4.2.0

4.2.0 tiếp nối 4.1.6. Tài khoản cổng Mail nay đăng nhập được bằng khoá truy cập (passkey), và bộ quy tắc tường lửa website có thể được cập nhật từ mirror giữa các bản phát hành của bảng điều khiển. Hai lỗ hổng bảo mật của các cổng được đóng lại: API cổng nay chỉ trả lời các ứng dụng cổng, và người truy cập cổng không còn tự chọn được địa chỉ mà cổng ghi nhận cho họ. Trên AlmaLinux bật SELinux enforcing, thao tác xoá cache của chính một website WordPress nay chạy qua một dịch vụ có domain SELinux riêng.

Ghi chú nâng cấp và thay đổi hành vi​

• API cổng tại 127.0.0.1:2094 từ chối mọi lời gọi không kèm khoá bí mật dùng chung của các ứng dụng cổng bằng mã 403 (bff_secret); chỉ kiểm tra tình trạng là vẫn trả lời khi không có khoá. Khoá nằm trong /etc/hitechcloud/portals/bff.env, tệp mà bản cập nhật 4.1.6 hoặc bản cài mới đã tạo sẵn. Nếu thiếu tệp này hoặc khoá trong đó quá ngắn, API từ chối mọi lời gọi trừ kiểm tra tình trạng; chạy bản cập nhật (hoặc hitechcloudcli portals converge) sẽ tạo lại. Mọi công cụ riêng của bạn từng gọi thẳng API cổng sẽ ngừng hoạt động. (hitechcloudcli#484, HiTechCloud-Panel#1806)
• Các cổng ghi nhận địa chỉ của chính kết nối, không phải giá trị trình duyệt gửi trong X-Forwarded-For. Nếu bạn tự đặt một proxy trước các cổng, các cổng giờ sẽ thấy địa chỉ của proxy đó. (HiTechCloud-Panel#1814)
• Cập nhật bộ quy tắc tường lửa website mặc định tắt. hitechcloudcli webfirewall rules auto on bật cập nhật hằng ngày; webfirewall rules update cài bộ mới hơn theo cách thủ công. Bộ quy tắc đi kèm bản phát hành nay có tệp VERSION. (hitechcloudcli#492, HiTechCloud-Panel#1822)
• Trên máy chủ bật SELinux, bản cập nhật nạp một module chính sách nhỏ, /etc/hitechcloud/selinux/hitechcloud_cacheflush.cil, cho dịch vụ xoá cache WordPress. Không có SELinux thì không có gì thay đổi. (hitechcloudcli#489)

Mới​

• Cổng Mail: khoá truy cập (passkey). Đăng nhập bằng khoá truy cập, và thêm hoặc xoá khoá truy cập trong Cài đặt > Khoá truy cập (cổng hỏi lại mật khẩu trước khi thêm khoá). Khoá dùng chung kho với bảng điều khiển hosting, RP ID và origin lấy từ địa chỉ đã cấu hình của cổng, bắt buộc xác minh người dùng, từ chối khoá bị sao chép, và mọi thay đổi đều được ghi nhật ký. Tài khoản dịch vụ mail, vốn không mở được bảng điều khiển hosting, cũng dùng được khoá truy cập. (HiTechCloud-Panel#1819, #1820)
• Cập nhật bộ quy tắc tường lửa website giữa các bản phát hành. hitechcloudcli webfirewall rules status|check|update|rollback (hoặc waf rules ...) cài bộ quy tắc tường lửa mới hơn từ kênh waf-rules/ trên mirror mà không cần cập nhật bảng điều khiển. Bộ quy tắc phải được ký bằng khóa phát hành, cùng khóa và cùng cách kiểm tra chữ ký như một bản phát hành của bảng điều khiển. Bộ quy tắc được kiểm tra bằng chính tường lửa của máy chủ trước khi áp dụng, và bộ trước đó tự động được khôi phục nếu bước kiểm tra hoặc nạp lại thất bại. 90-local.conf, các bộ quy tắc đã nhập và các bộ đã tắt không bao giờ bị thay đổi. Có thể bật cập nhật hằng ngày bằng webfirewall rules auto on (mặc định tắt), và trang Website Firewall > Rule sets của 2087 hiển thị phiên bản và lần kiểm tra gần nhất, kèm các nút Kiểm tra ngay, Cập nhật và Quay lại. Phía phát hành là devtools pack-waf-rules và workflow thủ công WAF rule set (docs-internal/waf-rules-channel.md). (hitechcloudcli#492, hitechcloudadmin#330, HiTechCloud-Panel#1822)

Bảo mật​

• API của cổng khách hàng chỉ trả lời các ứng dụng cổng. Ở bản 4.1.x, bất kỳ tiến trình nào trên máy chủ (PHP của một website, một cron job) cũng gọi được API cổng tại 127.0.0.1:2094 như thể đó là cổng Mail, DNS hoặc S3. Tiến trình đó không đọc được dữ liệu tài khoản nếu không có token của người dùng, nhưng tự đặt được địa chỉ máy khách của mình, nhờ vậy vượt qua giới hạn đăng nhập theo địa chỉ và ràng buộc địa chỉ của vé đăng nhập, đồng thời ghi địa chỉ giả vào nhật ký kiểm tra. Nay các ứng dụng gửi kèm một khóa bí mật dùng chung lấy từ /etc/hitechcloud/portals/bff.env (chỉ root đọc được, do bản cài đặt hoặc bản cập nhật tạo ra và giữ nguyên về sau), và API từ chối mọi lời gọi khác với mã 403, trừ kiểm tra tình trạng. (hitechcloudcli#484, HiTechCloud-Panel#1806)
• Người truy cập cổng không còn tự chọn được địa chỉ mà cổng ghi nhận cho họ. Các cổng Mail, DNS và S3 lấy mục đầu tiên của tiêu đề X-Forwarded-For do trình duyệt gửi. Người truy cập có thể đặt bất kỳ địa chỉ nào vào đó, nhờ vậy vượt qua giới hạn đăng nhập theo địa chỉ, khớp được ràng buộc địa chỉ của vé đăng nhập và ghi địa chỉ giả vào nhật ký hoạt động của tài khoản. Nay các cổng dùng địa chỉ của chính kết nối. (HiTechCloud-Panel#1814)
• Dịch vụ xoá cache WordPress chạy trong domain SELinux riêng. Trên AlmaLinux bật SELinux enforcing, thao tác xoá object cache của chính một website WordPress (Flush Cache, wp cache flush) nay đến được socket xoá cache của panel. Dịch vụ chạy trong domain riêng hitechcloud_cacheflush_t, và PHP chỉ được cấp thêm quyền kết nối tới domain này, không thêm gì khác. (hitechcloudcli#489)

Đã sửa​

• Trang tường lửa CSF của 2087 luôn chạy giao diện CSF qua trình bao của chính panel (/usr/local/hitechcloudcli/csf-ui.pl). Hai đường dẫn script cũ đã được bỏ, nên trang không còn có thể rơi về công cụ dòng lệnh csf, vốn chỉ trả về trang hướng dẫn của nó. (hitechcloudadmin#327)

Thay đổi​

• Bước khoá truy cập sẵn có sau khi đăng nhập bằng mật khẩu ở các cổng nay theo cùng quy tắc với đăng nhập bằng khoá truy cập mới: RP ID và origin lấy từ địa chỉ đã cấu hình của cổng. Trước đây bước này lấy RP ID từ tên miền bắt buộc (force domain) ngay cả khi cổng dùng tên máy chủ riêng, và trình duyệt từ chối trường hợp đó. (HiTechCloud-Panel#1819)
• Bài kiểm tra trực tiếp hằng tuần với cài đặt và cập nhật thật nay kiểm tra thêm đăng nhập một lần vào phpMyAdmin và vào các cổng Mail/DNS/S3 từ 2083, việc tạo gói hosting và đại lý trên 2087, trả lời tự động, WP Helper trong WordPress mới cài, và bản cài mới trên Ubuntu 26.04, Debian 13 và AlmaLinux 10. (HiTechCloud-Panel#1811, #1812, #1813)
• CI giờ chỉ chạy những kiểm tra mà một thay đổi cần. Đây là thay đổi nội bộ, không ảnh hưởng gì tới máy chủ. (HiTechCloud-Panel#1818, #1821)

Hạn chế đã biết​

• Module SELinux của dịch vụ xoá cache chưa được kiểm tra trên máy chủ bật SELinux enforcing; module chỉ được kiểm tra ngoại tuyến với chính sách của AlmaLinux 9. Nếu module không nạp được, thao tác xoá cache của website WordPress hoạt động như trong 4.1.6.
• 2087 chưa có trang để xem hoặc thu hồi khoá truy cập của khách hàng. Khách hàng vẫn tự xoá được khoá truy cập của mình trong 2083 hoặc trong cổng Mail.
• Greylisting vẫn tắt trên Ubuntu 22.04 và Debian 12 khi bộ nhớ đệm được bảo mật, vì rspamd của chúng không đăng nhập được bằng tên người dùng (xem 4.1.4).
• Bộ quy tắc tường lửa website có chữ ký đầu tiên sẽ do nhóm bảo trì phát hành sau bản phát hành này. Trước đó chưa có bộ mới hơn để cập nhật, và máy chủ giữ bộ quy tắc đi kèm bản phát hành.