Odoo सिक्योरिटी

बैकअप/ गड़बड़ी रोकने के लिए रिकवरी

• हम कम से कम 3 महीने तक हर Odoo डेटाबेस के 14 फुल बैकअप की हिस्ट्री बनाए रखते हैं: 7 दिनों के लिए दैनिक बैकअप, 4 हफ़्तों के लिए साप्ताहिक बैकअप, और 3 महीनों के लिए मासिक बैकअप।
• बैकअप कम से कम 3 अलग-अलग डेटा सेंटरों में रेप्लिकेट किए जाते हैं।
• हमारे डेटा सेंटर कहां स्थित हैं, इसकी जानकारी यहां दी गई है: निजता नीति.
• आप कंट्रोल पैनल का इस्तेमाल करके किसी भी समय अपने लाइव डेटा का मैन्युअल बैकअप भी डाउनलोड कर सकते हैं।
• उपलब्ध बैकअप को अपने लाइव डेटाबेस या किसी अलग डेटाबेस में रीस्टोर करने के लिए, हमारे हेल्पडेस्क से संपर्क करें।
• हार्डवेयर फ़ेलओवर: बेयर-मेटल बुनियादी ढांचे पर होस्ट की गई सेवाओं के लिए, जहां हार्डवेयर के विफल होने की संभावना होती है, हम लोकल हॉट-स्टैंडबाय रेप्लिकेशन, निगरानी और एक मैन्युअल फ़ेलओवर प्रक्रिया का उपयोग करते हैं।
• आपदा रिकवरी: किसी बड़े सर्वर फ़ेलियर या प्राकृतिक आपदा की स्थिति में, Odoo क्लाउड सर्विस और ग्राहकों के डेटा को सुरक्षित रीस्टोर करने के लिए हमारे पास तय प्रक्रियाएं मौजूद हैं. पढ़ें - क्लाउड सर्विस लेवल एग्रीमेंट ज़्यादा जानकारी और विस्तृत रिकवरी पॉइंट ऑब्जेक्टिव (RPO) और रिकवरी टाइम ऑब्जेक्टिव (RTO) के लिए।

डेटाबेस की सुरक्षा

• हर ग्राहक का डेटा एक अलग और सुरक्षित डेटाबेस में रखा जाता है, और इसे दूसरे ग्राहकों के साथ साझा नहीं किया जाता है।
• डेटा ऐक्सेस कंट्रोल्स एक ही क्लस्टर पर चल रहे ग्राहक डेटाबेस को अलग करते हैं, जिससे एक ग्राहक डेटाबेस से दूसरे में ऐक्सेस को रोका जा सके।

पासवर्ड की सुरक्षा

• ग्राहकों के पासवर्ड को सुरक्षित रखने के लिए PBKDF2+SHA512 जैसे मानक तरीके अपनाए जाते हैं. इसमें पासवर्ड हैक होने से बचाने के लिए साल्टिंग (रैंडम डेटा मिलाना) और हज़ारों बार प्रोसेसिंग (की स्ट्रेचिंग) जैसी मज़बूत सुरक्षा तकनीकें शामिल हैं।
• Odoo स्टाफ़ आपके पासवर्ड को ऐक्सेस नहीं कर सकते या वापस पा नहीं कर सकते. पासवर्ड खो जाने पर, उसे रीसेट करना होगा।
• लॉगिन क्रेडेंशियल हमेशा HTTPS पर सुरक्षित रूप से भेजे जाते हैं.
• कस्टमर डेटाबेस एडमिन के पास ये अधिकार होते हैं - लॉगिन की सीमा तय कर दे और बार-बार लॉगिन की कोशिशों के लिए कूलडाउन पीरियड।
• पासवर्ड से जुड़ी नीतियां: डेटाबेस एडमिनिस्ट्रेटर न्यूनतम पासवर्ड लंबाई लागू कर सकते हैं. अन्य नीतियां, जैसे कि ज़रूरी कैरेक्टर वर्ग, डिफ़ॉल्ट रूप से चालू नहीं होती हैं, क्योंकि शोध से पता चला है कि वे नुकसानदेह होती हैं. देखें [शॉ की 2016 की रिसर्च] और NIST SP 800-63b.

कर्मचारी के लिए ऐक्सेस

• जब आप किसी समस्या के लिए मदद मांगते हैं, तो उसकी ठीक से जांच करने के लिए Odoo हेल्पडेस्क टीम ज़रूरत पड़ने पर आपके अकाउंट को चेक कर सकती है. इसके लिए वे अपने खास स्टाफ़ लॉगिन का इस्तेमाल करते हैं, न कि आपके पासवर्ड का (आपका पासवर्ड वे देख भी नहीं सकते)।
• हमारे स्टाफ़ के लिए बनाए गए खास एक्सेस की मदद से हमारी टीम बिना आपका पासवर्ड मांगे ही आपकी बताई गई समस्याओं को सिस्टम में दोहराकर उनकी जाँच कर सकती है. इसके साथ ही, हमारे कर्मचारियों द्वारा किए गए कामों को अलग से कंट्रोल करना और उनकी पूरी जांच करना भी आसान हो जाता है।
• हेल्पडेस्क स्टाफ़ अपना एक्सेस केवल उसी डेटा, फ़ाइलों और सेटिंग तक सीमित रखते हैं, जो आपकी समस्या का निदान करने और उसे हल करने के लिए आवश्यक हैं।

सिस्टम सुरक्षा

• Odoo क्लाउड सर्वर अप-टू-डेट सुरक्षा पैच के साथ मज़बूत लिनक्स डिस्ट्रिब्यूशन पर चलते हैं।
• सर्वर में सिर्फ़ ज़रूरी चीज़ें इंस्टॉल की जाती हैं, ताकि सुरक्षा के लिए खतरा बनने वाली सर्विस को कम किया जा सके।
• रिमोट सर्वर एडमिनिस्ट्रेशन कुछ भरोसेमंद Odoo इंजीनियरों तक सीमित है और पर्सनल मल्टी-फ़ैक्टर क्रेडेंशियल से सुरक्षित है।

फिज़िकल सिक्योरिटी

Odoo क्लाउड सर्वर कई क्षेत्रों के भरोसेमंद डेटा सेंटर में होस्ट किए जाते हैं. सभी होस्टिंग सुविधाओं को हमारी भौतिक सुरक्षा आवश्यकताओं को पूरा करना ज़रूरी है, जिनमें शामिल हैं:

• प्रतिबंधित एरिया का ऐक्सेस सिर्फ़ अधिकृत डेटा सेंटर कर्मचारियों के पास है।
• सिक्योरिटी बैज या बायोमेट्रिक ऑथेंटिकेशन का इस्तेमाल करके फ़िज़िकल ऐक्सेस कंट्रोल।
• डेटा सेंटर सुविधाओं की 24/7 सुरक्षा कैमरा निगरानी।
• 24/7 ऑन-साइट सुरक्षा कर्मी।

क्रेडिट कार्ड की सुरक्षा

• हम कभी भी अपने सिस्टम पर क्रेडिट कार्ड की जानकारी स्टोर नहीं करते हैं।
• क्रेडिट कार्ड की जानकारी सुरक्षित रूप से और सीधे भेजी जाती है PCI-अनुपालन भुगतान अधिग्रहणकर्ता. देखें निजता नीति प्रोवाइडर की सूची के लिए।

डेटा एन्क्रिप्शन

• ग्राहक इंस्टेंसेस के साथ संचार 256-बिट SSL एन्क्रिप्शन के साथ HTTPS का उपयोग करके सुरक्षित रखा जाता है।
• सर्वरों के बीच इंटरनल कम्यूनिकेशन एंड-टू-एंड एन्क्रिप्शन से सुरक्षित हैं।
• हमारे सर्वरों की निरंतर निगरानी की जाती है और SSL सुरक्षा कमज़ोरियों के पैच के साथ उन्हें अपडेट रखा जाता है।
• हमारे SSL सर्टिफ़िकेट फुल SHA-2 सर्टिफ़िकेट चेन्स के साथ 2048-बिट की का इस्तेमाल करते हैं. आप SSL रेटिंग वेरिफ़ाई कर सकते हैं क्लिक करें.
• ग्राहकों का पूरा डेटा (जैसे डेटाबेस की जानकारी और सेव की गई फ़ाइलें) मुख्य सिस्टम और बैकअप में रखे होने के दौरान AES-256 सुरक्षा तकनीक से सुरक्षित (एन्क्रिप्टेड) रहता है।

नेटवर्क रक्षा

• Odoo Cloud के लिए इस्तेमाल होने वाले डेटा सेंटर प्रोवाइडर हाई-कैपेसिटी वाले नेटवर्क ऑपरेट करते हैं, जिन्हें ज़्यादातर Denial of Service हमलों सहित भारी ट्रैफ़िक झेलने के लिए डिज़ाइन किया गया है. सर्विस में रुकावट आने से पहले ही, ऑटोमेटेड और मैन्युअल मिटिगेशन सिस्टम नेटवर्क के किनारे पर अटैक ट्रैफ़िक का पता लगाकर उसे डायवर्ट करते हैं।
• Odoo क्लाउड सर्वर पर फ़ायरवॉल और हमले को रोकने वाली सिस्टम की मदद से, ब्रूट-फोर्स पासवर्ड के हमलों जैसे खतरों का पता लगाया जाता है और उनको हमला करने से पहले ही रोका जाता है.
• कस्टमर डेटाबेस एडमिन के पास ये अधिकार होते हैं - लॉगिन की सीमा तय कर दे और बार-बार लॉगिन की कोशिश करने पर कूलडाउन पीरियड लागू करें या ऑटोमेटेड ब्रूट-फ़ोर्स हमलों को रोकने के लिए CAPTCHA कॉन्फ़िगर करें।

सॉफ़्टवेयर सिक्योरिटी

Odoo ओपन सोर्स है, जिससे दुनियाभर के यूज़र और योगदानकर्ता इसके कोडबेस का लगातार रिव्यू करते हैं. कम्युनिटी रिपोर्ट से सुरक्षा फ़ीडबैक मिलता है. हम डेवलपर और सिक्योरिटी रिसर्चर को कोड का ऑडिट करने और सुरक्षा से जुड़ी समस्याओं की रिपोर्ट करने के लिए प्रोत्साहित करते हैं।

Odoo की R&D प्रक्रियाओं में कोड रिव्यू शामिल हैं, जो नए और योगदान किए गए कोड दोनों के सुरक्षा पहलुओं पर विचार करते हैं।

डिज़ाइन द्वारा सुरक्षित

Odoo फ़्रेमवर्क को डिफ़ॉल्ट रूप से आम सुरक्षा खामियों को रोकने के लिए डिज़ाइन किया गया है:

• SQL इंजेक्शन को एक हायर-लेवल API से रोका जाता है, जो आम तौर पर मैन्युअल रूप से बनाई गई SQL क्वेरी की ज़रूरत को खत्म कर देता है।
• क्रॉस-साइट स्क्रिप्टिंग (XSS) को एक उच्च-स्तरीय टेम्प्लेटिंग सिस्टम द्वारा रोका जाता है, जो ऑटोमैटिकली इंजेक्ट किए गए डेटा को एस्केप करता है।
• यह फ़्रेमवर्क प्राइवेट मेथड तक RPC के ऐक्सेस को रोकता है. इससे सिस्टम की उन कमज़ोरियों के उजागर होने का खतरा कम होता है, जिनका गलत फ़ायदा उठाया जा सकता है।

देखें OWASP में बताई गईं मुख्य कमियां Odoo फ़्रेमवर्क में मौजूद सुरक्षा फ़ीचर के बारे में ज़्यादा जानकारी के लिए सेक्शन।

स्वतंत्र सुरक्षा ऑडिट

हमारे मौजूदा और संभावित ग्राहक अक्सर बाहरी सिक्योरिटी कंपनियों से Odoo की सुरक्षा जांच (ऑडिट) और टेस्टिंग (पेनिट्रेशन टेस्ट) करवाते रहते हैं. Odoo की सिक्योरिटी टीम इन जांच की रिपोर्ट को ध्यान से देखती है और जहां भी कोई सुधार करने की ज़रूरत होती है, उसे तुरंत ठीक करती है।

हम इन असेसमेंट रिपोर्ट को शेयर नहीं कर सकते, क्योंकि ये कॉन्फ़िडेंशियल हैं और इन्हें तैयार करवाने वाले संगठनों की हैं।

Odoo स्वतंत्र सिक्योरिटी रिसर्चर्स की सक्रिय कम्यूनिटी के साथ भी काम करता है, जो हमारे सोर्स कोड का रिव्यू करके इसकी सुरक्षा को लगातार बेहतर बनाने में मदद करते हैं. हमारी सिक्योरिटी रिसर्च और डिस्क्लोज़र प्रोसेस का विवरण हमारे ज़िम्मेदारी से इस्तेमाल करने के निर्देश पेज पर मिल जाएगी.

OWASP में बताई गईं मुख्य कमियां

नीचे बताया गया है कि Odoo, इनके द्वारा पहचाने गए आम वेब ऐप्लिकेशन सुरक्षा जोखिमों से कैसे निपटता है ओपन वेब ऐप्लिकेशन सिक्योरिटी प्रोजेक्ट (OWASP) में बताया गया है:

• इंजेक्शन फ़्लॉ: इंजेक्शन फ़्लॉ तब होते हैं जब अनट्रस्टेड डेटा किसी कमांड या क्वेरी के हिस्से के रूप में इंटरप्रेटर तक पहुंचता है, जिससे अनचाहे कमांड एक्ज़ीक्यूट हो सकते हैं या डेटा बदल सकता है।

  Odoo एक ऑब्जेक्ट-रिलेशनल मैपिंग (ORM) फ़्रेमवर्क का इस्तेमाल करता है जो क्वेरी बनाने को आसान करता है और डिफ़ॉल्ट रूप से SQL इंजेक्शन रोकता है. डेवलपर्स को मैन्युअल रूप से SQL क्वेरी नहीं बनानी पड़ती: क्वेरी ORM जनरेट करता है और पैरामीटर सही तरीके से एस्केप होते हैं।

• क्रॉस-साइट स्क्रिप्टिंग (XSS): XSS खामियां तब होती हैं जब अनट्रस्टेड कॉन्टेंट को सही एस्केपिंग या एन्कोडिंग के बिना वेब पेज में शामिल किया जाता है, जिससे अटैकर दूसरे यूज़र के ब्राउज़र में स्क्रिप्ट एक्ज़ीक्यूट कर सकता है।

  Odoo सिस्टम अपने आप (बाय डिफ़ॉल्ट) वेब पेजों पर दिखने वाले कोड या फ़ॉर्मूले (एक्सप्रेशंस) को सुरक्षित कर देता है, जिससे आम इस्तेमाल के दौरान वेबसाइट हैक होने (XSS) का खतरा नहीं रहता. अगर डेवलपर्स किसी कोड को बिना बदले (रॉ कॉन्टेंट के तौर पर) पेज पर दिखाना चाहते हैं, तो उन्हें उस कोड को जोड़ने से पहले जानबूझकर 'सुरक्षित' के रूप में मार्क करना पड़ता है।

• क्रॉस-साइट रिक्वेस्ट फ़ोर्जरी (CSRF): CSRF अटैक यूज़र के मौजूदा सेशन का इस्तेमाल करके, ऑथेंटिकेटेड यूज़र के ब्राउज़र से वेब ऐप्लिकेशन पर अनऑथराइज़्ड रिक्वेस्ट सबमिट करने की कोशिश करता है।

  Odoo वेबसाइट इंजन में इन-बिल्ट CSRF प्रोटेक्शन शामिल है. HTTP कंट्रोलर संबंधित सिक्योरिटी टोकन के बिना सुरक्षित POST अनुरोध स्वीकार नहीं करते. यूज़र के सही तरीके से फ़ॉर्म ऐक्सेस करने पर यह टोकन दिया जाता है और कोई हमलावर इसे फ़र्ज़ी नहीं बना सकता।

• हानिकारक फ़ाइल चलाना: यदि सिस्टम में बाहर से फ़ाइल जोड़ने की सुरक्षा में कोई कमी है, तो कोई हैकर इसका फ़ायदा उठाकर सर्वर पर अपना ख़तरनाक कोड या वायरस डाल सकता है और उसे चला सकता है।

  Odoo बाहर से किसी फ़ाइल को सिस्टम में जोड़ने (रिमोट फ़ाइल इन्क्लूज़न) की सुविधा नहीं देता है. जिन यूज़र के पास विशेष अधिकार हैं, वे सिस्टम के फ़ॉर्मूले या कोड (एक्सप्रेशंस) का इस्तेमाल करके कुछ फ़ीचर्स में बदलाव कर सकते हैं. हालांकि, ये फ़ॉर्मूले एक बेहद सुरक्षित और चेक किए गए माहौल (सैंडबॉक्स) में काम करते हैं, जहां सिर्फ तय किए गए कामों को ही करने की अनुमति होती है।

• इनसिक्योर डायरेक्ट ऑब्जेक्ट रेफ़रंस: डायरेक्ट ऑब्जेक्ट रेफ़रंस रिकॉर्ड या फ़ाइल जैसे इंटरनल ऑब्जेक्ट के आइडेंटिफ़ायर उजागर करते हैं. जब इन आइडेंटिफ़ायर में बदलाव करके अनऑथराइज़्ड ऐक्सेस मिलता है, तो यह एक कमज़ोरी बन जाती है।

  Odoo ऐक्सेस कंट्रोल यूज़र इंटरफ़ेस से स्वतंत्र रूप से लागू होता है. इसलिए यूआरएल में इंटरनल ऑब्जेक्ट के रेफ़रंस दिखने से ऑथराइज़ेशन बायपास नहीं होता: हर रिक्वेस्ट को डेटा ऐक्सेस वैलिडेशन लेयर से गुज़रना पड़ता है।

• असुरक्षित क्रिप्टोग्राफ़िक स्टोरेज: स्टोर किए गए क्रेडेंशियल्स या संवेदनशील डेटा की कमज़ोर सुरक्षा, उपयोगकर्ताओं को अनधिकृत एक्सेस, पहचान की चोरी और अन्य प्रकार के दुरुपयोग के खतरे में डाल सकती है।

  स्टोर किए गए यूज़र पासवर्ड को सुरक्षित रखने के लिए Odoo इंडस्ट्री-स्टैंडर्ड सिक्योर पासवर्ड हैशिंग (डिफ़ॉल्ट रूप से की स्ट्रेचिंग के साथ PBKDF2 + SHA-512) का इस्तेमाल करता है. यूज़र पासवर्ड को लोकली स्टोर करने से बचने के लिए OIDC/OAuth जैसे एक्सटर्नल ऑथेंटिकेशन सिस्टम का भी इस्तेमाल करें।

• असुरक्षित संचार: यदि कोई ऐप नेटवर्क पर डेटा भेजते या प्राप्त करते समय उसे सही तरीके से एन्क्रिप्ट (सुरक्षित कोड में बदलना) नहीं करता है, तो गोपनीय जानकारी के लीक होने या दूसरों के हाथ लगने का ख़तरा रहता है।

  Odoo Cloud डिफ़ॉल्ट रूप से HTTPS लागू करता है. ऑन-प्रिमाइसेस इंस्टॉलेशन के लिए, हमारा सुझाव है कि Odoo को Apache, Lighttpd या nginx जैसे वेब सर्वर के पीछे चलाएं जो एन्क्रिप्शन और प्रॉक्सी रिक्वेस्ट की सुविधा देते हैं. Odoo डिप्लॉयमेंट गाइड में एक सिक्योरिटी चेकलिस्ट सुरक्षित पब्लिक डिप्लॉयमेंट के लिए।

• यूआरएल ऐक्सेस को सुरक्षित न कर पाना: यदि किसी ऐप में सुरक्षा के लिए केवल लिंक छिपाए जाते हैं और बैकएंड से यूआरएल ब्लॉक नहीं किया जाता, तो बिना अनुमति वाले लोग सीधे यूआरएल डालकर ऐप के महत्वपूर्ण और गोपनीय हिस्सों तक पहुँच सकते हैं।

  Odoo ऐक्सेस कंट्रोल के लिए यूज़र इंटरफ़ेस या छिपे हुए यूआरएल पर निर्भर नहीं करता है. हर अनुरोध को डेटा ऐक्सेस वैलिडेशन लेयर से गुज़रना पड़ता है, इसलिए यूआरएल में बदलाव करके या उसे सीधे खोलकर ऑथराइज़ेशन को बायपास नहीं किया जा सकता. जहां कोई यूआरएल जानबूझकर संवेदनशील जानकारी (जैसे कस्टमर ऑर्डर कंफ़र्मेशन लिंक) का अनऑथेंटिकेटेड ऐक्सेस देता है, उसे एक यूनीक डिजिटली साइन किए गए टोकन से सुरक्षित किया जाता है और सिर्फ़ सही व्यक्ति को भेजा जाता है।

सुरक्षा की कमियों के बारे में रिपोर्टिंग

सुरक्षा से जुड़ी कमी की रिपोर्ट करने के लिए, कृपया हमारे ज़िम्मेदारी से इस्तेमाल करने के निर्देश वाले पेज. सिक्योरिटी रिपोर्ट को हाई प्रायोरिटी दी जाती है और Odoo सिक्योरिटी टीम इनका आकलन करती है. हम पुष्टि हुई समस्याओं की जांच और समाधान के लिए रिपोर्टर के साथ काम करते हैं और ज़रूरत पड़ने पर Odoo ग्राहकों और यूज़र को इसकी जानकारी देते हैं।