Centro di affidabilità

In sintesi

Questo è il centro di affidabilità del motore core di NextPDF. Da qui si accede a quattro documenti: il modello delle minacce del motore, il modello di sicurezza per firma e cifratura, il comportamento di gestione dei dati e dei dati personali e la politica di divulgazione delle vulnerabilità. Ogni pagina descrive un aspetto specifico del comportamento della libreria e indica dove termina la responsabilità della libreria e dove inizia quella del deployment.

Confine. Questa pagina e le pagine a cui rimanda descrivono l’impostazione tecnica: scelte di progettazione, impostazioni predefinite e mitigazioni integrate nel motore core e verificate dalla relativa suite di test. Non costituiscono una certificazione, un rapporto di audit o una garanzia legale. Nessuna affermazione qui contenuta sostiene che la libreria sia «sicura» nel deployment dell’utente. La sicurezza è una proprietà dell’intero sistema: custodia delle chiavi, politica del verificatore, rete e pratiche operative dell’utente; non è una proprietà di una singola dipendenza.

Installazione

L’impostazione di affidabilità descritta qui si applica al motore core:

composer require nextpdf/core:^3

Per leggere queste pagine non è richiesto alcun pacchetto aggiuntivo. I comportamenti descritti sono esercitati dalla suite di test core distribuita nello stesso pacchetto.

Panoramica concettuale

Il centro di affidabilità è organizzato secondo il principio che una pagina di documentazione debba dichiarare sia ciò che il motore fa sia ciò che non promette. Le quattro pagine secondarie ripartiscono la superficie:

Modello delle minacce — le classi di attacco considerate dal motore (SSRF, XXE, bombe di decompressione, path traversal, content injection), l’impostazione default-deny e le protezioni implementate nel codice per mitigare ciascuna classe. Documenta le minacce considerate. Non dichiara l’assenza di vulnerabilità.
Modello di sicurezza — la superficie crittografica: cifratura dei documenti AES-256, natura cooperativa dei bit di autorizzazione PDF rispetto al lettore e percorso di firma CMS/PAdES B-B e B-T. Spiega perché il «supporto di un meccanismo» non equivale alla «sicurezza del proprio deployment».
Gestione dei dati — quali dati la libreria legge, mantiene in memoria e scrive; la trasformazione per la rimozione dei dati personali applicata ai bundle di audit; e il percorso di telemetria opt-in a impatto nullo. Descrive il comportamento della libreria, non la residenza dei dati a livello di deployment.
Divulgazione — il processo coordinato di divulgazione delle vulnerabilità: canali privati di ricezione, obiettivi di tempistica di risposta e modello di embargo. È un impegno di processo, non una garanzia di risultato.

Ogni pagina presenta le proprie affermazioni normative sotto forma di tabella affermazione → id-clausola + reference_id, ricavata dal blocco citations: del suo front-matter. Il lettore può risalire nuovamente alla base normativa di ogni affermazione.

Superficie API

Non applicabile. Il centro di affidabilità è documentazione. Le API che supportano il comportamento descritto sono oggetto delle pagine di riferimento dei moduli (/modules/core/security/, /modules/core/audit/) e non sono rielencate qui. Questa pagina rimanda agli aspetti di affidabilità, non ai simboli.

Esempio di codice — Avvio rapido

Non applicabile. Questa è una pagina indice. Non dichiara alcun comportamento eseguibile. Le pagine secondarie che descrivono il comportamento a runtime includono i propri esempi di codice quando un comportamento è dimostrabile nel core.

Esempio di codice — Produzione

Non applicabile. Vedere le pagine secondarie.

Casi limite e insidie

Una pagina di affidabilità non è un contratto. La lettura di queste pagine non conferisce alcuna garanzia. Fa fede la licenza (Apache-2.0). L’esclusione di garanzia ivi contenuta si applica integralmente.
L’impostazione è versionata. Le impostazioni predefinite e le protezioni descritte qui sono quelle della versione major stabile attuale. Una versione major precedente può avere un’impostazione predefinita più debole. La politica di sicurezza registra quali versioni major ricevono le correzioni.
Il «supporto» è un’insidia ricorrente. In tutto il centro di affidabilità, il supporto di un profilo o di un meccanismo non coincide mai con la conformità a esso o con la sua sicurezza. Ogni pagina ribadisce questo confine nei propri termini.

Prestazioni

Non applicabile. La documentazione non ha alcun costo a runtime. Il profilo prestazionale delle operazioni di sicurezza sottostanti è documentato nelle pagine dei moduli pertinenti.

Note sulla sicurezza

Il centro di affidabilità esiste per rendere espliciti i confini di sicurezza invece di lasciarli impliciti. Due confini trasversali si applicano a ogni pagina:

Le impostazioni predefinite sono fail-closed, non infallibili. Ogni oggetto di policy del motore viene distribuito con la posizione più restrittiva consentita dall’API pubblica. Allentare tale posizione richiede una scelta esplicita da parte del chiamante. Un’impostazione predefinita fail-closed riduce la probabilità di un’esposizione accidentale. Non elimina la responsabilità dell’operatore di esaminare la configurazione che sceglie. Questo rispecchia il principio della configurazione di base in NIST SP 800-53 Rev. 5 CM-7 (nist_sp_800_53r5#x4.x182.p14): una baseline minimizzata è un punto di partenza. Qualsiasi allentamento è una decisione esplicita e registrata.
Requisiti documentati, non una garanzia generalizzata. Il centro affidabilità verifica il comportamento rispetto a requisiti di sicurezza documentati, nello spirito di OWASP ASVS 5 (owasp_asvs_5#x165): uno standard di verifica misura la conformità a requisiti enumerati. Non certifica che nulla sia stato tralasciato.

Conformità

Non applicabile come profilo. Questo indice non implementa un profilo di conformità. Quando una pagina secondaria riguarda uno standard (ISO 32000-2 per cifratura e firme, ISO/IEC 29147/30111 per la divulgazione, EU GDPR / ISO/IEC 29100 per la gestione dei dati), cita la clausola specifica e il reference_id nel proprio front-matter. La pagina stessa presenta la tabella affermazione → clausola.