Я настраиваю установку Discourse для сообщества активистов. Конфиденциальность для нас крайне важна: мы не террористы, педофилы и не преступники, а просто граждане, которые обеспокоены и действуют — законно! — по вопросам экологии и другим темам. Однако наша деятельность такого рода может привлечь внимание правительств, корпораций и полиции. Форум будет размещён на частном VPS с root-доступом и в этом отношении достаточно защищён, хотя я понимаю, что 100% безопасности достичь практически невозможно. К тому же, как показал Эдвард Сноуден, в наши дни почти всё равно кто-то следит за нами.
Мне нужно определить дальнейшие шаги в части электронной почты. На мой взгляд, этот аспект является наиболее уязвимым звеном. Нам приходится передавать данные пользователей через: 1) выбранный нами собственный почтовый сервер и 2) почтовый сервер самих пользователей.
Вчера я зарегистрировался в Mailjet, но меня остановил запрос на предоставление паспорта, водительских прав или иного документа, удостоверяющего личность. Насколько я помню, ранее меня никогда не просили предоставить такие данные в сервисах, не связанных с финансовыми операциями. Needless to say, мне это не понравилось, и я не стал предоставлять документы. Кроме того, как я могу знать, что Mailjet или любой другой подобный сервис делает с данными наших пользователей? Поэтому я планирую установить iRedmail, чтобы иметь больше контроля над этим.
Наши пользователи будут использовать электронную почту у самых разных провайдеров. Как это в целом влияет на нашу безопасность?
У меня пока нет работающей установки, поэтому возможно, что решения по этому аспекту уже включены в состав системы…?
Вы можете включить настройку «Закрытая почта», чтобы письма не содержали текстового содержимого и использовались только как уведомление о новом контенте.
Пароли хешируются в базе данных, и при использовании HTTPS они шифруются при передаче. Благодаря функции «Блокировать распространенные пароли» пользователи не могут использовать очевидные слабые пароли. Остальное зависит от того, как вы настроите «Минимальная длина пароля» и «Уникальные символы пароля».
Стоит также упомянуть, что мы поддерживаем полную двухфакторную аутентификацию (2FA), включая приложения для смартфонов и аппаратные ключи аутентификации. Это также можно включить в настройках сайта.
Спасибо @codinghorror, ответил Стивен
Спасибо @Stephen, понял.
Мне очень нравится Discourse, и он ещё даже не установлен.
Сервер iRedMail установлен и работает …
Завтра — Discourse.
Самостоятельный хостинг электронной почты — задача не из легких. Переадресация писем с нового домена уже сама по себе может быть сложной, а запуск собственного почтового сервера, скорее всего, станет для вас интенсивным курсом по доставляемости почты. Крупные провайдеры хостинга почты изначально не будут доверять новым доменам или IP-адресам отправителей, и борьба станет значительно сложнее, если предыдущий владелец вашего IP-адреса хоть что-то сделал не совсем корректно.
В зависимости от того, сколько времени вы готовы уделить этому вопросу, я бы рекомендовал вам еще раз хорошенько подумать.
Также я осознал, что не упомянул анонимный режим, зашифрованные личные сообщения и поддержку U2F. В зависимости от вашей готовности к сложности / размера «шляпы из фольги» в обсуждении есть множество способов защитить как ваш сайт, так и ваших пользователей.
Спасибо, @Stephen, я ценю, что вы нашли время и всё остальное…
Хорошо, да, я раньше не запускал почтовый сервер (пытался один раз несколько лет назад, но сдался) и не учитывал ваши замечания по этому поводу. Я подумаю над этим. Возможно, теперь, когда iRed установлен и работает, и успешно доставил мои тестовые письма, я смогу провести его полноценное тестирование. Мои баллы на www.mail-tester улучшаются по мере того, как я работаю над этим.
Эти дополнительные функции конфиденциальности звучат отлично. У меня есть «фольгированный шлем», который я надеваю, когда это уместно Лично я бы широко использовал функции безопасности, но пользователи сайта не все такие технически подкованные, и, конечно же, придётся найти баланс.
Лично я бы широко использовал функции безопасности, но пользователи сайта не все такие технически подкованные, и, конечно же, придётся найти баланс.