphore UI est conçu pour offrir un fonctionnement robuste et sécurisé dès l'installation. Cette section décrit la manière dont Semaphore gère la sécurité et les points à prendre en compte lors d'un déploiement en production.

Authentification et autorisation

Semaphore prend en charge une authentification sécurisée et des mécanismes d'autorisation flexibles :

• Méthodes de connexion :

  • Nom d'utilisateur/mot de passe
    Méthode par défaut utilisant les identifiants stockés dans la base de données de Semaphore. Les mots de passe sont hachés avec un algorithme robuste (bcrypt).

  • LDAP
    Permet l'intégration avec les services d'annuaire d'entreprise. Prend en charge le filtrage des utilisateurs/groupes et les connexions sécurisées via LDAPS.

  • OpenID Connect (OIDC)
    Permet l'authentification unique (SSO) avec des fournisseurs d'identité tels que Google, Azure AD ou Keycloak. Prend en charge les claims personnalisés et le mappage des groupes.

• Authentification à deux facteurs (2FA)
  Une 2FA basée sur TOTP est disponible et recommandée pour tous les utilisateurs. Elle peut être activée par utilisateur et prend en charge des codes de récupération facultatifs. Voir les options de configuration auth.totp.enabled et auth.totp.allow_recovery.

• Contrôle d'accès basé sur les rôles
  Vous pouvez attribuer différents rôles aux utilisateurs, tels que Admin, Maintainer ou Viewer, afin de limiter l'accès selon les responsabilités.

• Gestion des sessions
  Les sessions sont protégées par des cookies HTTP sécurisés. Les mécanismes d'expiration de session et de déconnexion garantissent une exposition minimale.

Secrets et identifiants

La gestion sécurisée des secrets est une fonctionnalité essentielle :

• Coffre de clés chiffré
  Les identifiants et les variables secrètes sont chiffrés au repos avec le chiffrement AES.

• Isolation de l'environnement
  Les secrets ne sont transmis aux jobs qu'à l'exécution et ne sont pas exposés directement à l'environnement du conteneur.

• Clés SSH et tokens
  Les utilisateurs sont responsables du téléversement de clés SSH et de tokens valides. Ceux-ci sont chiffrés et utilisés uniquement lors de l'exécution des tâches.

• Intégration HashiCorp Vault (Pro)
  Les secrets peuvent être stockés dans une instance Vault externe. Choisissez le stockage pour chaque secret lors de sa création ou de sa modification.

Chiffrement des données

Les données sensibles sont stockées dans la base de données sous forme chiffrée. Vous devez définir l'option de configuration access_key_encryption dans le fichier de configuration pour activer le chiffrement des clés d'accès. Elle doit être générée avec la commande :

head -c32 /dev/urandom | base64

Exécution de code / playbooks non fiables

Semaphore exécute des playbooks et des commandes définis par les utilisateurs, ce qui peut présenter des risques :

• Isolation par conteneur
  Les tâches sont exécutées dans des conteneurs Docker isolés. Ces conteneurs n'ont aucun accès au système hôte.

• Moindre privilège
  Les conteneurs s'exécutent avec des permissions minimales et peuvent être restreints davantage à l'aide des options Docker.

• Exécution en chroot
  Semaphore peut exécuter les tâches dans une prison chroot afin d'isoler davantage l'environnement d'exécution du système hôte.

• Utilisateur du processus de tâche
  Les tâches peuvent être exécutées sous un utilisateur système dédié non root (par exemple semaphore) afin de réduire l'impact d'éventuelles failles. Cette option est facultative et peut être configurée selon les politiques du système.

Déploiement sécurisé

Pour garantir un déploiement sécurisé de Semaphore :

• Utilisez HTTPS
  Semaphore prend en charge HTTPS à la fois via sa prise en charge TLS intégrée et via un reverse proxy comme Nginx. Il est fortement recommandé d'activer HTTPS en production.

  Pour activer la prise en charge HTTPS intégrée, ajoutez le bloc suivant dans config.json :

  {
      ...
      "tls": {
          "enabled": true,
          "cert_file": "/path/to/cert/example.com.cert",
          "key_file": "/path/to/key/example.com.key"
      }
      ...
  }

• Exécutez derrière un pare-feu
  Limitez l'accès à Semaphore UI et à la base de données aux seules adresses IP de confiance.

• Sécurité de la base de données
  Utilisez des mots de passe robustes et restreignez l'accès à la base de données à Semaphore uniquement.

Mises à jour et gestion des correctifs

Des mises à jour de sécurité sont publiées régulièrement :

• Restez à jour
  Utilisez toujours la dernière version stable.

• Journal des modifications
  Consultez les changements sur GitHub avant de mettre à jour.

• Mises à jour automatiques
  Si vous utilisez Docker, envisagez des pipelines d'automatisation pour des mises à jour régulières.

Signalement des vulnérabilités

Vous avez trouvé une vulnérabilité ? Aidez-nous à garder Semaphore sécurisé :

• Divulgation responsable
  Veuillez nous écrire à [email protected].

Délais cibles de résolution des vulnérabilités

Nous visons à corriger les vulnérabilités signalées dans les délais cibles suivants :

• Critique : sous 30 jours
• Élevée : sous 60 jours
• Moyenne : sous 90 jours
• Faible : au mieux, généralement sous 180 jours

Des correctifs hors cycle peuvent être publiés pour les problèmes activement exploités affectant les dernières versions stables.

Outils de sécurité du code

Nous utilisons CodeQL, Codacy, Snyk et Renovate pour analyser le code source et les dépendances, ainsi que pour automatiser les mises à jour des dépendances.

• Pas d'exploits publics
  Ne divulguez pas publiquement les vulnérabilités avant qu'elles ne soient corrigées.

• Remerciements
  Les chercheurs en sécurité peuvent être remerciés dans les notes de version s'ils le souhaitent.