مدیر فنی پیش از انتخاب هر سرویس زیرساخت مالی، نخست درباره امنیت می‌پرسد. این پرسش درست است، چون سازمان دارایی کاربرانش را به آن زیرساخت می‌سپارد. پاسخ هم باید دقیق و قابل بررسی باشد.
امنیت زربان سازمانی بر چهار پایه استوار است. این مقاله هر پایه را جداگانه شرح می‌دهد و نشان می‌دهد تیم فنی شما چطور آن را بررسی می‌کند.
خلاصه مطلب: زربان سازمانی روی همان قراردادهای پروتکل عمومی زربان اجرا می‌شود که شرکت آدیت‌وان1 حسابرسی کرده است. این قراردادها متن‌بازند. زربان کلیدها را به شکل امانی2 نگه می‌دارد و کلیدها درون سرویس کلید می‌مانند. هر عملیات حساس هم با کاربر، زمان و نتیجه ثبت می‌شود.
پایه اول: قراردادهای حسابرسی‌شده
زربان سازمانی روی همان قراردادهای هوشمندی اجرا می‌شود که پروتکل عمومی زربان را اداره می‌کنند. شرکت آدیت‌وان این قراردادها را حسابرسی کرده است. بنابراین منطق وثیقه، بدهی و تسویه پیش‌تر زیر نگاه حسابرس مستقل رفته و در پروتکل عمومی هم به کار گرفته شده است.
پایه دوم: کد متن‌باز
قراردادهای هوشمند زربان متن‌بازند. تیم فنی شما پیش از امضای هر قراردادی کد را می‌خواند و درباره آن داوری می‌کند. متن‌باز بودن، اعتماد را بر بررسی مستقل بنا می‌کند.
پایه سوم: نگهداری امانی کلیدها
زربان سازمانی سرویسی امانی است. نگهداری کلیدها و مسئولیت امن ماندن آن‌ها با زربان است. سرویس کلید سلسله‌مراتبی قطعی3 کلیدها را نگه می‌دارد و دو قاعده ساده دارد:
- کلید خصوصی همیشه درون سرویس کلید می‌ماند.
- پاسخ فراخوانی‌ها فقط نتیجه عملیات را برمی‌گرداند.
سازمان شما تراکنش را می‌سازد و درخواست امضا می‌دهد و سرویس کلید امضا را درون خودش انجام می‌دهد.
پایه چهارم: تاریخچه کامل
زربان هر عملیات حساس را با سه مشخصه ثبت می‌کند: کاربری که آن را انجام داده، زمان انجام و نتیجه. این تاریخچه در داشبورد در دسترس است و تیم شما هر زمان آن را بازبینی می‌کند.
کنترل دسترسی درون سازمان
امنیت فقط به زیرساخت محدود نمی‌شود. داشبورد زربان سازمانی برای هر عضو تیم نقش جداگانه تعریف می‌کند: مالک، مدیر، توسعه‌دهنده و مشاهده‌کننده. هر عضو فقط به بخش‌هایی دسترسی دارد که برای کارش لازم است. ورود دومرحله‌ای هم از حساب هر عضو محافظت می‌کند.
پرسش‌های امنیتی خود را با تیم زربان مطرح کنید
شماره‌تان را بگذارید تا در ساعات کاری تماس بگیریم و به پرسش‌های تیم فنی شما پاسخ دهیم.
تیم فنی شما چه چیزهایی را بررسی کند؟
| موضوع | روش بررسی |
|---|---|
| قراردادهای هوشمند | کد متن‌باز را بخوانید. |
| حسابرسی | گزارش حسابرسی آدیت‌وان را مرور کنید. |
| کلیدها | مستندات سرویس کلید و پاسخ فراخوانی‌ها را بررسی کنید. |
| تاریخچه عملیات | بخش تاریخچه را در داشبورد ببینید. |
| وب‌هوک‌ها | امضای هر رویداد را در سرور خودتان بسنجید. |
سؤالات متداول
زربان سازمانی امانی است یا غیرامانی؟
زربان سازمانی امانی است و زربان کلیدها را نگه می‌دارد، چون سازمان از طرف کاربرانش عمل می‌کند. پروتکل عمومی زربان غیرامانی4 است و کاربر در آن کلید خودش را نگه می‌دارد.
چه کسی قراردادها را حسابرسی کرده است؟
شرکت آدیت‌وان قراردادهای پروتکل عمومی زربان را حسابرسی کرده است و زربان سازمانی روی همین قراردادها اجرا می‌شود.
از کجا بفهمیم چه کسی چه عملیاتی انجام داده است؟
تاریخچه داشبورد هر عملیات حساس را با کاربر، زمان و نتیجه نشان می‌دهد.
وب‌هوک‌ها چطور ایمن می‌شوند؟
زربان هر رویداد را امضا می‌کند. روش بررسی امضا را در راهنمای وب‌هوک بلادرنگ بخوانید.