Account condivisi

Archiviare i segreti

Password, chiavi di configurazione dell’app di autenticazione (TOTP) e campi di login segreti sono cifrati con la cifratura a busta (envelope encryption) AES-256-GCM:

• Ogni account condiviso riceve una propria chiave dati casuale a 256 bit. Ogni segreto viene cifrato con essa, con un proprio nonce casuale.
• La chiave dati è a sua volta cifrata (“wrapped”) da una chiave di cifratura delle chiavi custodita in un servizio di gestione delle chiavi. Il servizio esegue l’unwrap su richiesta e non consegna mai la chiave di cifratura delle chiavi, e registra ogni utilizzo. Questo è realizzato e in uso nell’ambiente di test di LayerT, dove gli account condivisi sono account di siti di prova. Per la produzione, che userà il servizio di gestione delle chiavi di Google Cloud, non c’è alcun deploy.
• Viene archiviato solo il testo cifrato, in una tabella dedicata, separata dalle impostazioni dell’account. L’eliminazione di un account ne elimina i segreti.
• La modifica di una password cifra di nuovo entrambi i segreti con una nuova chiave dati e viene registrata nel log.

Chi può usare un account

Far accedere qualcuno

La regola del sito esatto

Un account condiviso è legato a siti esatti: schema, host e porta devono corrispondere, senza caratteri jolly. Un account può elencare più di un sito, ciascuno esatto. https è obbligatorio. Il browser verifica la pagina, e il service worker di LayerT verifica di nuovo usando l’indirizzo che Chrome riporta per il frame richiedente, non ciò che la pagina dichiara. Un dominio sosia non ottiene nulla.

Moduli di login all’interno di un frame

Alcuni siti mostrano il proprio modulo di login in un frame che proviene da un altro indirizzo della stessa azienda, quindi nella pagina in sé non c’è nulla da compilare. LayerT trova il modulo lì, propone l’account nella pagina come al solito, compila il frame e dice nella pagina a quale indirizzo appartiene il modulo. Compila un frame solo quando tutte queste condizioni sono vere:

• la pagina principale è un indirizzo indicato dall’account, con corrispondenza esatta come sopra;
• il frame appartiene allo stesso sito di quella pagina, tramite https, e lo stesso vale per ogni frame intermedio;
• il frame non è in sandbox; e
• il frame è visibile. Un frame che nessuno può vedere non viene mai compilato.

Un frame di un sito estraneo viene rifiutato, e LayerT dice perché. Un account può essere impostato su indirizzi esatti anche per i frame, per un login che merita la configurazione aggiuntiva. LayerT non preme mai il pulsante di login per un modulo in un frame.

Quando l’account esce tramite un gateway Accesso anticipato

Per un account con il routing tramite gateway attivato, viene prima la sessione e poi la pagina. LayerT avvia la sessione, instrada i siti dell’account verso il suo gateway, e solo allora carica la pagina di login. Se la persona ha scelto l’account in una pagina di login che ha aperto da sé, LayerT non compila quella pagina: avvia il routing, cancella i cookie dell’account, carica di nuovo la pagina tramite il gateway e la compila lì. I dettagli e i limiti sono in Sessioni e registrazione.

Proteggere il menu dell’account

L’elenco degli account è una pagina dell’estensione mostrata all’interno di una shadow root chiusa, quindi il sito non può leggerlo né modificarne lo stile. Accetta solo clic reali, e solo dopo essere stato completamente visibile per un momento, il che protegge dai trucchi che fanno scivolare il menu sotto il cursore. Questo riduce il rischio di clickjacking, non lo elimina. Il menu si chiude se la pagina lo sposta, lo copre o ne modifica lo stile. Gli account possono anche essere impostati per essere avviati solo dalla barra degli strumenti, il che disattiva completamente il menu nella pagina.

L’invio del modulo

L’invio automatico è disattivato di default. Un proprietario può attivarlo solo dopo che l’account ha superato un login di prova, e la pubblicazione di una nuova procedura di login lo disattiva di nuovo. Anche in quel caso, LayerT invia il modulo solo quando la persona ha scelto esplicitamente l’account, sul sito esatto, nel frame principale, con ogni campo compilato ancora visibile, e mai al caricamento della pagina. Un CAPTCHA mette in pausa LayerT e passa la mano alla persona.

Codici dell’app di autenticazione

LayerT genera i codici dell’app di autenticazione sui propri server (RFC 6238). Al browser viene inviato solo il codice attuale a sei cifre, quando serve, e viene compilato come una password. Il registro di audit riporta che un codice è stato usato, mai il codice.

Se un codice non viene accettato, la persona che detiene la sessione può vedere il codice attuale nel popup di LayerT nella barra degli strumenti e copiarlo. Nessun altro può farlo, e le visualizzazioni vengono registrate nel log.

La chiave di configurazione (il seed TOTP) resta sui server di LayerT. L’unico modo per vederla è una richiesta di password approvata da due persone, una delle quali deve essere un Owner o un Compliance Officer. Viene mostrata una sola volta (vedete Richieste di password).

Codici inviati via email

Alcuni fornitori inviano un codice via email al login, o quando non riconoscono il browser. Se quell’email arriva a un indirizzo del team come vendors@, un Owner o un IT Admin può collegare la casella di posta a LayerT e associarla agli account condivisi le cui email arrivano lì.

• Sola lettura all’origine. LayerT legge la casella tramite IMAP con un breve elenco di comandi di sola lettura. Non segna mai la posta come letta, e non sposta, elimina né invia mai nulla.
• Solo indirizzi aziendali. Quando collega una casella, un Owner conferma che si tratta di un indirizzo condiviso o di funzione, non della casella personale di qualcuno, e la base giuridica per leggerla.
• Solo l’email di login, solo durante la sessione. Una persona con accesso ai soli codici vede solo le email di login dell’account a cui ha effettuato l’accesso, e solo quelle arrivate durante la sua sessione. Un codice di solito raggiunge il popup due o tre secondi dopo il suo arrivo e, se i passaggi di login dell’account attendono un codice via email, LayerT lo compila.
• I reset vanno al proprietario. Le email di reimpostazione della password e di modifica dell’account non vengono mai mostrate a chi ha accesso ai soli codici, nemmeno se provengono dal fornitore dell’account stesso. Viene invece avvisato il proprietario dell’account, nell’Inbox. Un’email che non supera i controlli sul mittente non viene mai mostrata.
• I proprietari possono istruirlo. Ogni account può avere regole che indicano i mittenti dei suoi codici. Finché non ce n’è una, LayerT riconosce le email di login dal loro testo, e si tratta di una stima al meglio delle possibilità.

Leggere l’intera casella

L’accesso completo è un’autorizzazione separata e funziona come un account condiviso sensibile: di default richiede un’approvazione, dura 30 minuti e compare in Sessioni. La casella viene mostrata in sola lettura nella console, con una filigrana con il nome di chi legge. Ogni email aperta viene registrata nel log. La posta viene mostrata con script, moduli e contenuti remoti disattivati, i link passano da una pagina che mostra la destinazione reale, e gli allegati sono elencati ma non si possono scaricare, a meno che la vostra organizzazione non lo consenta.

Dispositivo attendibile

Quando una sessione termina, LayerT cancella i cookie del sito, il che disconnette la persona. Questo cancella anche il cookie “ricorda questo dispositivo” del fornitore, quindi ogni login può sembrare provenire da un nuovo dispositivo. Un account può indicare i cookie da conservare. LayerT conserva l’elenco solo dopo che un login di prova ne dimostra la sicurezza: dopo una fine di sessione simulata, la pagina di login deve ricomparire. In caso contrario, l’elenco viene rifiutato con “Conservare questi cookie lascia la persona connessa.”

Campi di login e note

Alcuni siti chiedono più di un nome utente e una password, come un ID account, un ID organizzazione o un PIN. Un account può contenere campi di login aggiuntivi. Un nuovo campo è segreto di default: un campo segreto è sigillato come la password e viene compilato solo in caselle di tipo password. Un campo visibile, come un ID account AWS, è visibile alle persone che possono usare l’account. I campi aggiuntivi vengono compilati dalla procedura di login dell’account, mai indovinati.

Ogni account ha anche delle note per ciò che le persone devono sapere (“usate la regione di Singapore”, “non spuntate ricordami”), ciascuna con il proprio autore e la cronologia delle modifiche.

Cosa la persona può e non può vedere

Durante un login, LayerT non mostra mai la password. Non compare nel launcher, nel menu, nelle notifiche o nel registro di audit, e LayerT non la salva mai nel browser. Nessuna regola legge una password o un codice compilati da LayerT, quali che siano i campi indicati dalla regola, quindi la password non può trovarsi nemmeno in ciò che una regola registra. L’unica eccezione è una richiesta di password, descritta più avanti.

Chiudere una sessione

• Alla scadenza. Un minuto prima della fine, LayerT propone Proroga o Esci ora. Alla fine, cancella i cookie del sito e lo storage del sito nella scheda, il che fa uscire la persona.
• Da parte di un amministratore. Un Owner o un IT Admin può terminare una sessione attiva dalla console, indicando un motivo. LayerT rifiuta immediatamente ulteriori autorizzazioni per quella sessione, e il browser della persona effettua il logout entro circa un minuto. Alla persona viene detto che un amministratore ha terminato la sessione, non chi né perché.
• All’offboarding. Quando la vostra directory disattiva qualcuno, o lo rimuove da un gruppo, LayerT chiude ovunque le sue richieste e le sue sessioni.

Configurare un account

• Rilevamento. LayerT trova automaticamente i campi di login. Quando non ne è certo, chiede alla persona di indicare il campo, e salva l’indicazione come correzione suggerita che il proprietario dell’account deve esaminare. Non viene mai applicata automaticamente a nessun altro.
• Registrare una procedura. Per i login in più passaggi, un proprietario registra i passaggi una volta. La procedura memorizza dove si trovano i campi, mai ciò che è stato digitato.
• Login di prova. Un’esecuzione riservata al proprietario e registrata nel log, che dimostra che la procedura funziona prima che l’invio automatico possa essere attivato.
• Altri siti. Un account può elencare gli altri siti che usa, come un indirizzo di login separato, un indirizzo esatto per riga.
• Procedure firmate. La firma di ogni procedura viene verificata prima dell’esecuzione. Se la verifica fallisce, LayerT torna al rilevamento automatico, non invia mai il modulo e segnala il motivo.
• Le procedure di LayerT. Per alcuni siti LayerT porta una propria procedura firmata, e la scheda Login dell’account dice quale procedura viene usata. Sono state testate con siti di fornitori fittizi e repliche.
• Stato dei login. La console mostra, per sito e per account, quali login sono riusciti e dove si sono fermati gli altri, in parole semplici, negli ultimi 7, 30 o 90 giorni.
• Importazione. Un amministratore può importare gli account da un’esportazione di JumpCloud Password Manager. Il file viene letto nel browser dell’amministratore; l’anteprima non mostra mai una password, e gli account creati vengono poi sigillati sui server di LayerT come tutti gli altri. Ogni importazione viene registrata nel log.

Richieste di password

A volte una persona ha davvero bisogno di vedere una password, una chiave di configurazione o un campo segreto: per comunicarla al team di supporto di un fornitore, o per configurare un nuovo dispositivo.

Esportazione di emergenza (break-glass)

Un’esportazione offline per il disaster recovery è cifrata e, per essere aperta, richiede due custodi, ciascuno con la propria passphrase. La sua generazione viene registrata nel log.

Limiti

• LayerT non preme mai il pulsante di login per un modulo all’interno di un frame: compila, e la persona invia. Un frame di un sito estraneo, un frame in sandbox e un frame che nessuno può vedere vengono rifiutati.
• I moduli disegnati su canvas, o all’interno di shadow root chiuse del sito, non sono supportati.
• LayerT non ruota ancora automaticamente le password.
• I codici inviati via SMS e le approvazioni push non vengono gestiti. I codici inviati via email sì, quando l’indirizzo è una casella di posta condivisa collegata.
• Le richieste di password inviano un avviso non appena il valore viene visto. Le esportazioni non inviano ancora avvisi Proposto; sono nel registro di audit.