Sessioni e registrazione

Sessioni

Una sessione inizia quando l’uso di un account condiviso da parte di qualcuno viene approvato (o inizia subito, per gli account con accesso in un clic) e termina quando la persona effettua il logout, quando il tempo scade o quando un amministratore la termina.

• La pagina Sessioni della console elenca ogni sessione, prima quelle attive: chi, quale account, quando, per quanto tempo e come si è conclusa.
• Una sessione risulta attiva solo finché è in corso e la sua ora di fine non è passata. Questo viene calcolato al momento della lettura dell’elenco, così un job in background in ritardo non può far sembrare attiva una sessione già terminata.
• Owner, IT Admin, Compliance Officer, Team Approver e Auditor possono vedere ogni sessione. Tutti gli altri vedono le proprie e quelle sugli account di cui sono proprietari.

Terminare una sessione da remoto

Registrazione Disattivato di default

La registrazione è pensata per gli account di cui vale la pena avere una riproduzione: un portale finanziario, un account social, l’accesso di un collaboratore esterno. È disattivata per ogni account finché non sono vere due condizioni:

1. L’Owner ha attestato per iscritto che l’azienda dispone di una base giuridica, ha svolto una valutazione d’impatto e ha consultato le rappresentanze dei lavoratori, oppure che non ne ha bisogno. L’attestazione viene registrata nel log. Ritirarla disattiva la registrazione su ogni account.
2. La registrazione è attivata per quell’account da un Owner o da un IT Admin.

Cosa viene registrato, e cosa no

LayerT usa rrweb, un registratore open source, per catturare una riproduzione della pagina: la struttura e il testo, i clic, lo scorrimento e i tempi delle richieste di rete. È una riproduzione, non un video.

La registrazione viene anche messa in pausa mentre LayerT compila un modulo di login, quindi la compilazione stessa non compare mai.

Ciò che le persone digitano è mascherato nel punto in cui lo digitano, nei campi dei moduli e negli editor di testo formattato, su ogni account. Mascherato significa che ogni carattere diventa un asterisco, quindi una riproduzione mostra che qualcosa è stato scritto e dove, non che cosa. LayerT tratta come editor qualsiasi parte di una pagina che il sito contrassegna come modificabile, compresa una parte che diventa modificabile in seguito, e gli editor di codice che conosce. Lo stesso vale in un frame della stessa origine della pagina, che è l’unico tipo di frame coperto da una registrazione, e all’interno delle shadow root aperte di un sito (web component).

Due cose non vengono riconosciute come editor: un emulatore di terminale, e un’area resa modificabile solo tramite lo stile. Ciò che viene digitato lì viene registrato come testo della pagina. L’elenco completo è in Limiti e lavori aperti.

Informare la persona

Mentre una sessione viene registrata, il chip della sessione riporta “recording”. La prima sessione registrata mostra un avviso che non scompare da solo. Se la registrazione non riesce ad avviarsi, il chip lo segnala e il lavoro della persona prosegue.

Cifratura

• Ogni registrazione ha la propria chiave. Ogni frammento ha il proprio nonce casuale.
• I frammenti in attesa di caricamento vengono conservati cifrati sul dispositivo, con un limite di dimensione.
• La chiave di wrapping è custodita in un servizio di gestione delle chiavi, che decifra (unwrap) ogni chiave di registrazione su richiesta e non consegna mai la chiave di wrapping. Il servizio di gestione delle chiavi è realizzato e in uso nell’ambiente di test di LayerT, ma lì non è stata archiviata alcuna registrazione: la registrazione in sé è stata testata solo in fase di sviluppo. Per la produzione, che userà il servizio di gestione delle chiavi di Google Cloud, non c’è alcun deploy.

Chi può guardarle

• Solo l’Owner, gli IT Admin e i Compliance Officer.
• Ogni visualizzazione richiede una motivazione scritta e viene scritta nel registro di audit a nome di chi guarda.

Conservazione

Le registrazioni sono conservate per 90 giorni di default. L’Owner può scegliere un valore da 7 a 365 giorni. Un job giornaliero elimina le registrazioni scadute (prima i frammenti archiviati, poi i relativi record) e registra nel log ogni eliminazione.

Le registrazioni sono evidenze, non prove

Il registratore gira all’interno della pagina del fornitore, quindi in linea di principio una pagina potrebbe interferire con esso. Considerate una registrazione come un’evidenza solida di ciò che è accaduto, insieme al registro di audit, non come una prova a prova di manomissione.

Filigrana Disattivato di default

Quando è attivata per un account, LayerT disegna sul sito del fornitore una filigrana tenue, ripetuta a mosaico, con il nome della persona, l’email, un breve ID di sessione e l’ora. Non blocca i clic, ricompare se la pagina la rimuove e viene stampata.

Routing tramite gateway Accesso anticipato

Alcuni fornitori si aspettano che un account condiviso si colleghi da un unico indirizzo IP noto, per poterlo inserire nella propria allow-list. Il routing tramite gateway fa passare i siti di un account condiviso tramite un gateway, così il fornitore vede un solo indirizzo stabile.

Il gateway gira su un server che noleggiate voi, come un piccolo server virtuale con IP statico, quindi l’indirizzo è vostro. Un Owner o un IT Admin aggiunge un gateway nella console e incolla un comando sul server. LayerT controlla poi il gateway dall’esterno e lo mostra online, con gli indirizzi da comunicare al fornitore. Assegna al gateway un nome e un certificato, ne mantiene aggiornato il software e vi avvisa se va offline, se il suo IP cambia o se il suo certificato ha un problema. Un gateway il cui IP cambia viene messo in pausa finché un Owner o un IT Admin non conferma il nuovo indirizzo. LayerT non gestisce gateway propri.

Cosa viene instradato

• Il routing si attiva per scelta, account per account. È disattivato per ogni account finché un Owner o un IT Admin non sceglie il gateway di riferimento dell’account e attiva il routing.
• Si applica solo ai siti di quell’account, e solo mentre qualcuno ha una sessione attiva su di esso. Tutto il resto nel browser va diretto.
• TLS resta end-to-end. Il gateway vede quale host viene raggiunto, e quando, ma non il contenuto.
• Il gateway chiede ai server di LayerT di ammettere ogni nuova connessione. Ogni gateway ha la propria chiave, e LayerT gli risponde solo riguardo alle sessioni della sua organizzazione. Un gateway apre un sito solo per una persona che ha l’account di quel sito aperto in quel browser.
• Una persona può avere due account con routing aperti tramite un solo gateway nello stesso browser e nello stesso momento. La sessione di un’altra persona, una sessione in un altro browser o una sessione terminata vengono comunque rifiutate.
• Un gateway di backup subentra al login successivo, non nel mezzo di una sessione.

Prima il percorso, poi la pagina

Quando qualcuno sceglie l’account in una pagina di login che ha aperto da sé, LayerT non compila quella pagina. Avvia il routing, cancella i cookie dell’account come fa quando una sessione termina, carica di nuovo la pagina tramite il gateway e la compila lì.

Quando la sessione termina, i suoi cookie vengono cancellati e le sue schede vengono avvisate prima che l’instradamento venga rimosso.

Cosa vede la persona

Mentre una sessione esce tramite un gateway, il chip della sessione indica il gateway e l’indirizzo che il fornitore vede, per esempio “tramite London 1 · 203.0.113.7”, e l’indirizzo si può copiare. Anche la prima pagina caricata tramite il gateway dice, una volta sola, che la sessione esce tramite il gateway della vostra organizzazione.

Nel menu di LayerT in una pagina di login, la riga di un account con routing dice tramite quale gateway esce, solo con il nome, prima che la persona lo scelga.

Quando il gateway non è raggiungibile

Di default, un login con routing non viene aperto quando nessun gateway può prenderlo in carico. LayerT dice alla persona perché, e non carica la pagina del fornitore dall’indirizzo della persona.

Un Owner o un IT Admin può impostare un account su Andare invece diretto, sotto Se il gateway non è raggiungibile. Il login si apre allora dall’indirizzo della persona, con un avviso che lo dice. La scelta è propria dell’account, e la modifica viene registrata nel log.

Se un gateway si ferma nel mezzo di una sessione su un account che rifiuta, i siti dell’account smettono di caricarsi per il resto di quella sessione e la pagina dice perché. La persona termina la sessione ed effettua di nuovo il login, ed è allora che subentra un gateway di backup.

Limiti del routing tramite gateway

• Una connessione aperta non viene interrotta. Quando una sessione termina o viene revocata, il gateway rifiuta subito nuove connessioni, ma una connessione già aperta prosegue finché non si chiude.
• Un indirizzo digitato carica la sua prima pagina in modo diretto. Una persona che digita da sé l’indirizzo del fornitore carica quella prima pagina dal proprio indirizzo, perché LayerT non può instradare prima che ci sia una sessione. Un fornitore che usa una allow-list rifiuterà quella pagina; la persona parte invece dall’icona di LayerT.
• Andare diretto mostra l’indirizzo della persona. Un account impostato per andare diretto lascia che il fornitore veda dove si trova la persona quando il gateway non funziona. È una scelta propria dell’account.
• Un browser il cui proxy è gestito altrove non può usare un account che rifiuta. Se una policy, un client VPN o un’altra estensione controlla le impostazioni proxy del browser, LayerT non può instradare lì, quindi un account impostato per rifiutare non viene aperto affatto in quel browser.
• WebRTC non viene gestito, quindi una pagina che lo usa può comunque venire a conoscere l’indirizzo della persona.
• Gli altri browser e gli altri profili Chrome non vengono instradati.
• È un indirizzo per account, per sito, non un unico indirizzo per tutto ciò che l’azienda fa.

La mappa del routing della console mostra quali account passano attraverso quale gateway e chi può raggiungerli. Si limita a leggere le vostre impostazioni e non cambia nulla. Le sue viste sui gateway si popolano una volta aggiunto un gateway.