安全边界公开说明

客户拥有的部分

• AWS 账号、VPC、EC2、Elastic IP、账单和审计记录；
• WireGuard 客户端私钥和完整客户端配置；
• 部署、停止、重启和删除 CloudFormation 栈的最终权限；
• 全部 VPN 数据面流量。

NodalCove 不接收的内容

• AWS Root 或 IAM 登录密码；
• 长期 Access Key、Secret Key 或客户 VPN 私钥；
• 客户流量正文、DNS 查询历史或浏览内容；
• 银行卡信息、一次性验证码或账户恢复代码。

当前模板已定义

• 独立 VPC 和子网，不接入客户现有生产网络；
• 入站仅开放 WireGuard UDP，不开放 SSH 或 Web 管理后台；
• IMDSv2、加密 EBS、删除时清理磁盘和统一资源标签；
• 配套脚本设计为在客户设备本地生成客户端私钥，CloudFormation 参数只接收公钥；
• 客户授权的 AWS 管理员可通过 Systems Manager 运维节点；配套配置脚本只用它执行健康检查并读取服务器公钥，完整客户端配置在本地组装。

已知限制

• 当前只支持一个 AWS 区域、一个节点、一台默认客户端和 IPv4 全隧道公网出口；
• 独立 VPC 不会自动连接客户现有 VPC 工作负载；既有私网访问需另行设计路由；
• 尚无多设备注册、自动吊销、密钥轮换、SSO 或设备姿态检查；
• 为支持移动网络，WireGuard UDP 端口允许公网来源尝试握手；
• 模板已通过本地规则检查和通用 YAML 解析；AWS CloudFormation 验证及真实端到端验收仍待完成；
• 当前不宣称获得 SOC 2、ISO 27001、渗透测试或第三方安全认证。

审阅模板

版本化工具包用于安全评审和双方确认后的隔离测试，不应用于生产环境。部署前必须检查目标 AWS 账号、区域、IAM 资源和预估费用。

报告安全问题

请发送最小必要信息至 security@nodalcove.com。不要在初始报告中发送私钥、密码、验证码、真实客户数据或可立即利用的生产凭据。我们会先确认安全的后续沟通方式。