Whitepaper di LayerT

Il modello di sicurezza di LayerT

Versione

1.0

Pubblicato

19 settembre 2026

Destinatari

Security architect, CISO

Tempo di lettura

14 minuti

A cura di

Il team di LayerT

SintesiDa chi si difende LayerT, come lo fa e cosa lascia deliberatamente ad altri controlli. Un’analisi minaccia per minaccia, con i rischi residui dichiarati.

Di solito i prodotti di sicurezza vengono venduti per ciò che fermano. Questo documento spiega invece come ragiona LayerT: cosa protegge, chi presume possa attaccare ciò che protegge, cosa fa rispetto a ciascuna minaccia e cosa resta. Dove LayerT si affida a qualcos’altro, come la vostra gestione dei dispositivi, il vostro identity provider o la buona fede delle persone che nominate amministratori, lo diciamo.

Descrive LayerT così come realizzato al 19 settembre 2026. LayerT non è ancora stato lanciato. Tutto ciò che non è ancora realizzato è contrassegnato da un’etichetta.

Cosa protegge LayerT

LayerT risiede nel browser che la vostra azienda già gestisce. Protegge cinque cose.

1. Le credenziali degli account condivisi. Le password, le chiavi di configurazione dell’app di autenticazione e gli altri campi di login segreti degli accessi che un team condivide: account social, portali di fornitori e finanziari, console di amministrazione.
2. Le decisioni di accesso. Chi può usare quale account, per quanto tempo, con l’approvazione di chi, e chi può superare un blocco.
3. L’integrità della vostra policy. Le regole che stabiliscono quali login sono consentiti sui laptop di lavoro.
4. La traccia di ciò che è accaduto. Il registro di audit, e le registrazioni delle sessioni degli account condivisi quando scegliete di conservarle.
5. La fiducia delle vostre persone nei prompt di LayerT. Se i dipendenti imparano a fidarsi di qualsiasi cosa assomigli a LayerT, un’imitazione diventa uno strumento di phishing.

Perimetri di fiducia

Le minacce e cosa fa LayerT

1. Un dipendente in buona fede accede con un account personale

Il rischio. Qualcuno accede alla propria email personale o a un servizio di messaggistica su un laptop di lavoro. I dati escono attraverso un canale che i vostri strumenti di rete vedono solo come una connessione cifrata verso un sito web comune.

Cosa fa LayerT. Una regola indica il campo di login. Quando la persona invia il modulo, LayerT verifica il valore digitato nella pagina, vede che non è un account aziendale e annulla l’invio prima che il codice del sito invii qualcosa. La persona vede una scheda chiara con il messaggio dell’amministratore e, se la regola lo consente, un modo per chiedere l’accesso. Un approvatore decide quanto dura un’eventuale eccezione. Ogni passaggio viene registrato nel log.

Cosa resta. LayerT valuta gli invii dei moduli e le operazioni di incolla nei campi indicati. Non è un sistema di data loss prevention, e non ispeziona file né appunti.

2. Un dipendente cerca di aggirare la policy

Il rischio. Chi vuole evitare una regola potrebbe andare offline, bloccare i server di LayerT o cercare di fornire al browser una policy vecchia o alterata.

Cosa fa LayerT.

• La policy è firmata con Ed25519 e verificata nel browser. Una policy modificata non supera la verifica, quindi non viene usata.
• La versione di una policy deve sempre crescere, e la policy deve appartenere alla vostra organizzazione, quindi una policy vecchia o estranea non può essere riproposta.
• La policy scade dopo 7 giorni. Un browser che non riesce a ottenerne una aggiornata va in fail-closed (in caso di errore blocca): sulle pagine coperte dalle vostre regole di blocco, ferma gli invii finché non si riconnette. Andare offline o bloccare LayerT non porta alcun vantaggio duraturo.

Cosa resta. L’installazione forzata da un pacchetto dell’estensione firmato è realizzata e si attiva con il primo rilascio in produzione di LayerT. Con questa installazione, le persone non possono rimuovere LayerT da Chrome. Ma il browser gira su un laptop che il suo utente potrebbe controllare: chi ha diritti di amministratore locale può modificare le policy del browser o manomettere il browser, e quindi aggirare l’applicazione delle regole. Anche la policy archiviata nel profilo del browser può essere letta, ma non modificata senza che la modifica venga rilevata. La vostra gestione dei dispositivi dovrebbe impedire alle persone di avere diritti di amministratore locale, e dovreste trattare la policy come un documento interno alla vostra organizzazione.

3. Una pagina ostile imita LayerT o interferisce con esso

Il rischio. Una pagina di phishing disegna un finto prompt di LayerT che chiede una password. Oppure gli script di una pagina cercano di leggere i prompt di LayerT, di cliccarli o di far scivolare il menu dell’account sotto il cursore.

Cosa fa LayerT.

• I prompt di LayerT non chiedono mai una password e non contengono mai un campo password. Ogni prompt lo dichiara nel piè di pagina, e un test lo verifica. Un prompt che chiede una password non è LayerT.
• Mentre un prompt autentico di LayerT è presente in una scheda, l’icona di LayerT nella barra degli strumenti del browser mostra un puntino ambra. Una pagina può copiare l’aspetto di un prompt, ma non può disegnare nella barra degli strumenti. L’icona è fissata tramite policy, quindi è sempre visibile.
• I prompt risiedono in shadow root chiuse, fuori dalla portata della pagina, e rispondono solo a clic e pressioni di tasti reali.
• Il menu degli account condivisi è una pagina dell’estensione nel proprio frame. Accetta clic solo dopo essere stato completamente visibile per un momento, e si chiude se la pagina lo sposta o lo copre.

Cosa resta. Il segnale nella barra degli strumenti è utile solo se le persone imparano a cercarlo. Lo insegniamo su questo sito, e consigliamo di insegnarlo durante l’onboarding. Le difese contro il clickjacking riducono il rischio senza eliminarlo, quindi gli account sensibili possono essere impostati per essere avviati solo dalla barra degli strumenti.

4. Un sito sosia cerca di ricevere una password condivisa

Il rischio. Un dominio che assomiglia a quello del vostro fornitore cerca di far compilare a LayerT un account condiviso.

Cosa fa LayerT. Ogni account condiviso è legato a siti esatti: schema, host e porta, senza caratteri jolly, tramite HTTPS. L’estensione verifica la pagina, e il service worker verifica di nuovo usando l’indirizzo che Chrome riporta per il frame richiedente. Un sosia non ottiene nulla, e nulla viene compilato al caricamento della pagina.

5. Qualcuno lascia l’azienda

Il rischio. Chi se ne va conosce ancora le password degli account condivisi, o ha ancora una sessione aperta.

Cosa fa LayerT. Non ha mai conosciuto le password. Quando la vostra directory lo disattiva, LayerT termina le sue sessioni della console, revoca le sue sessioni e richieste di account condivisi, e i suoi browser escono da quegli account entro circa un minuto. I suoi browser non possono rinnovare le credenziali, quindi la loro registrazione viene annullata entro un’ora. Per le persone che cambiano ruolo invece di andarsene, le revisioni trimestrali degli accessi chiedono al proprietario di ogni account di confermare chi ne ha ancora bisogno, e mostrano se ciascuna persona lo ha effettivamente usato.

6. Qualcuno con accesso legittimo usa impropriamente un account condiviso

Il rischio. Una persona autorizzata a usare il portale finanziario fa qualcosa che non dovrebbe mentre è collegata.

Cosa fa LayerT. L’accesso può richiedere ogni volta un approvatore, può essere limitato a un solo titolare alla volta e termina puntualmente. Le sessioni sono elencate in tempo reale, e un amministratore può terminarne una da remoto. Dove lo scegliete, le sessioni vengono registrate e marcate con una filigrana con il nome della persona. Tutto è attribuito alla persona, non a un login condiviso.

Cosa resta. Mentre è collegata, una persona determinata potrebbe leggere la password dal campo password del fornitore usando i DevTools, come con qualsiasi password manager. La risposta di LayerT è la governance: approvazione, limiti di tempo, registrazione e audit. Per gli account di maggior valore, cambiate la password dopo un uso sensibile.

7. Un laptop viene perso o rubato

Il rischio. Qualcuno entra in possesso di un laptop con un browser registrato.

Cosa fa LayerT. I token del dispositivo durano un’ora. Le sessioni degli account condivisi sono limitate nel tempo, e LayerT non conserva le password condivise nel browser dopo aver fatto accedere qualcuno. Un amministratore può revocare il dispositivo, il che rimuove le sue credenziali LayerT e il suo accesso agli account condivisi.

Cosa resta. Cifratura del disco, blocco dello schermo e cancellazione remota sono compito della vostra gestione dei dispositivi.

8. Un amministratore oltrepassa i propri limiti

Il rischio. Una persona con diritti di amministratore si concede eccezioni permanenti, guarda registrazioni senza motivo o modifica la policy di nascosto.

Cosa fa LayerT.

• Separazione dei compiti. Gli IT Admin pubblicano le regole ma, di default, non possono concedere eccezioni permanenti. I Compliance Officer concedono e revocano le eccezioni ma non possono pubblicare regole. Un Owner può dare a una persona specifica il diritto di concedere eccezioni permanenti, e quella modifica viene registrata nel log.
• Nessuno approva la propria richiesta. Il server la rifiuta.
• La revisione facoltativa a due autori impedisce di pubblicare regole redatte da sé.
• La registrazione richiede l’attestazione scritta dell’Owner prima che qualsiasi account possa essere registrato, e ogni visualizzazione richiede una motivazione scritta e viene registrata nel log.
• Vedere una password archiviata richiede due approvatori diversi dalla persona che chiede, uno dei quali deve essere un Owner o un Compliance Officer. Il richiedente la vede una sola volta, dopo un nuovo login, e Owner, Compliance Officer e il proprietario dell’account vengono avvisati. La password viene poi contrassegnata come vista, da cambiare.
• Le richieste di password, le eccezioni permanenti e le modifiche alle regole possono essere decise solo nella console, mai da un messaggio Slack o dal link di un’email.

Cosa resta. Un’organizzazione che assegna a una sola persona tutti i ruoli elimina questi controlli. LayerT mostra se entrambi i ruoli IT e Compliance sono coperti, e lo registra se scegliete che un’unica persona li ricopra.

9. Viene attaccato il cloud di LayerT

Il rischio. È il caso più grave per qualsiasi prodotto SaaS che custodisce segreti. I server di LayerT possono decifrare le password degli account condivisi e le registrazioni. Devono farlo, per far accedere le persone e per riprodurre le registrazioni.

Cosa fa LayerT.

• I segreti sono archiviati con cifratura a busta (envelope encryption) AES-256-GCM, una chiave dati per account, con le chiavi dati cifrate (wrapped) da una chiave di cifratura delle chiavi. Il database contiene solo testo cifrato. Le registrazioni sono cifrate sul dispositivo, e il bucket di archiviazione contiene solo testo cifrato.
• In produzione, la chiave di cifratura delle chiavi e la chiave di firma della policy risiedono nel servizio di gestione delle chiavi di Google Cloud, nell’UE, dove possono essere usate ma non copiate all’esterno, e ogni utilizzo viene registrato dal lato di Google. Questo è realizzato e si attiva con il primo deploy in produzione; in fase di sviluppo al loro posto si usano chiavi locali.
• Il personale di LayerT non può consultare i vostri dati. L’accesso per il supporto richiede un operatore identificato per nome, una motivazione, un limite di tempo e l’approvazione del vostro Owner, e viene registrato nel vostro registro di audit.
• La policy viene verificata nel browser rispetto a chiavi integrate nell’estensione, quindi un attaccante in grado di modificare ciò che restituisce l’API non potrebbe comunque falsificare la policy senza la chiave di firma.

Cosa resta. Una compromissione completa dei server di LayerT, con la possibilità di usare le chiavi, potrebbe esporre i segreti. Le chiavi non sono separate per organizzazione. LayerT non è ancora in produzione. Girerà su Google Cloud nell’UE (la regione di Milano), con chiavi e backup nella multi-regione UE di Google; vedete Gestione dei dati. Pubblicheremo la nostra procedura di risposta agli incidenti prima che il primo cliente entri in produzione. Per i vostri account di maggior valore, mantenete la rotazione delle password e una via di accesso di emergenza (break-glass) che non dipenda da LayerT.

Il rischio residuo in sintesi

Cosa vi chiediamo

1. Gestite i laptop con un MDM, e impedite alle persone di avere diritti di amministratore locale.
2. Disattivate tramite policy il password manager integrato di Chrome. I modelli di LayerT includono questa impostazione.
3. Mantenete accurata la vostra directory: è lei a decidere chi è attivo e cosa può usare.
4. Assegnate i ruoli di IT Admin e Compliance Officer a persone diverse.
5. Stabilite, e mettete per iscritto, la vostra base giuridica prima di attivare la registrazione.
6. Insegnate alle persone i due segnali: LayerT non chiede mai la vostra password, e la sua icona nella barra degli strumenti si illumina quando è presente nella pagina.

Domande su questo documento? Fatecele durante una demo. Preferiamo rispondere adesso a una domanda difficile piuttosto che durante la vostra revisione di sicurezza.