# Безопасность

> Дизайн безопасности, сообщение об уязвимостях и область.

## Сообщение об уязвимостях

Если вы обнаружите уязвимость безопасности в Meridian:

1. **НЕ открывайте публичную проблему**
2. Отправьте письмо разработчику или используйте [GitHub Security Advisories](https://github.com/getmeridian/meridian/security/advisories/new)
3. Включите шаги для воспроизведения и потенциальное воздействие

Мы стремимся ответить в течение 48 часов и будем кредитовать репортёров в исправлении.

## Дизайн безопасности

- **Учётные данные**: хранятся с разрешениями `0600` в `~/.config/meridian/cluster.yml`, секреты никогда не передаются через shell команды без `shlex.quote()`, отредактированы из вывода `meridian doctor`. Разрешения директория `0700` (только владелец). Любое приложение работающее как ваш пользователь может прочитать эти файлы — это неотъемлемо для всех CLI инструментов, которые хранят учётные данные локально (SSH ключи, токены облачного CLI и т.д.). Если ваша локальная машина скомпрометирована на уровне пользователя, шифрование учётных данных не поможет: вредоносное ПО может регистрировать нажатия клавиш на пароль или перехватывать SSH сессии. Защитите вашу локальную машину.
- **Доступ к панели**: админ-интерфейс Remnawave обратно проксируется nginx на секретный HTTPS путь — SSH туннель не требуется. Страницы подключения и ссылки подписки используют отдельный путь и никогда не раскрывают панель. URL и учётные данные админа находятся в разделе `panel` из `~/.config/meridian/cluster.yml`
- **SSH**: аутентификация по паролю отключена и fail2ban включён по умолчанию (`--no-harden` пропускает оба плюс файрвол для серверов, общих с другими сервисами)
- **Файрвол**: UFW отклоняет входящий трафик, кроме портов SSH сервера и портов, которые требует его роль — TCP/443 для VPN-трафика, TCP/80 где выпускаются сертификаты, UDP/443 только когда Hysteria2 включен и порт слушания на промежуточных серверах
- **Закреплённое ПО**: образы Remnawave закреплены к протестированным версиям; загрузки Realm, Xray (для `meridian test`) и RealiTLScanner закреплены к версиям и проверены по контрольной сумме
- **TLS**: [acme.sh](https://github.com/acmesh-official/acme.sh) обрабатывает сертификаты через Let's Encrypt, обслуживаемые nginx

## Область

Meridian конфигурирует VPN-серверы — он **не** реализует криптографические протоколы. Базовая безопасность зависит от:

- [Xray-core](https://github.com/XTLS/Xray-core) — протокол VLESS+Reality
- [Remnawave](https://remna.st/) — стек управления панелью + узлом
- [nginx](https://nginx.org/) — маршрутизация SNI и завершение TLS