Orebit: сведения для первичной оценки информационной безопасности
Дата: 17.09.2026
Сайт: https://orebit.sakirkin.ru/how.html#security

Назначение
Документ описывает механизмы текущих исходников и условия внедрения. Это не
сертификат, заключение пентеста или подтверждение соответствия требованиям
конкретной организации. Приёмка проводится для выбранной версии поставки.
Публичный сайт в Firebase не является сервером производственных данных Orebit.

Размещение и сетевые границы
Продукт устанавливается в контуре предприятия. Внешняя активация не требуется.
Доступ браузеров и API проходит через входной прокси. TLS, сертификаты, firewall,
сегментацию и защиту дисков организует площадка. Внутренние БД и шина сообщений
не предназначены для прямого подключения рабочих мест. Сквозное шифрование всех
внутренних соединений или шифрование всех данных средствами продукта не заявляется.
Система поддерживает решения человека, не управляет исполнительными механизмами.
Адаптеры промышленных протоколов и разрешённые потоки согласуются отдельно.

Идентификация и аутентификация
Вход сотрудников: OIDC, Authorization Code с PKCE, библиотека oidc-client-ts.
В поставке предусмотрен Keycloak; внешний OIDC-провайдер проверяется в отдельном
интеграционном контуре. Прямое подключение Active Directory/LDAP без OIDC-посредника
не заявляется, SAML не реализован. Многофакторная аутентификация, требования к
паролям и условия завершения сессии задаются у провайдера и требуют настройки.
Группы провайдера связываются с ролями Orebit. Без назначенных разрешений вход
не даёт доступа к рабочим данным. Учебные учётные записи до доступа заказчика
должны быть отключены либо перенастроены; нельзя использовать их как доказательство
приёмки прав.

Авторизация и изоляция
Сервер проверяет полномочия на запросах. Права человека разрешаются по актуальным
назначениям в БД, а не сохраняются только внутри токена. Отозванная роль не должна
давать прежние разрешения на последующих серверных запросах.
PostgreSQL использует RLS с FORCE для данных арендаторов. Роль приложения не имеет
права обхода политик; миграционная роль обладает другими полномочиями.
Внутри арендатора доступ определяется ролями и типами сущностей. Обязательная
изоляция записей по площадке, смене или подрядчику не заявляется. Фильтр списка
не является средством авторизации. Нужные границы необходимо согласовать заранее.
Независимость программных модулей не равна изоляции процессов или данных.

Ключи интеграций
Ключ имеет разрешённые модули и действия, активность, возможность отзыва и задания
срока действия. Срок может быть не задан; обязательный срок определяет политика площадки.
Секретная часть хранится как SHA-256 от случайного высокоэнтропийного значения;
проверка сравнения выполняется с постоянным временем. Полный ключ необходимо
хранить у интегратора безопасно. Получателя, права и ключ нельзя принимать
как доверенные только на основании полей запроса.

Аудит
Предусмотренные операции фиксируются с автором, временем, объектом и изменениями.
Поля, объявленные секретными, маскируются при выдаче истории. Аудит и отдельная
история нарядов доступны роли приложения только для добавления, не изменения
или удаления. Доступ к просмотру/выгрузке аудита требует соответствующего права.
Это не универсальная запись каждого чтения, не криптографическая цепочка событий
и не защита от администратора БД. Готовая интеграция SIEM не заявляется: состав
событий, формат и канал обмена определяются при согласовании требований.

Секреты, сессия и локальные данные
Установщик создаёт служебные секреты в конфигурации .env. Они присутствуют также
в окружении контейнеров и резервной копии. Доступ к Docker, конфигурации и копиям
необходимо ограничить; ACL Windows проверяются отдельно. Автоматическое хранение
в корпоративном vault и автоматическая ротация всех секретов не заявляются.
Токены браузера находятся в sessionStorage вкладки. CSP снижает, но не устраняет
риск XSS. Очереди и снимки IndexedDB разделены по провайдеру/пользователю; это не
заявление о криптографическом шифровании локальных данных. При выходе неотправленные
операции сохраняются для той же учётной записи. Устройства и профили браузера
нужно защищать средствами предприятия.
Без сети не обещается немедленный отзыв доступа. После истечения токена может
потребоваться новый вход с сетью; при передаче отложенной записи сервер снова
проверяет права.

Копирование, восстановление и обновление
Резервные копии содержат данные и секреты. Штатный скрипт не шифрует архивы:
место хранения, шифрование, ключи и права доступа согласуются с эксплуатацией.
Восстановление и целостность требуемого набора данных проверяются до передачи.
RPO/RTO определяются требованиями и испытанием конкретной поставки. Старый замер
восстановления не является договорным сроком. Односерверная поставка не означает
высокой доступности или обновления без простоя.

Что запросить и согласовать до пилота
- Точную версию, состав компонентов/SBOM и лицензии выбранной поставки.
- Схему сети, потоки, точки TLS, порты и системы-источники данных.
- Матрицу ролей и проверку разрешённых/запрещённых действий, включая экспорт.
- Настройки провайдера, многофакторного входа, сессий и смены секретов.
- Состав и сроки хранения аудита, требования к интеграции SIEM.
- Защиту рабочих устройств, резервных копий, процедуру и результаты восстановления.
- Результаты проверок уязвимостей именно поставляемой версии, порядок обновлений
  и взаимодействия при обнаружении инцидента.
- Необходимость независимого пентеста и применимые нормативные требования.

Доступные инструменты анализа кода, зависимостей, лицензий и тестирования не
являются независимым пентестом, сертификацией или доказательством отсутствия
уязвимостей. Соответствие ФСТЭК, ФСБ, требованиям КИИ или отраслевому стандарту
без отдельного подтверждения не заявляется. Условия поддержки и сроки устранения
недостатков определяются договором, не настоящей памяткой.