مركز الثقة
ما الذي تفعله Fendix بشيفرتك وبياناتك، وكيف تُبنى إصداراتها ويُتحقق منها، وكيف تبلّغ عن مشكلة أمنية. كل ما هنا قابل للتحقق، وما لا نستطيع إظهاره بعد مذكور على هذا الأساس.
أين تعمل وما الذي تحتفظ به
أداة CLI مفتوحة المصدر
تعمل على أجهزتك أو مشغّلات CI لديك برخصة MIT، دون حساب ودون قياس استخدام. وتُحلَّل الشيفرة المصدرية حيث تعمل الأداة ولا تُرفع. وتتجه حركة الشبكة إلى الأهداف التي تفحصها، وفي فحوص الاعتماديات إلى خدمات الثغرات والوحدات مثل OSV.dev وقاعدة بيانات ثغرات Go، التي تتلقى أسماء الحزم وإصداراتها. يعتمد السلوك دون اتصال على المحللات التي يفعّلها الفحص. يفحص الخيار --offline اعتماديات PyPI وnpm الأصلية مقابل نسخة محلية ويتخطى govulncheck، لكن في الإصدار v3.7.0 لا يصل هذا الخيار إلى فحص اعتماديات Python الذي يفعّله فحص الشيفرة، فقد يشغّل أدوات تتصل بالشبكة ما لم تضف --python-engine=false أو --checks auth,injection. ويمكن للإضافات الخارجية التي تثبّتها أن تُجري اتصالاتها الخاصة، ويتخطاها الخيار --no-plugins.
مساحة العمل المستضافة
تستخدم فحوص المستودعات نسخة سطحية في مجلد مؤقت يُحذف بعد الفحص. وتُخزَّن بيانات اعتماد الهدف التي تقدّمها مشفّرةً، وتُزال من الفحص عندما ينهيه المحرك؛ أما الفحص الذي يفشل قبل أن يُبلغ المحرك عن نتيجته فيحتفظ بالقيمة المشفّرة حتى يُحذف الفحص، ويحتفظ الفحص المجدول ببيانات اعتماده المشفّرة ما دام الجدول قائمًا. وتُحجب بيانات الاعتماد التي تكتشفها ماسحات الأسرار لحظة التقاطها. ويُحفظ سجل الفحوص طوال مدة الاحتفاظ في خطتك (من 7 إلى 365 يومًا).
مشغّلات مستضافة لدى العميل
في خطط Enterprise تجري الفحوص على مشغّلات داخل شبكتك. وترسل مساحة العمل إلى المشغّل إعدادات الفحص، بما فيها أي بيانات اعتماد للهدف، ويعيد المشغّل تقرير الفحص (النتائج ومقتطفات الأدلة والتغطية) ونبضات الحالة. ولا تُرفع شجرة الشيفرة المصدرية.
الذكاء الاصطناعي وبياناتك
قرارات الإصدار حتمية: لا يشارك أي نموذج ذكاء اصطناعي في اكتشاف النتائج أو حساب الثقة أو تقرير PASS أو WARN أو BLOCK أو INCOMPLETE.
لا يعمل المساعد الاختياري Fenn في مساحة العمل المستضافة إلا عندما يطرح عليه المستخدم سؤالًا أو يطلب تقريرًا. وعندها يرسل إلى مزوّد نماذج اللغة الخارجي المُهيّأ رسالةَ المستخدم والمحادثةَ الأخيرة، وإن كانت المحادثة عن فحص بعينه فهدفَ ذلك الفحص ونتائجَه (العناوين والمواضع والإصلاحات المقترحة ومقتطفات قصيرة من الأدلة قد تقتبس سطر الشيفرة المطابق). وتُحجب أنماط بيانات الاعتماد والأسرار المعروفة من سياق الفحص قبل إرساله. والحجب قائم على الأنماط، فلا يضمن ألّا يصل أي نص حساس إلى المزوّد، أما الرسائل التي يكتبها المستخدمون فتُرسل كما هي. ولا يتلقى Fenn المستودع أبدًا، ولا يستطيع تغيير قرار أو تعديل الشيفرة.
سلامة الإصدارات
- تُوقَّع الملفات التنفيذية للإصدارات وحزم Linux وقوائم مكوّنات البرمجيات (SBOM) وصور الحاويات بتوقيع Sigstore cosign دون مفاتيح. ويرفض خط الإصدار نشر وسم غير موقّع ما لم يتجاوز أحد المشرفين هذا الفحص عمدًا. وتحمل كل الإصدارات من v0.6.0-rc2 حتى الإصدار الحالي توقيعات، بينما صدرت أقدم الإصدارات (من v0.2.0 إلى v0.6.0-rc1) ببصمات SHA-256 فقط. ووسوم Git مُعلَّمة لكنها غير موقّعة، لذا تحقّق من الملفات لا من الوسم.
- تصدر الإصدارات الحالية مع قوائم مكوّنات برمجيات موقّعة بصيغتي CycloneDX وSPDX لكل ملف تنفيذي (وبصيغة CycloneDX لكل حزمة Linux)، ومع إثبات بناء وفق SLSA v1.0 لكل ملف تنفيذي، يُنشئه سير عمل الإصدار نفسه ويوقّعه. وتصدر قوائم المكوّنات وإثباتات البناء منذ v0.14.0.
- يتحقق المثبّت افتراضيًا من بصمة SHA-256، ويتحقق من توقيع cosign عندما يكون cosign مثبّتًا؛ ومع FENDIX_REQUIRE_SIGNATURE=1 يرفض التثبيت دون توقيع متحقَّق منه.
- تُنشر صور Docker على Docker Hub ويمكن تثبيتها بالبصمة الرقمية.
ضوابط الوصول في مساحة العمل المستضافة
- مؤسسات بأدوار المالك والمسؤول والعضو والمشاهد.
- مصادقة متعددة العوامل بكلمات مرور لمرة واحدة مبنية على الوقت، ويمكن للمؤسسة فرضها على أعضائها.
- مفاتيح API محددة الصلاحيات تنشر فحوصات CI في مساحة عملك وتوثّق التكاملات المدعومة الأخرى. والواجهة الخلفية لمساحة العمل ليست واجهة برمجية عامة للمطورين.
- سجل تدقيق غير قابل للتعديل لإجراءات مساحة العمل، قابل للتصدير بصيغة CSV.
- استثناءات إصدار يعتمدها شخص غير مقدّم الطلب، ومرتبطة بالأدلة التي مُنحت بناءً عليها.
الإفصاح عن الثغرات
أبلغ بشكل خاص عبر GitHub. نؤكد الاستلام خلال 72 ساعة ونفرز البلاغ خلال 7 أيام.
حدود الامتثال
تُنتج Fendix أدلة تقنية لعمليات الأمن والامتثال لديك. ولا تحمل Fendix أي شهادة أمنية من جهة خارجية (مثل SOC 2 أو ISO 27001)، ولا تمنح شهادة امتثالك لأي معيار أو تنظيم، بما في ذلك أطر الهيئة الوطنية للأمن السيبراني وساما.
لم يُنشر بعد
لم تُنشر بعد اتفاقية معالجة بيانات، ولا قائمة بالمعالِجين الفرعيين، ولا التزامات بمكان استضافة البيانات، ولا اتفاقية مستوى خدمة للدعم. إن احتاجت مراجعتك إليها فاسألنا وسنخبرك بما يمكننا تقديمه.
تواصل معنا