امنیت

#ترافیک شما چگونه محافظت می‌شود

Colitu ترافیک بین دستگاه شما و سرور VPN Colitu را رمزگذاری می‌کند. رمزگذاری در سرور VPN پایان می‌یابد: از آنجا تا وب‌سایت، ترافیک شما فقط با HTTPS خود سایت محافظت می‌شود.

• هر حالت اتصال از یک پروتکل شناخته‌شده (Hysteria2، VLESS Reality و XHTTP، Trojan، Shadowsocks 2022) و پیاده‌سازی‌های معروف (Xray-core، sing-box، Hysteria) استفاده می‌کند. Colitu رمزنگاری مخصوص خود را ندارد.
• سرور در هر اتصال احراز هویت می‌شود (با گواهی TLS، کلید Reality یا کلید از پیش مشترک)، بنابراین نمی‌توان شما را فریب داد تا به سرور جعلی وصل شوید.
• گواهی‌های TLS سرورها به‌طور خودکار تمدید می‌شوند.
• محدودیت‌های شناخته‌شده: Trojan از TLS 1.2 یا 1.3 پذیرش می‌کند (سرور هنوز 1.3 را اجباری نمی‌کند) و Shadowsocks 2022 رازداری پیشرو ندارد.

افراد روی همان Wi-Fi، ارائه‌دهندهٔ اینترنت شما یا مدیر شبکه نمی‌توانند ببینند به کدام سایت‌ها سر می‌زنید یا چه چیزی را از طریق تونل می‌فرستید. آن‌ها می‌توانند ببینند که به یک سرور Colitu وصل هستید، چه زمانی، و تقریباً چه مقدار داده مصرف می‌کنید. ترافیکی که برنامه‌ها خارج از تونل می‌فرستند، مانند برخی سایت‌های منطقه‌ای در یک فهرست داخلی و ترافیک شبکهٔ محلی، محافظت نمی‌شود؛ به تونل‌زنی تقسیم‌شده نگاه کنید.

خود سرور VPN از نظر فنی نشانی IP شما و مقصد ترافیکتان را می‌بیند، اما محتوای اتصال‌های HTTPS را نه. VPN شما را ناشناس نمی‌کند. اینکه هر طرف چه چیزی را می‌تواند ببیند در سند فنی امنیت توضیح داده شده است.

#نشانی سرورها

نشانی سرورها و تنظیمات اتصال به‌صورت امن داخل برنامه‌ها مدیریت می‌شود و هرگز منتشر نمی‌شود. این کار خطر حمله‌های هدفمند و مسدودسازی را کاهش می‌دهد.

#محافظت از حساب

• رمزهای عبور فقط به‌صورت هش Argon2id ذخیره می‌شوند؛ هیچ‌کس، حتی کارکنان Colitu، نمی‌تواند رمز عبور شما را بخواند.
• از رمز عبور قوی که در جای دیگری استفاده نمی‌کنید بهره ببرید و برای محافظت بیشتر تأیید دومرحله‌ای را روشن کنید.
• هر دستگاه، هر پیوند اشتراک و هر خروجی پیکربندی دستی روی سرورها اعتبارنامهٔ اتصال مخصوص خود را دارد. حذف یک دستگاه در مدیریت دستگاه‌ها ظرف حدود 15 ثانیه آن را قطع می‌کند و چرخاندن یک پیوند اشتراک، اعتبارنامه‌های پیوند قدیمی را لغو می‌کند. اگر دستگاهی گم شد، آن را حذف کنید و رمز عبور خود را هم تغییر دهید؛ این کار همهٔ دستگاه‌ها و نشست‌های وب را از حساب خارج می‌کند.
• بیش از تعداد دستگاه‌های مجاز طرح شما نمی‌توانند متصل شوند؛ تلاش‌های ردشده روی حساب شما ثبت می‌شوند.
• نشست‌ها را در صفحهٔ حساب خود بررسی کنید و هر نشستی را که نمی‌شناسید پایان دهید؛ به امنیت حساب و ورود با کلید عبور نگاه کنید.

#تأیید دومرحله‌ای (2FA)

تأیید دومرحله‌ای علاوه بر رمز عبور، یک کد از برنامهٔ احراز هویت هم می‌خواهد.

• فقط در وب‌سایت روشن کنید

  به colitu.com/account/security بروید و مراحل را با یک برنامهٔ احراز هویت (هر برنامه‌ای برای کدهای یک‌بارمصرف مبتنی بر زمان، TOTP) دنبال کنید. این کار را نمی‌توان داخل برنامه‌ها انجام داد.

• کدهای بازیابی

  هنگام روشن کردن آن 10 کد بازیابی یک‌بارمصرف دریافت می‌کنید. آن‌ها را در جای امنی و جدا از گوشی خود نگه دارید. اگر به برنامهٔ احراز هویت دسترسی خود را از دست بدهید، هر کد فقط یک بار کار می‌کند.

• در برنامه‌ها

  برنامه‌ها کد را فقط هنگام ورود، و پس از بازنشانی رمز عبور هم، می‌خواهند. از Windows 2.6.0، Android 2.6.0، Linux 1.2.0 و iOS 5.5.0 پشتیبانی می‌شود؛ نسخهٔ قدیمی‌تر از شما می‌خواهد پیش از ورود برنامه را به‌روزرسانی کنید.

• از حساب بیرون مانده‌اید؟

  به پشتیبانی بنویسید. پشتیبانی پس از اطمینان از اینکه حساب مال شماست، می‌تواند تأیید دومرحله‌ای را بازنشانی کند.

#چه کاری باید انجام دهید

• رمز عبور یا کد تأیید خود را هرگز به اشتراک نگذارید. کارکنان Colitu و Colitu Bot هرگز آن‌ها را نمی‌خواهند.
• برنامه‌ها را فقط از colitu.com/download دانلود کنید.
• حساب خود را با دیگران به اشتراک نگذارید؛ هر فرد به جایگاه دستگاه مخصوص خود نیاز دارد.

#برنامه‌های متن‌باز

کد منبع برنامه‌های Windows، Android، iOS و Linux ما با مجوز GPL-3.0 در GitHub منتشر شده است: colitu/windows، colitu/android، colitu/ios و colitu/linux. هر کسی می‌تواند بررسی کند برنامه روی دستگاه شما چه می‌کند و آن را خودش بسازد. نرم‌افزار سرور و سامانهٔ حساب‌ها متن‌باز نیستند. اینکه چرا متن‌باز هستیم و چه چیزهایی را می‌توانید در کد راستی‌آزمایی کنید در صفحهٔ متن‌باز ما توضیح داده شده است.

#وضعیت ممیزی

Colitu هنوز ممیزی امنیتی مستقل یا آزمون نفوذ نداشته است. معماری ما، محدودیت‌های شناخته‌شده و آنچه خودتان می‌توانید بررسی کنید در سند فنی امنیت شرح داده شده است.

#گزارش یک آسیب‌پذیری

مسائل امنیتی را به‌صورت خصوصی به [email protected] بفرستید، همراه با مراحل بازتولید و نسخهٔ تحت تأثیر. دریافت گزارش‌ها را ظرف 3 روز کاری تأیید می‌کنیم و ظرف 10 روز کاری ارزیابی اولیه می‌دهیم. علیه پژوهش با حسن نیت اقدام قانونی نمی‌کنیم، از پژوهشگرانی که بخواهند نامشان ذکر شود قدردانی می‌کنیم و جایزهٔ نقدی ارائه نمی‌دهیم. لطفاً پیش از علنی کردن موضوع، به ما برای رفع آن فرصت بدهید. سیاست کامل: افشای آسیب‌پذیری.