Модель угроз

Граница системы

В границу входят TCP/TLS listener, HTTP parser, authentication, browser-origin policy, handlers, WebSocket notes, storage и bundled UI. Внешними остаются клиенты, reverse proxies, tunnel providers, DNS/ACME, filesystem и operator.

Активы

• credentials, ACME keys и certificate private keys;
• uploaded files, note ciphertext/metadata и client-held note key;
• integrity runtime/configuration и verified release artifacts;
• availability workers, memory, disk и file descriptors;
• privacy logs, metrics и diagnostics.

Основные угрозы и меры

Угроза	Мера
Spoofing credentials	TLS, file-backed Basic Auth, rate limiting и proxy throttling
Path traversal или symlink escape	общий descendant resolver и uploads-only boundary
Browser cross-origin mutation	exact origin policy; wildcard только read-only
Request smuggling	conflicting Content-Length rejected; duplicate identical values accepted; bounded headers/body
Payload/storage exhaustion	body admission budget, upload/note quotas, SMUGGLE retention и reserve-free gate
Worker exhaustion	finite workers, timeouts и WebSocket admission limit
Secret leakage	redacted posture, low-cardinality metrics, session fingerprints и file-backed auth
Untrusted artifact	immutable digest, provenance/SBOM verification и rollback
Abandoned SMUGGLE artifacts	one-shot serving, startup cleanup и age/count/bytes retention
Lost Notepad key	documented non-recoverability; server stores no durable recovery key

Trust boundaries

TLS защищает network transport, но tunnel provider может завершать TLS до XFerry. Reverse proxy headers не меняют client identity без отдельного trusted proxy contract. Host filesystem и backups принадлежат оператору и должны иметь те же permissions и lifecycle, что runtime data.

Не-цели

• multi-tenant isolation;
• безопасная публикация для произвольных Internet clients «из коробки»;
• durable recovery Secure Notepad;
• превращение XOR/SMUGGLE в confidential file storage;
• защита от администратора host, tunnel provider или скомпрометированного browser.

Версионирование

Модель относится к xferry 2.x и должна пересматриваться при изменении auth, storage boundaries, proxy trust, cryptography, release pipeline или always-on method surface.