Architettura
Account condivisi
LayerT tiene sigillati i login condivisi di un team, permette alle persone giuste di usarli per un tempo stabilito e compila per loro il modulo di login del fornitore. Nessuno ha bisogno di conoscere la password.
Descrive LayerT così come realizzato al 19 settembre 2026. Tutto ciò che non è ancora realizzato è indicato come tale.
Archiviare i segreti
Password, chiavi di configurazione dell’app di autenticazione (TOTP) e campi di login segreti sono cifrati con la cifratura a busta (envelope encryption) AES-256-GCM:
- Ogni account condiviso riceve una propria chiave dati casuale a 256 bit. Ogni segreto viene cifrato con essa, con un proprio nonce casuale.
- La chiave dati è a sua volta cifrata (“wrapped”) da una chiave di cifratura delle chiavi custodita nel servizio di gestione delle chiavi di Google Cloud. Il servizio esegue l’unwrap su richiesta e non consegna mai la chiave di cifratura delle chiavi, e ogni utilizzo viene registrato dal lato di Google. Questo è realizzato e si attiva con il primo deploy in produzione. In fase di sviluppo al suo posto si usa una chiave locale.
- Viene archiviato solo il testo cifrato, in una tabella dedicata, separata dalle impostazioni dell’account. L’eliminazione di un account ne elimina i segreti.
- La modifica di una password cifra di nuovo entrambi i segreti con una nuova chiave dati e viene registrata nel log.
Chi può usare un account
| Controllo | Come funziona |
|---|---|
| Accesso | Concesso a gruppi della directory, ruoli o persone specifiche. L’appartenenza ai gruppi arriva dalla vostra directory tramite SCIM |
| Sensibilità | Bassa, media o alta. Di default, sensibilità media e alta richiedono un approvatore prima di ogni utilizzo. Solo l’IT può contrassegnare un account come ad alta sensibilità |
| Approvazione | Le richieste scadono dopo 30 minuti. Nessuno può approvare la propria. L’approvazione verifica di nuovo che il richiedente sia ancora attivo e ancora autorizzato. Se due approvatori decidono contemporaneamente, conta una sola decisione |
| Un solo titolare alla volta | Facoltativo, per account. Una seconda persona vede chi ha l’account e fino a quando |
| Durata della sessione | Per account, 1 ora di default. È possibile prorogarla fino a 8 ore in totale dall’approvazione |
Far accedere qualcuno
- BrowserSceltaLa persona sceglie l’account dall’icona di LayerT nel campo, oppure dal launcher della barra degli strumenti.
- Cloud di LayerTVerificaLa sessione deve essere attiva e appartenere a questa persona e a questo browser registrato, e la persona deve essere ancora attiva e autorizzata.
- Cloud di LayerTDecifraturaSolo allora la password viene decifrata, in memoria, e un’autorizzazione viene restituita tramite HTTPS.
- BrowserCorrispondenza del sitoL’estensione consegna l’autorizzazione alla pagina solo se la pagina è esattamente il sito dell’account.
- La paginaCompilazioneL’estensione compila il modulo del fornitore dal mondo isolato di Chrome. LayerT non mostra mai la password.
La regola del sito esatto
Un account condiviso è legato a siti esatti: schema, host e porta devono corrispondere, senza caratteri jolly. Un account può elencare più di un sito, ciascuno esatto. https è obbligatorio. Il browser verifica la pagina, e il service worker di LayerT verifica di nuovo usando l’indirizzo che Chrome riporta per il frame richiedente, non ciò che la pagina dichiara. Un dominio sosia non ottiene nulla.
Proteggere il menu dell’account
L’elenco degli account è una pagina dell’estensione mostrata all’interno di una shadow root chiusa, quindi il sito non può leggerlo né modificarne lo stile. Accetta solo clic reali, e solo dopo essere stato completamente visibile per un momento, il che protegge dai trucchi che fanno scivolare il menu sotto il cursore. Questo riduce il rischio di clickjacking, non lo elimina. Il menu si chiude se la pagina lo sposta, lo copre o ne modifica lo stile. Gli account possono anche essere impostati per essere avviati solo dalla barra degli strumenti, il che disattiva completamente il menu nella pagina.
L’invio del modulo
L’invio automatico è disattivato di default. Un proprietario può attivarlo solo dopo che l’account ha superato un login di prova, e la pubblicazione di una nuova procedura di login lo disattiva di nuovo. Anche in quel caso, LayerT invia il modulo solo quando la persona ha scelto esplicitamente l’account, sul sito esatto, nel frame principale, con ogni campo compilato ancora visibile, e mai al caricamento della pagina. Un CAPTCHA mette in pausa LayerT e passa la mano alla persona.
Codici dell’app di autenticazione
LayerT genera i codici dell’app di autenticazione sui propri server (RFC 6238). Al browser viene inviato solo il codice attuale a sei cifre, quando serve, e viene compilato come una password. Il registro di audit riporta che un codice è stato usato, mai il codice.
Se un codice non viene accettato, la persona che detiene la sessione può vedere il codice attuale nel popup di LayerT nella barra degli strumenti e copiarlo. Nessun altro può farlo, e le visualizzazioni vengono registrate nel log.
La chiave di configurazione (il seed TOTP) resta sui server di LayerT. L’unico modo per vederla è una richiesta di password approvata da due persone, una delle quali deve essere un Owner o un Compliance Officer. Viene mostrata una sola volta (vedete Richieste di password).
Campi di login e note
Alcuni siti chiedono più di un nome utente e una password, come un ID account, un ID organizzazione o un PIN. Un account può contenere campi di login aggiuntivi. Un nuovo campo è segreto di default: un campo segreto è sigillato come la password e viene compilato solo in caselle di tipo password. Un campo visibile, come un ID account AWS, è visibile alle persone che possono usare l’account. I campi aggiuntivi vengono compilati dalla procedura di login dell’account, mai indovinati.
Ogni account ha anche delle note per ciò che le persone devono sapere (“usate la regione di Singapore”, “non spuntate ricordami”), ciascuna con il proprio autore e la cronologia delle modifiche.
Cosa la persona può e non può vedere
Durante un login, LayerT non mostra mai la password. Non compare nel launcher, nel menu, nelle notifiche o nel registro di audit, e LayerT non la salva mai nel browser. L’unica eccezione è una richiesta di password, descritta più avanti.
Chiudere una sessione
- Alla scadenza. Un minuto prima della fine, LayerT propone Proroga o Esci ora. Alla fine, cancella i cookie del sito e lo storage del sito nella scheda, il che fa uscire la persona.
- Da parte di un amministratore. Un Owner o un IT Admin può terminare una sessione attiva dalla console, indicando un motivo. LayerT rifiuta immediatamente ulteriori autorizzazioni per quella sessione, e il browser della persona effettua il logout entro circa un minuto. Alla persona viene detto che un amministratore ha terminato la sessione, non chi né perché.
- All’offboarding. Quando la vostra directory disattiva qualcuno, o lo rimuove da un gruppo, LayerT chiude ovunque le sue richieste e le sue sessioni.
Configurare un account
- Rilevamento. LayerT trova automaticamente i campi di login. Quando non ne è certo, chiede alla persona di indicare il campo, e salva l’indicazione come correzione suggerita che il proprietario dell’account deve esaminare. Non viene mai applicata automaticamente a nessun altro.
- Registrare una procedura. Per i login in più passaggi, un proprietario registra i passaggi una volta. La procedura memorizza dove si trovano i campi, mai ciò che è stato digitato.
- Login di prova. Un’esecuzione riservata al proprietario e registrata nel log, che dimostra che la procedura funziona prima che l’invio automatico possa essere attivato.
- Procedure firmate. La firma di ogni procedura viene verificata prima dell’esecuzione. Se la verifica fallisce, LayerT torna al rilevamento automatico, non invia mai il modulo e segnala il motivo.
- Stato dei login. La console mostra, per sito e per account, quali login sono riusciti e dove si sono fermati gli altri, in parole semplici, negli ultimi 7, 30 o 90 giorni.
- Importazione. Un amministratore può importare gli account da un’esportazione di JumpCloud Password Manager. Il file viene letto nel browser dell’amministratore; l’anteprima non mostra mai una password, e gli account creati vengono poi sigillati sui server di LayerT come tutti gli altri. Ogni importazione viene registrata nel log.
Richieste di password
A volte una persona ha davvero bisogno di vedere una password, una chiave di configurazione o un campo segreto: per comunicarla al team di supporto di un fornitore, o per configurare un nuovo dispositivo.
- ConsoleRichiestaLa persona fa la richiesta, con una motivazione. Owner e IT Admin possono chiedere per qualsiasi account; chiunque altro solo per gli account che può usare o di cui è proprietario.
- ConsoleDue approvazioniDue persone diverse dal richiedente approvano. Una di loro deve essere un Owner o un Compliance Officer. Queste richieste non possono essere decise in Slack o via email.
- ConsoleVisualizzazione unicaEntro un’ora, il richiedente effettua di nuovo il login se l’ultimo risale a più di 10 minuti prima, e vede il valore una sola volta. Una seconda visualizzazione viene rifiutata.
- Cloud di LayerTContrassegnato come vistoIl valore viene contrassegnato come visto. Owner, Compliance Officer e il proprietario dell’account vengono avvisati, e al proprietario viene chiesto di cambiarlo presso il fornitore.
Esportazione di emergenza (break-glass)
Un’esportazione offline per il disaster recovery è cifrata e, per essere aperta, richiede due custodi, ciascuno con la propria passphrase. La sua generazione viene registrata nel log.
Limiti
- I moduli di login all’interno di un frame proveniente da un altro dei siti dell’account non hanno il menu nella pagina. Scegliete l’account dal launcher della barra degli strumenti e LayerT compila il frame. Lì non invia mai il modulo automaticamente.
- I moduli disegnati su canvas, o all’interno di shadow root chiuse del sito, non sono supportati.
- LayerT non ruota ancora automaticamente le password.
- Le richieste di password inviano un avviso non appena il valore viene visto. Le esportazioni non inviano ancora avvisi Proposto; sono nel registro di audit.