Безпека та відповідальне розкриття інформації

Stella Ops розроблено для перевіреного керування випуском:

  • Релізи є CosignІнструмент підпису контейнерів проєкту Sigstore для підпису та верифікації образів та артефактів
  • Експорт доказів DSSEDead Simple Signing Envelope – простий гнучкий стандарт для підпису довільних даних криптографічними підписами-завірений
  • Політики та рішення можна детерміновано відтворити для аудиту

Перевірка постачальника

Проводите перевірку постачальника? Сторінка перевірки збирає публічні артефакти верифікації та документацію і перелічує те, що ще не опубліковано.

Відкрити сторінку перевірки Ключі перевірки

Повідомити про вразливість

Електронна пошта: security@stella-ops.org

PGP: 4976 7614 4BBA 5DDB E2EA B5B8 5C1E CABB C9F3 1EA6

That fingerprint belongs to the Stella Ops release-signing key — its user ID is Stella Ops Release Signing <release@stella-ops.org>. The same key currently signs security correspondence, so a signed message from us verifies against it.

A dedicated security-contact key, separate from release signing, and a published key-rotation policy are planned. Neither exists yet.

Будь ласка, включіть:

  • Вплив + уражений компонент/версія
  • Етапи відтворення або PoC
  • Відповідні журнали/скріншоти
  • Ваш бажаний графік розкриття

Ми підтверджуємо протягом 72 годин і інформуємо вас, доки не буде опубліковано виправлення.

Перевірте, що ви запускаєте

Команди верифікації образів контейнерів та артефактів Offline Kit, а також ключі Cosign і PGP підтримуються на сторінці /keys/.

Захисні заходи в службі

  • Цілісність випуску: CosignІнструмент підпису контейнерів проєкту Sigstore для підпису та верифікації образів та артефактів підписи + DSSEDead Simple Signing Envelope – простий гнучкий стандарт для підпису довільних даних криптографічними підписами пакети, що посилаються на точний Git тег
  • Ланцюжок доказів: Decision Capsule підписані та відтворені (див. /evidence/)
  • Захист контейнерів: рекомендації щодо розгортання — у Security Hardening Guide
  • Підтримка air-gap: Offline Kit (див. /sovereign/)

Немає обов’язкової телеметрії

У веб-інтерфейсі немає аналітики, трекерів, пікселів або сторонніх JS. Телеметрія продукту вимкнена за замовчуванням і суворо включена.

Деталі конфіденційності: /privacy/