แนวทางปฏิบัติด้านความปลอดภัย

ที่ Forward Email ความปลอดภัยคือสิ่งสำคัญที่สุดสำหรับเรา เราได้นำมาตรการรักษาความปลอดภัยที่ครอบคลุมมาใช้เพื่อปกป้องการสื่อสารทางอีเมลและข้อมูลส่วนบุคคลของคุณ เอกสารนี้จะระบุแนวทางปฏิบัติด้านความปลอดภัยของเราและขั้นตอนที่เราใช้เพื่อให้แน่ใจว่าอีเมลของคุณมีความลับ สมบูรณ์ และพร้อมใช้งาน

ศูนย์ข้อมูลที่ปลอดภัย

โครงสร้างพื้นฐานของเราได้รับการโฮสต์อยู่ในศูนย์ข้อมูลที่สอดคล้องกับ SOC 2 พร้อมด้วย:

• รักษาความปลอดภัยทางกายภาพและเฝ้าติดตามตลอด 24 ชั่วโมง
• การควบคุมการเข้าถึงข้อมูลทางชีวภาพ
• ระบบไฟฟ้าสำรอง
• การตรวจจับและดับเพลิงขั้นสูง
• การติดตามตรวจสอบสิ่งแวดล้อม

ความปลอดภัยเครือข่าย

เราใช้การรักษาความปลอดภัยเครือข่ายหลายชั้น:

• ไฟร์วอลล์ระดับองค์กรพร้อมรายการควบคุมการเข้าถึงที่เข้มงวด
• การป้องกันและบรรเทา DDoS
• การสแกนช่องโหว่เครือข่ายเป็นประจำ
• ระบบตรวจจับและป้องกันการบุกรุก
• การเข้ารหัสการรับส่งข้อมูลระหว่างจุดสิ้นสุดบริการทั้งหมด
• การป้องกันการสแกนพอร์ตด้วยการบล็อคกิจกรรมที่น่าสงสัยอัตโนมัติ

[!IMPORTANT] ข้อมูลทั้งหมดที่ส่งผ่านจะถูกเข้ารหัสโดยใช้ TLS 1.2+ พร้อมชุดเข้ารหัสที่ทันสมัย

การเข้ารหัส

• ความปลอดภัยชั้นการขนส่ง (TLS):การรับส่งอีเมลทั้งหมดได้รับการเข้ารหัสระหว่างการส่งโดยใช้ TLS 1.2 ขึ้นไป
• การเข้ารหัสแบบ End-to-End: รองรับมาตรฐาน OpenPGP/MIME และ S/MIME
• การเข้ารหัสการเก็บข้อมูล:อีเมลที่เก็บไว้ทั้งหมดจะถูกเข้ารหัสโดยใช้การเข้ารหัส ChaCha20-Poly1305 ในไฟล์ SQLite
• การเข้ารหัสดิสก์แบบเต็ม:การเข้ารหัส LUKS v2 สำหรับดิสก์ทั้งหมด
• การคุ้มครองที่ครอบคลุม:เราใช้การเข้ารหัสขณะพัก การเข้ารหัสในหน่วยความจำ และการเข้ารหัสระหว่างการส่ง

[!NOTE] เราเป็นบริการอีเมลแห่งแรกและแห่งเดียวของโลกที่ใช้เมลบ็อกซ์ SQLite ที่เข้ารหัสแบบแยกรายบุคคลและทนต่อควอนตัม

การรับรองและการอนุญาต

• การลงนาม DKIM:อีเมลขาออกทั้งหมดได้รับการเซ็นชื่อด้วย DKIM
• SPF และ DMARC:รองรับ SPF และ DMARC อย่างเต็มรูปแบบเพื่อป้องกันการปลอมอีเมล
• MTA-STS:รองรับ MTA-STS เพื่อบังคับใช้การเข้ารหัส TLS
• การตรวจสอบปัจจัยหลายประการ: สามารถเข้าถึงได้ทุกบัญชี

มาตรการต่อต้านการละเมิด

• การกรองสแปม:การตรวจจับสแปมหลายชั้นด้วยการเรียนรู้ของเครื่อง
• การสแกนไวรัส:การสแกนไฟล์แนบทั้งหมดแบบเรียลไทม์
• การจำกัดอัตรา: การป้องกันการโจมตีแบบบรูทฟอร์ซและแบบนับจำนวน
• ชื่อเสียงทางทรัพย์สินทางปัญญา: การติดตามการส่งชื่อเสียง IP
• การกรองเนื้อหา:การตรวจจับ URL ที่เป็นอันตรายและความพยายามฟิชชิ่ง

การย่อขนาดข้อมูล

เราปฏิบัติตามหลักการลดข้อมูลให้เหลือน้อยที่สุด:

• เราเก็บรวบรวมเฉพาะข้อมูลที่จำเป็นในการให้บริการของเราเท่านั้น
• เนื้อหาอีเมลจะได้รับการประมวลผลในหน่วยความจำและไม่ถูกจัดเก็บถาวรเว้นแต่จำเป็นสำหรับการจัดส่ง IMAP/POP3
• บันทึกจะถูกทำให้ไม่ระบุตัวตนและเก็บรักษาไว้เฉพาะเท่าที่จำเป็นเท่านั้น

การสำรองข้อมูลและการกู้คืน

• การสำรองข้อมูลอัตโนมัติทุกวันพร้อมการเข้ารหัส
• การจัดเก็บข้อมูลสำรองแบบกระจายทางภูมิศาสตร์
• การทดสอบการกู้คืนข้อมูลสำรองเป็นประจำ
• ขั้นตอนการกู้คืนจากภัยพิบัติพร้อม RPO และ RTO ที่กำหนดไว้

เราคัดเลือกผู้ให้บริการอย่างรอบคอบเพื่อให้แน่ใจว่าเป็นไปตามมาตรฐานความปลอดภัยระดับสูงของเรา ด้านล่างนี้คือผู้ให้บริการที่เราใช้สำหรับการถ่ายโอนข้อมูลระหว่างประเทศและสถานะการปฏิบัติตาม GDPR:

เราใช้ผู้ให้บริการเหล่านี้เพื่อให้แน่ใจว่าการส่งมอบบริการมีความน่าเชื่อถือและปลอดภัยในขณะที่ยังคงปฏิบัติตามข้อบังคับการคุ้มครองข้อมูลระหว่างประเทศ การถ่ายโอนข้อมูลทั้งหมดดำเนินการด้วยมาตรการป้องกันที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลของคุณ

การประเมินความปลอดภัยเป็นประจำ

ทีมงานของเราตรวจสอบ ตรวจสอบ และประเมินฐานโค้ด เซิร์ฟเวอร์ โครงสร้างพื้นฐาน และแนวทางปฏิบัติเป็นประจำ เราใช้โปรแกรมรักษาความปลอดภัยที่ครอบคลุม ซึ่งรวมถึง:

• การหมุนเวียนคีย์ SSH เป็นประจำ
• การตรวจสอบบันทึกการเข้าถึงอย่างต่อเนื่อง
• การสแกนความปลอดภัยอัตโนมัติ
• การจัดการความเสี่ยงเชิงรุก
• การฝึกอบรมด้านความปลอดภัยเป็นประจำสำหรับสมาชิกในทีมทุกคน

การปฏิบัติตาม

• GDPR แนวทางปฏิบัติการจัดการข้อมูลที่สอดคล้อง
• ข้อตกลงการประมวลผลข้อมูล (DPA) สำหรับลูกค้าธุรกิจ
• การควบคุมความเป็นส่วนตัวที่สอดคล้องกับ CCPA
• กระบวนการตรวจสอบ SOC 2 ประเภท II

แผนการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยของเรามีดังต่อไปนี้:

1. การตรวจจับ:ระบบตรวจสอบและแจ้งเตือนอัตโนมัติ
2. การกักเก็บ:แยกระบบที่ได้รับผลกระทบทันที
3. การกำจัด:การกำจัดภัยคุกคามและการวิเคราะห์สาเหตุหลัก
4. การกู้คืน: การกู้คืนบริการที่ปลอดภัย
5. การแจ้งเตือน:การสื่อสารอย่างทันท่วงทีกับผู้ใช้ที่ได้รับผลกระทบ
6. การวิเคราะห์หลังเกิดเหตุการณ์: การทบทวนและปรับปรุงอย่างครอบคลุม

[!WARNING] หากคุณพบช่องโหว่ด้านความปลอดภัย โปรดรายงานทันที security@forwardemail.net.

flowchart LR
    A[Requirements] --> B[Design]
    B --> C[Implementation]
    C --> D[Verification]
    D --> E[Release]
    E --> F[Maintenance]
    F --> A
    B -.-> G[Threat Modeling]
    C -.-> H[Static Analysis]
    D -.-> I[Security Testing]
    E -.-> J[Final Security Review]
    F -.-> K[Vulnerability Management]

โค้ดทั้งหมดได้รับการดำเนินการดังนี้:

• การรวบรวมความต้องการด้านความปลอดภัย
• การสร้างแบบจำลองภัยคุกคามในระหว่างการออกแบบ
• การปฏิบัติการเข้ารหัสที่ปลอดภัย
• การทดสอบความปลอดภัยของแอปพลิเคชันแบบคงที่และแบบไดนามิก
• ตรวจสอบโค้ดโดยเน้นด้านความปลอดภัย
• การสแกนช่องโหว่การอ้างอิง

ของเรา การกำหนดค่า Ansible ใช้มาตรการเสริมความแข็งแกร่งให้กับเซิร์ฟเวอร์มากมาย:

• การเข้าถึง USB ถูกปิดใช้งาน:พอร์ตทางกายภาพถูกปิดใช้งานโดยแบล็คลิสต์โมดูลเคอร์เนลที่จัดเก็บข้อมูล USB
• กฎไฟร์วอลล์:กฎ iptables ที่เข้มงวดอนุญาตการเชื่อมต่อที่จำเป็นเท่านั้น
• การเสริมความแข็งแกร่ง SSH: การตรวจสอบสิทธิ์โดยใช้คีย์เท่านั้น ไม่มีการเข้าสู่ระบบด้วยรหัสผ่าน ปิดการเข้าสู่ระบบด้วยรูท
• การแยกบริการ:บริการแต่ละอย่างทำงานด้วยสิทธิ์ที่จำเป็นขั้นต่ำ
• การอัพเดทอัตโนมัติ:แพทช์ความปลอดภัยจะถูกนำไปใช้โดยอัตโนมัติ
• การบูตที่ปลอดภัย:กระบวนการบูตที่ได้รับการตรวจสอบเพื่อป้องกันการดัดแปลง
• การแข็งตัวของเมล็ด: พารามิเตอร์เคอร์เนลที่ปลอดภัยและการกำหนดค่า sysctl
• ข้อจำกัดของระบบไฟล์: ตัวเลือกการติดตั้ง noexec, nosuid และ nodev ตามความเหมาะสม
• ปิดการใช้งาน Core Dumps:ระบบถูกกำหนดค่าเพื่อป้องกันการถ่ายโอนข้อมูลหลักเพื่อความปลอดภัย
• สลับปิดการใช้งาน:ปิดการสลับหน่วยความจำเพื่อป้องกันการรั่วไหลของข้อมูล
• การป้องกันการสแกนพอร์ต:การตรวจจับและการบล็อกความพยายามสแกนพอร์ตโดยอัตโนมัติ
• ปิดใช้หน้าโปร่งใสขนาดใหญ่:ปิดการใช้งาน THP เพื่อประสิทธิภาพและความปลอดภัยที่ดีขึ้น
• การเสริมความแข็งแกร่งให้กับระบบบริการ:บริการที่ไม่จำเป็นเช่น Apport ถูกปิดใช้งาน
• การจัดการผู้ใช้:หลักการของสิทธิ์ขั้นต่ำที่มีผู้ใช้แยกกันในการปรับใช้และ DevOps
• ข้อจำกัดของตัวอธิบายไฟล์: เพิ่มขีดจำกัดเพื่อประสิทธิภาพและความปลอดภัยที่ดีขึ้น

เราให้บริการด้วยความพร้อมใช้งานและความน่าเชื่อถือในระดับสูง โครงสร้างพื้นฐานของเราได้รับการออกแบบให้มีการสำรองข้อมูลและทนต่อข้อผิดพลาดเพื่อให้แน่ใจว่าบริการอีเมลของคุณยังคงทำงานได้ แม้ว่าเราจะไม่เผยแพร่เอกสาร SLA อย่างเป็นทางการ แต่เรามุ่งมั่นที่จะ:

• เวลาเปิดใช้งาน 99.9%+ สำหรับบริการทั้งหมด
• ตอบสนองอย่างรวดเร็วต่อการหยุดชะงักของบริการ
• การสื่อสารที่โปร่งใสระหว่างเกิดเหตุการณ์
• การบำรุงรักษาตามปกติในช่วงที่การจราจรไม่หนาแน่น

ในฐานะที่เป็น บริการโอเพ่นซอร์สผลประโยชน์ด้านความปลอดภัยของเราเกิดจาก:

• รหัสโปร่งใสที่ใครๆ ก็ตรวจสอบได้
• การปรับปรุงความปลอดภัยที่ขับเคลื่อนโดยชุมชน
• การระบุและแก้ไขช่องโหว่อย่างรวดเร็ว
• ไม่มีความปลอดภัยเพราะความคลุมเครือ

• การตรวจสอบประวัติพนักงานทุกคน
• การอบรมสร้างความตระหนักด้านความปลอดภัย
• หลักการของการเข้าถึงสิทธิ์ขั้นต่ำ
• การให้ความรู้ด้านความปลอดภัยเป็นประจำ

เราปรับปรุงมาตรการรักษาความปลอดภัยของเราอย่างต่อเนื่องผ่าน:

• การติดตามแนวโน้มด้านความปลอดภัยและภัยคุกคามที่เกิดขึ้นใหม่
• ตรวจสอบและปรับปรุงนโยบายความปลอดภัยเป็นประจำ
• ข้อเสนอแนะจากนักวิจัยและผู้ใช้ด้านความปลอดภัย
• การมีส่วนร่วมในชุมชนด้านความปลอดภัย

หากต้องการข้อมูลเพิ่มเติมเกี่ยวกับแนวทางปฏิบัติด้านความปลอดภัยของเราหรือต้องการรายงานข้อกังวลด้านความปลอดภัย โปรดติดต่อ security@forwardemail.net.

• นโยบายความเป็นส่วนตัว
• เงื่อนไขการให้บริการ
• การปฏิบัติตาม GDPR
• ข้อตกลงการประมวลผลข้อมูล (DPA)
• รายงานการล่วงละเมิด
• นโยบายความปลอดภัย
• Security.txt
• คลังเก็บข้อมูล GitHub
• FAQ