| Logowanie dwuskładnikowe |
Kody TOTP z dowolnej aplikacji uwierzytelniającej oraz 10 jednorazowych kodów odzyskiwania. admin.require_2fa czyni je obowiązkowymi dla każdego użytkownika konsoli, a administrator może zresetować utracony drugi składnik. |
Tak |
| Logowanie OpenID Connect |
Logowanie do konsoli przez Microsoft Entra ID, Okta, Keycloak, Google lub dowolnego standardowego dostawcę, z PKCE. Użytkownicy łączą tożsamość zewnętrzną ze swoim kontem, a prośby o konto mogą opcjonalnie czekać na zatwierdzenie przez administratora. |
Tak |
| Utwardzenie konsoli |
Nagłówki bezpieczeństwa i ścisła polityka Content Security Policy w każdej odpowiedzi, konfigurowalna polityka haseł, hasła tymczasowe zmieniane przy pierwszym logowaniu oraz sesje kończone, gdy zmieni się rola lub uprawnienia, na których się opierają. |
Tak |
| Sekrety szyfrowane w spoczynku |
Hasła dostawców, kody PIN, dane uwierzytelniające chmury i sekrety webhooków przechowywane z AES-256-GCM pod kluczem głównym powiązanym z maszyną. --protect-secrets szyfruje istniejącą konfigurację w miejscu. |
Tak |
| Wymuszone zatwierdzenia |
Wymagane zatwierdzenie dla dostawcy lub projektu, sprawdzane przez serwer na każdej ścieżce podpisywania, także przy podpisie surowego skrótu dla signtool /dlib. Każde zatwierdzenie pozwala podpisać jeden raz. |
Nie |
| Cykl życia kluczy API |
Ponowne generowanie z oknem nakładania do 7 dni, edytowalna data ważności, właściciele kluczy, lista dozwolonych dostawców dla każdego klucza oraz klucze samoobsługowe dla operatorów z api_keys.self_service. Klucz może też rozpoczynać ważność przy pierwszym użyciu: jest ważny przez N dni liczonych od pierwszego uwierzytelnionego wywołania, z obowiązkową datą „aktywuj przed”, dzięki czemu nieużywany klucz nigdy nie pozostaje ważny bez końca. Podklucze działają dopiero po aktywacji klucza nadrzędnego, aktywacja jest zapisywana w dzienniku audytu jako apikey.activate, a edycja Community ogranicza obie wartości do 30 dni. |
Jeden aktywny klucz, ważność do 30 dni |
| Ochrona prób PIN dla PKCS#11 |
Przestaje logować się do tokenu po max_pin_attempts błędnych kodach PIN i nigdy nie zużywa ostatniej próby, chyba że ustawiono allow_final_pin_try, więc błędny PIN nigdy nie zablokuje tokenu sprzętowego. |
Nie (brak dostawcy PKCS#11) |
| Domyślne serwery znaczników czasu |
Ogólnoserwerowa lista serwerów znaczników czasu RFC 3161 odpytywanych po kolei z automatycznym przełączaniem, tsa_urls dla każdego dostawcy oraz no_timestamp, aby pominąć znacznik czasu w jednym żądaniu. |
Tak |
sgcsign timestamp |
Dodaje znacznik czasu RFC 3161 do pliku już podpisanego Authenticode, próbując kolejno każdego serwera --tsa. |
Tak |
--page-hashes |
Authenticode: dodaje jeden skrót na każdą stronę 4 KB obrazu, odpowiednik signtool sign /ph, używany przez sterowniki trybu jądra z Integralnością pamięci (HVCI). |
Tak |
| Zaszyfrowane kopie zapasowe według harmonogramu |
Jedno archiwum AES-256-GCM z konfiguracją, bazą danych, kluczem głównym oraz plikami kluczy i certyfikatów, tworzone według harmonogramu lub z konsoli. --archive restore przywraca je albo przenosi serwer na nową maszynę. |
Tak |
| Monitorowanie wygasania certyfikatów |
Codzienne sprawdzanie certyfikatów podpisujących i TLS z ostrzeżeniami na 30, 14, 7 i 1 dzień na pulpicie, w webhooku cert.expiring, w e-mailu i w metryce Prometheus. |
Tylko pulpit i e-mail |
| Powiadomienia e-mail |
E-mail o blokadach kont, zmianach uwierzytelniania dwuskładnikowego i haseł, nieudanych kopiach zapasowych i wygasających certyfikatach, przez SMTP ze STARTTLS lub niejawnym TLS. W systemie Windows nie są potrzebne biblioteki OpenSSL. |
Tak |
| Instalator dla systemu Windows |
sgcSignServer_Setup.exe instaluje usługę Windows, tworzy pierwszego administratora, otwiera port zapory i konfiguruje TLS z certyfikatem samopodpisanym lub istniejącym plikiem PFX. |
Nie, Community działa z archiwum zip przez start.bat (zwykłe HTTP) |
| Zapisane profile CLI |
sgcsign config przechowuje ustawienia w nazwanych profilach, a sgcsign auth set-key zapisuje klucz API, w CLI w Delphi i w narzędziu .NET esegece.sgcsign.cli. |
Tak |