Pensaernïaeth ddiogelwch Odoo 19: cyfuno mur tân, 2FA, caniatâd a Web RBL yn gywir

Mae Odoo ar gael o'r rhyngrwyd agored ar ein pum gwefan, ac nid eithriad yw hynny ond y drefn arferol: mae pwy bynnag sy'n cynnal cynnig, siop neu fewngofnodi cwsmeriaid yn cael gweinydd cyhoeddus. Mae un cyfrinair agored i niwed, ffeil gyfluniad a anghofiwyd neu ganiatâd rhy hael yn ddigon i droi gweinydd cyhoeddus yn un agored.

Mae'r erthygl hon yn dangos sut i ddiogelu Odoo 19 yn iawn — nid gydag un mesur unigol, ond gyda sawl haen sy'n ategu ei gilydd: mur tân a dirprwy gwrthdro, ein modiwl ffynhonnell agored Web RBL, dilysu dau ffactor, polisi cyfrineiriau a chaniatâd — a pha ymdrechion ymosod y mae pob un ohonynt yn eu dal mewn gwirionedd. Ar y diwedd ceir cyfarwyddiadau cam wrth gam y gellir eu defnyddio i ddilyn yr un camau ar unrhyw osodiad Odoo eich hun.

Amddiffyn yn ddwfn: pam nad yw un mesur byth yn ddigon

Mae gan bob mesur diogelwch unigol fwlch. Nid yw mur tân yn gweld beth sy'n digwydd mewn ffurflen mewngofnodi Odoo. Nid yw cyfrinair cryf yn amddiffyn os yw eisoes wedi'i ddwyn mewn man arall. Nid yw strwythur caniatâd yn helpu dim yn erbyn ymosodwr nad yw eto wedi mewngofnodi o gwbl. Yr egwyddor sy'n cau'r bylchau hyn yw amddiffyn yn ddwfn (defense in depth): sawl haen annibynnol, a gellid osgoi pob un ohonynt ar ei phen ei hun — ond nid pob un gyda'i gilydd.

Pedair haen sydd gennym ni, pob un â thasg wahanol:

• Mur tân / dirprwy gwrthdro — yn cadw'r hyn sy'n amlwg faleisus draw cyn iddo gyrraedd y gweinydd o gwbl
• Web RBL — yn cysylltu'r ddwy ochr: mae Odoo yn dysgu o'i log cymhwysiad ei hun yr hyn na all y mur tân ei weld o gwbl, ac yn ei fwydo'n ôl iddo
• Odoo ei hun — dilysu dau ffactor, polisi cyfrineiriau, caniatâd, rheoli sesiynau
• Cronfa ddata & gweithrediadau — copïau wrth gefn, diogelu mynediad i'r gweinyddu, cyfrinachau y tu allan i bob log

Mae'r adrannau canlynol yn mynd drwy bob haen yn unigol.

Haen 1: mur tân a dirprwy gwrthdro

Y mur tân yw'r ymgais gyntaf i weld cais, a'r unig un a all gadw ymosodwr draw o bob gwasanaeth ar y gweinydd — nid yn unig o'r wefan, ond hefyd o'r gweinydd post, o'r mynediad VPN ac o'r rhyngwyneb gweinyddu ei hun. Mae'r hyn y mae'n synhwyrol ei alluogi yma yn dibynnu ar y gwneuthurwr, ond mae'r dyluniadau'n union yr un fath gydag OPNsense, pfSense, HAProxy, FortiGate, Sophos neu Check Point:

Rhestrau RBL: y ffordd safonol o ddanfon enw da

Ystyr RBL yw Real-time Blackhole List, term o fyd e-bost: un cyfeiriad ar bob llinell, ar gael trwy HTTP, ac yn cael ei ail-lwytho'n rheolaidd. Gall bron pob mur tân ddarllen rhestr o'r fath ac adeiladu rheolau ohoni — OPNsense a pfSense fel URL Table Alias, HAProxy fel ffeil ACL, FortiGate fel External Block List, Palo Alto fel External Dynamic List, Cisco, Sophos, Juniper a MikroTik gydag enwau eu hunain ar gyfer yr un egwyddor.

Yma'n union y mae ein modiwl ein hunain yn cyfrannu — ac yma'n union y mae'r ail haen yn dechrau.

Haen 2: Web RBL — y bont rhwng y cymhwysiad a'r mur tân

Mae mur tân yn gweld pecynnau, nid rhesymeg cymhwysiad. Nid yw'n gwybod bod cais am /xmlrpc/2/common yn ymgais mewngofnodi, bod ugain llwybr gwahanol mewn pedwar eiliad ar ddeg yn sganiwr, neu fod cyfeiriad newydd ddyfalu cyfrinair yn llwyddiannus. Dim ond Odoo ei hun sy'n gwybod hyn i gyd. Web RBL, ein modiwl ffynhonnell agored ein hunain (AGPL-3), sy'n gwneud y wybodaeth hon yn ddefnyddiadwy — i Odoo ei hun ac, wedi'i danfon fel rhestr RBL, i'r mur tân o'i flaen hefyd.

Rhestrau bygythiadau'n cael eu cymharu'n barhaus, pob un â'i lefel ei hun.

Crynodeb byr o'r hyn a ddisgrifir yn fanwl yn yr erthygl flaenorol:

• Adnabod patrymau mewn llwybrau: ffeiliau .env, cyfeiriaduron .git, ffeiliau cyfluniad, stilwyr WordPress a PHP, croesi llwybrau, gweithredu gorchmynion trwy ryngwynebau AI newydd
• Amddiffyn mewngofnodi sy'n cyfrif ar draws ailgychwyniadau — yn wahanol i gownter Odoo ei hun, sy'n byw yn y cof gweithredol
• Sgôr i bob cyfeiriad o 0 i 100, gyda rhesymeg mewn iaith blaen
• Adnabyddir camgyfluniadau (QNAP, Autodiscover, Synology) a'u byth eu rhwystro, oherwydd nid yw rhwystr yn trwsio'r nam, dim ond ei guddio
• Rhestrau bygythiadau trydydd parti fel Spamhaus, FireHOL a nodau allanfa Tor, wedi'u cymharu'n barhaus
• Rhestr ganiatáu ar gyfer cyfeiriadau na ddylid byth eu rhwystro

Ar gyfer yr erthygl hon mae dwy nodwedd yn arbennig o bwysig, oherwydd eu bod yn gysylltiedig yn uniongyrchol â'r mur tân a'r mewngofnodi.

Mae rhestr ddiog yn rhestr y gellir ymddiried ynddi

Anaml iawn y mae'r rhestr ganiatáu — cyfeiriadau na chânt byth eu rhwystro, er enghraifft cysylltiadau eich safleoedd eich hun — yn newid. Dyna'n union ei gwerth, nid ei diffyg: Pan fo rhestr dawel prin yn symud dros ddyddiau, mae pob newid prin yn amlwg ar unwaith. Nid yw'r cymharu awtomatig dyddiol yn bodoli am fod llawer yn mynd i newid, ond fel nad oes rhaid ychwanegu'r newid prin â llaw — a dyna'n union y pwynt lle mae rhywun yn ei anghofio. Sylwyd ar un o'n camgyfluniadau ein hunain y mis diwethaf yn union fel hyn: nid trwy lawer o ddigwyddiadau, ond trwy'r un na wyddai neb amdano, nes i API gwe QNAP cwsmer gael ei rwystro ar gam. Ers hynny mae QNAP ar y rhestr o gamgyfluniadau na chânt byth eu rhwystro, ond yn unig eu hadrodd.

Y mewngofnodi yw'r lle nad yw mur tân yn ei weld

Gall mur tân rwystro cyfeiriad. Ni all wybod a lwyddodd mewngofnodi, a llai fyth a ddaeth o gyfeiriad a oedd ychydig cyn hynny yn chwilio am fanylion mewngofnodi. Gall Web RBL: Mae sgôr o drothwy y gellir ei osod ymlaen yn gwahardd y mewngofnodi'n gyfan gwbl, ac adroddir am fewngofnodi llwyddiannus o gyfeiriad amheus — dyna'r cyswllt â'r haen nesaf.

Haen 3: diogelu Odoo ei hun

Dilysu dau ffactor: ail gyfrinach nad oes modd ei hailddefnyddio

Problem fwyaf cyfrineiriau yw nid eu hansawdd, ond eu hailddefnyddio. Mae cyfrinair a ddygwyd mewn gwasanaeth arall yn gweithio gyda ni yn union yr un fath, cyhyd â'i fod yr un peth. Mae'r dilysu dau ffactor (2FA, a elwir hefyd yn TOTP) yn gosod ail gyfrinach yn ei erbyn: cod chwe digid sy'n newid bob deg eiliad ar hugain ac sy'n cael ei gyfrifo o gyfrinach nad yw ond y ffôn clyfar ei hun yn ei hadnabod. Nid yw cyfrinair a ddygwyd yn unig yn ddigon mwyach.

Mae Odoo 19 Community yn dod â hyn wedi'i ymgorffori — fel modiwl y gellir ei osod, Two-Factor Authentication (TOTP), wedi'i ategu gan opsiwn wrth gefn trwy e-bost. Mae pob defnyddiwr yn ei sefydlu drosto'i hun, trwy god QR, gydag unrhyw ap dilysu cyffredin:

Y sefydlu: sganio'r cod QR, cadarnhau'r cod chwe digid unwaith, a dyna ni.

Ond dim ond y rhai sy'n ei sefydlu drostynt eu hunain y mae hyn yn eu helpu — ac mae profiad yn dangos bod hynny'n aros yn lleiafrif heb orfodaeth. Felly mae Odoo yn gwybod am bolisi gorfodi: naill ai dim ond ar gyfer cyflogeion (defnyddwyr mewnol) neu ar gyfer pawb, gan gynnwys defnyddwyr porth. Heb ail gyfrinach wedi'i sefydlu, ni all neb basio heibio'r ffurflen mewngofnodi heb o leiaf ei chadarnhau trwy god e-bost.

Polisi cyfrineiriau: nid yw hyd lleiaf yn ddim i'w gymryd yn ganiataol

Heb fodiwl ychwanegol nid yw Odoo Community yn dibynnu ar unrhyw hyd lleiaf ar gyfer cyfrineiriau — gall defnyddiwr osod cyfrinair o dri chymeriad os nad oes neb yn ei rwystro. Mae'r modiwl Password Policy ei hun yn cau'r bwlch hwn yn union: hyd lleiaf a orfodir ar ochr y gweinydd, nid dim ond a awgrymir yn y porwr. Mae pwy sydd eisiau mwy — terfyn amser gorfodol, hanes yn erbyn ailddefnyddio — angen modiwl OCA neu drydydd parti ar gyfer hynny; mae hyn wedi'i gadw'n fwriadol yn lluniaidd yn y fersiwn Community.

Caniatâd: dim ond pwy sydd ei angen sy'n cael mynediad

Mae Odoo yn gwahanu tair lefel yn ddiofyn: defnyddwyr porth (dim ond y porth cwsmeriaid neu gyflenwyr eich hun), defnyddwyr mewnol (y backend, gyda hawliau fesul cymhwysiad) a gweinyddwyr (mynediad diderfyn gan gynnwys gosodiadau technegol). Y camgymeriad mwyaf cyffredin yw nid cyfrinair rhy wan, ond rôl gweinyddwr a roddwyd yn rhy hael: nid oes angen mynediad i osodiadau'r system ar bwy sydd ddim ond i greu anfonebau.

Mae dwy egwyddor yn cario'r rhan fwyaf o'r baich:

Gellir gwirio'r ddau yn yr un golwg lle sefydlir y dilysu dau ffactor hefyd:

Un trosolwg, pedwar lifer: cyfrinair, ail ffactor, allweddi API, dyfeisiau wedi'u mewngofnodi.

Sesiynau a dyfeisiau: pwy sydd wedi mewngofnodi ar hyn o bryd

Mae'r un golwg hefyd yn dangos o ba ddyfeisiau y mae cyfrif wedi'i fewngofnodi ar hyn o bryd — ac yn caniatáu allgofnodi un neu bob un ar unwaith. Ar ôl colli gliniadur neu ar amheuaeth o gyfrinair dan fygythiad dyma'r cam effeithiol cyflymaf: Daw'r sesiwn i ben ar unwaith, waeth a yw'r cyfrinair eisoes wedi'i newid.

Haen 4: cronfa ddata a gweithrediadau

Y bedwaredd haen yw'r un lleiaf gweladwy a'r un mwyaf anfaddeuol ar yr un pryd, oherwydd gall gwall yma ddirymu popeth a adeiladwyd o'r blaen.

• Copïau wrth gefn rheolaidd, wedi'u gwirio, wedi'u storio ar wahân i'r gweinydd ei hun. Dyfaliad yw copi wrth gefn nas adferwyd erioed, nid copi wrth gefn.
• Nid yw cyfrinachau'n perthyn mewn unrhyw ffeil log. Cyfrineiriau, allweddi API, data trwydded — dylai pwy sy'n ysgrifennu estyniadau eu hunain eu trin fel y prif gyfrinair ei hun: peidio â'u cofnodi yn unman, ddim hyd yn oed “dim ond ar gyfer dadfygio”.
• Cadwch fodiwlau'n gyfredol, yn enwedig modiwlau trydydd parti. Mae modiwlau ychwanegol rhad ac am ddim (OCA ac eraill) yn naturiol yn llusgo y tu ôl i fersiynau newydd Odoo; cyn pob gosodiad mae'n werth edrych pa ddibyniaethau sy'n dod yn awtomatig.

Y llwybr mewngofnodi yn ei gyfanrwydd

Nid yw'r pedair haen yn gweithredu fesul un mewn ystafelloedd ar wahân, ond ar yr un cais, cam wrth gam. Mae'n fwyaf amlwg yn yr enghraifft o fewngofnodi:

Pum lle y gall cais maleisus ddod i ben cyn cyrraedd y gwir darged — ac un yn unig lle mae defnyddiwr awdurdodedig yn eu pasio i gyd.

Senarios ymosod a'u hamddiffyniad

Mae'r trosolwg canlynol yn neilltuo patrymau ymosod go iawn i'r haenau sy'n eu hatal mewn gwirionedd. Nid damcaniaeth yw sawl un ohonynt, ond arsylwadau ein hunain o ddwy ar bymtheg niwrnod o draffig go iawn ar ein pum gwefan.

Cam wrth gam: diogelu eich gosodiad Odoo eich hun

Y drefn ganlynol yw'r un y byddem ni ein hunain yn ei dilyn — o'r effaith fwyaf i'r gosodiad manylaf.

1. Gorfodi dilysu dau ffactor

1. Os nad yw wedi'i osod eto: agor Apps, chwilio am “Two-Factor Authentication” a'i osod (gyda sawl gwefan, argymhellir hefyd “Two-Factor Authentication by Mail” fel opsiwn wrth gefn).
2. Agor Gosodiadau → Gosodiadau Cyffredinol → Caniatâd.
3. Galluogi “Gorfodi dilysu dau ffactor”.
4. Dewis polisi: “Cyflogeion yn unig” ar gyfer defnyddwyr mewnol, “Pob defnyddiwr” os dylid cynnwys defnyddwyr porth (cwsmeriaid â mynediad) hefyd.
5. Cadw. O'r ymgais mewngofnodi nesaf mae Odoo yn mynnu o leiaf y cod e-bost gan bob defnyddiwr heb ail gyfrinach wedi'i sefydlu, nes iddo sefydlu'r ap dilysu.

2. Pennu hyd lleiaf ar gyfer cyfrineiriau

1. Agor Apps, chwilio am “Password Policy” a'i osod.
2. Agor Gosodiadau → Gosodiadau Cyffredinol → Caniatâd.
3. Gosod “Hyd lleiaf y cyfrinair” — mae deuddeg cymeriad yn werth cychwynnol rhesymol.
4. Cadw. Mae'r rheol yn gymwys o hyn ymlaen i bob cyfrinair newydd neu newidiedig, nid yn ôl-weithredol i gyfrineiriau presennol.

3. Mynd drwy'r caniatâd

1. Agor Gosodiadau → Defnyddwyr & Chwmnïau → Defnyddwyr.
2. Agor pob defnyddiwr yn unigol a gwirio'r tab gyda'r hawliau mynediad fesul cymhwysiad: A oes gwir angen “Rheolwr” neu “Gweinyddwr” ar y person hwn, neu a yw “Defnyddiwr” yn ddigon?
3. Gwiriwch yn arbennig: Pwy sydd â mynediad i “Gosodiadau” ei hun? Dylai honno fod yn grŵp bach iawn.
4. Yn y tab “Diogelwch cyfrif” y defnyddiwr technegol perthnasol, creu allwedd API ar wahân ar gyfer pob cysylltiad allanol (cyfrifyddu, sgriptiau eich hun, cofnodi amser), yn hytrach na throsglwyddo cyfrinair y defnyddiwr.

4. Gosod Web RBL a'i wylio cyn ei droi'n llym

1. Gosod y modiwl o github.com/Alex0176/odoo-web-rbl yn llwybr yr addon a'i osod.
2. Gwylio am rai diwrnodau: mae'r ddewislen Web RBL → Dadansoddiad yn dangos pa batrymau sy'n taro mewn gwirionedd.
3. Dim ond wedyn galluogi web_rbl.sperren_aktiv (Gosodiadau → Technegol → Paramedrau System) — o hyn ymlaen caiff stilwyr a adnabuwyd eu gwrthod mewn gwirionedd.
4. Cynnwys y rhestr rwystro yn y mur tân fel rhestr RBL, o'r cyfeiriad a ddiogelir â thocyn a nodir yn y modiwl (gydag OPNsense/pfSense fel URL Table Alias, gyda HAProxy fel ffeil ACL).

5. Diogelu'r mur tân ei hun

1. Gwneud rhyngwyneb gweinyddu'r mur tân ar gael o'r rhwydwaith mewnol yn unig, byth trwy'r un cyfeiriad cyhoeddus â'r wefan.
2. Galluogi diweddariadau diogelwch awtomatig ar gyfer meddalwedd y mur tân, os yw'r gwneuthurwr yn cynnig hynny.
3. Gwirio cyfluniad TLS: fersiynau protocol cyfredol yn unig, analluogi dulliau amgryptio hen ffasiwn.
4. Os ar gael: cynnwys rhestr enw da hysbys (er enghraifft Spamhaus DROP) yn uniongyrchol ar y mur tân — yn annibynnol ar Web RBL, oherwydd mae'r mur tân felly hefyd yn gweld traffig i wasanaethau nad yw Odoo byth yn eu cyrraedd.

6. Cau gweinyddu'r gronfa ddata

1. Gwirio a yw /web/database/manager ar gael o'r tu allan — os ydyw, gosod list_db = False yng nghyfluniad Odoo neu rwystro'r llwybr ar lefel y mur tân.
2. Gosod prif gyfrinair gweinyddu'r gronfa ddata yn hir ac ar hap, a'i gadw heb ei nodi mewn unrhyw le y gall unrhyw un arall ei ddarllen.

7. Gwirio'r copi wrth gefn, nid ei sefydlu yn unig

1. Sefydlu copi wrth gefn awtomatig, rheolaidd, wedi'i storio ar wahân i'r gweinydd Odoo.
2. O leiaf unwaith, ei adfer mewn gwirionedd a gwirio a yw'r adferiad yn gweithio — dyfaliad yw copi wrth gefn heb ei wirio.

Nid yw'r un o'r camau hyn yn disodli'r lleill. Pwy sy'n gweithredu dim ond un ohonynt, mae wedi cryfhau un drws ac wedi gadael pob un arall ar agor — pwy sy'n gweithredu pob un o'r saith, mae ganddo amddiffyniad sy'n dal hyd yn oed pan fydd un haen yn methu.

Yr hyn nad yw'r bensaernïaeth hon yn ei disodli

Nid yw'r un o'r mesurau a ddisgrifir yn gwneud gofal yn ddianghenraid. Nid yw modiwl sy'n gwrthod stilwyr .env yn gwneud ffeil .env a gyhoeddwyd ar ddamwain yn ddiniwed. Nid yw dilysu dau ffactor yn amddiffyn rhag defnyddiwr sy'n darllen ei god i alwr ar y ffôn. Ac nid yw mur tân yn disodli penderfyniad ynghylch pwy sydd angen pa ganiatâd mewn gwirionedd. Mae pensaernïaeth ddiogelwch yn creu'r amodau lle nad yw un gwall ar unwaith yn dod yn ddigwyddiad — nid yw'n tynnu gofal oddi ar neb.

Cwestiynau cyffredin

A yw cyfrinair cryf yn ddigon i ddiogelu Odoo 19?

Na. Gellir dwyn cyfrinair mewn man arall, waeth beth fo'i ansawdd, ac yna mae'n gweithio ym mhob gwasanaeth sy'n derbyn yr un cyfrinair. Dim ond y cyfuniad â dilysu dau ffactor, mur tân o'i flaen a strwythur caniatâd synhwyrol sy'n rhoi diogelwch sy'n dal hyd yn oed ar ôl i gyfrinair gael ei ddwyn.

Sut ydw i'n galluogi dilysu dau ffactor yn Odoo 19?

Gosod y modiwl “Two-Factor Authentication (TOTP)” trwy reoli Apps, yna o dan Gosodiadau → Gosodiadau Cyffredinol → Caniatâd galluogi'r gorfodi a dewis rhwng “Cyflogeion yn unig” a “Pob defnyddiwr”. Wedyn mae pob defnyddiwr yn sefydlu ei ail ffactor ei hun trwy god QR.

Beth yw rhestr RBL, a pham mae Odoo ei hangen?

Mae RBL (Real-time Blackhole List) yn rhestr gyfeiriadau sydd ar gael trwy HTTP y gall bron pob mur tân ei darllen. Nid yw Odoo ei hun yn dod â rhestr o'r fath — mae ein modiwl Web RBL yn cau'r bwlch hwn trwy adnabod traffig ymosod o'i log cymhwysiad ei hun a'i roi'n ôl i'r mur tân blaenorol fel rhestr RBL.

A yw Odoo 19 Community wedi'i ddiogelu'n ddigonol heb fodiwlau ychwanegol?

Nid yn llwyr. Heb y modiwl Password Policy nid oes hyd lleiaf ar gyfer cyfrineiriau, heb Two-Factor Authentication nid oes ail ffactor, a heb fodiwl fel Web RBL nid yw Odoo yn adnabod ymdrechion stilio nac ymdrechion mewngofnodi dro ar ôl tro ar draws ailgychwyn. Gellir ôl-osod pob un o'r pedwar yn rhad ac am ddim.

Argaeledd

Mae Web RBL ar gael yn gyhoeddus o dan yr AGPL-3 ac yn rhedeg yn gynhyrchiol gennym ni ar bum gwefan:

github.com/Alex0176/odoo-web-rbl

Mae'r disgrifiad swyddogaethol cyflawn gyda'r holl batrymau, y sgôr a'r rhestrau bygythiadau i'w gael yn yr erthygl flaenorol: Web RBL – rhestr rwystro ar gyfer traffig ymosod ar eich gwefannau eich hun.

Rydym yn croesawu cwestiynau, sylwadau ac adroddiadau namau — yn ddelfrydol fel Issue ar GitHub.