Whitepaper di LayerT

Il modello di sicurezza di LayerT

Versione

1.1

Pubblicato

3 ottobre 2026

Destinatari

Security architect, CISO

Tempo di lettura

19 minuti

A cura di

Il team di LayerT

SintesiDa chi si difende LayerT, come lo fa e cosa lascia deliberatamente ad altri controlli. Un’analisi minaccia per minaccia, con i rischi residui dichiarati.

Di solito i prodotti di sicurezza vengono venduti per ciò che fermano. Questo documento spiega invece come ragiona LayerT: cosa protegge, chi presume possa attaccare ciò che protegge, cosa fa rispetto a ciascuna minaccia e cosa resta. Dove LayerT si affida a qualcos’altro, come la vostra gestione dei dispositivi, il vostro identity provider o la buona fede delle persone che nominate amministratori, lo diciamo.

Descrive LayerT così come realizzato al 3 ottobre 2026. LayerT non è ancora stato lanciato: è in funzione in un ambiente di test con dati fittizi, e non c’è alcun deploy in produzione. Tutto ciò che non è ancora realizzato è contrassegnato da un’etichetta.

Cosa protegge LayerT

LayerT risiede nel browser che la vostra azienda già gestisce. Protegge cinque cose.

1. Le credenziali degli account condivisi. Le password, le chiavi di configurazione dell’app di autenticazione e gli altri campi di login segreti degli accessi che un team condivide: account social, portali di fornitori e finanziari, console di amministrazione.
2. Le decisioni di accesso. Chi può usare quale account, per quanto tempo, con l’approvazione di chi, e chi può superare un blocco.
3. L’integrità della vostra policy. Le regole che stabiliscono quali login sono consentiti sui laptop di lavoro.
4. La traccia di ciò che è accaduto. Il registro di audit, e le registrazioni delle sessioni degli account condivisi quando scegliete di conservarle.
5. La fiducia delle vostre persone nei prompt di LayerT. Se i dipendenti imparano a fidarsi di qualsiasi cosa assomigli a LayerT, un’imitazione diventa uno strumento di phishing.

Perimetri di fiducia

Le minacce e cosa fa LayerT

1. Un dipendente in buona fede accede con un account personale

Il rischio. Qualcuno accede alla propria email personale o a un servizio di messaggistica su un laptop di lavoro. I dati escono attraverso un canale che i vostri strumenti di rete vedono solo come una connessione cifrata verso un sito web comune.

Cosa fa LayerT. Una regola indica il campo di login. Quando la persona invia il modulo, LayerT verifica il valore digitato nella pagina, vede che non è un account aziendale e annulla l’invio prima che il codice del sito invii qualcosa. La persona vede una scheda chiara con il messaggio dell’amministratore e, se la regola lo consente, un modo per chiedere l’accesso. Un approvatore decide quanto dura un’eventuale eccezione. Ogni passaggio viene registrato nel log.

Cosa resta. Le regole agiscono solo su ciò che i vostri amministratori indicano. Questo comprende ora gli invii dei moduli, le operazioni di incolla, il testo digitato e i file consegnati a una pagina, in base al nome o al testo contenuto in un file di testo semplice. I limiti contano più dell’elenco:

• LayerT legge solo testo semplice. Non guarda dentro PDF, file di Office o immagini. Una regola sul testo dei file li ferma, invece di leggerli.
• I dati che una pagina invia da sola, senza un modulo, un’operazione di incolla, un campo digitato o un file che le viene consegnato, sono fuori da ogni regola.
• Una regola sulla digitazione non può tenere il testo fuori dalla pagina. Il testo è lì fin dal primo tasto premuto, e una pagina che invia mentre si digita lo ha già. La regola avvisa la persona e impedisce che il testo venga inviato con un modulo, un pulsante di invio o il tasto Invio.
• LayerT non legge né controlla gli appunti, e non ha una libreria di rilevatori già pronti.
• Ciò che corrisponde a una regola viene registrato, leggibile di default, e una regola sulla digitazione registra il testo dell’intero campo. È una registrazione che riguarda le vostre persone, e richiede che ne siano informate e che voi la valutiate.

2. Un dipendente cerca di aggirare la policy

Il rischio. Chi vuole evitare una regola potrebbe andare offline, bloccare i server di LayerT o cercare di fornire al browser una policy vecchia o alterata.

Cosa fa LayerT.

• La policy è firmata con Ed25519 e verificata nel browser. Una policy modificata non supera la verifica, quindi non viene usata.
• La versione di una policy deve sempre crescere, e la policy deve appartenere alla vostra organizzazione, quindi una policy vecchia o estranea non può essere riproposta.
• La policy scade dopo 7 giorni. Un browser che non riesce a ottenerne una aggiornata va in fail-closed (in caso di errore blocca): sulle pagine coperte dalle vostre regole di blocco, ferma gli invii finché non si riconnette. Andare offline o bloccare LayerT non porta alcun vantaggio duraturo.
• Una regola che si applica a un gruppo della directory va in fail-closed allo stesso modo. Un browser che non ha una risposta firmata e aggiornata sui gruppi della propria persona ferma l’azione nelle pagine in cui una regola di blocco indica un gruppo.

Cosa resta. L’installazione forzata da un pacchetto dell’estensione firmato è realizzata e si attiva con il primo rilascio in produzione di LayerT. Non è ancora stata eseguita su una macchina gestita. Chrome non permette alle persone di rimuovere tramite le sue impostazioni un’estensione installata forzatamente. Ma il browser gira su un laptop che il suo utente potrebbe controllare: chi ha diritti di amministratore locale può modificare le policy del browser o manomettere il browser, e quindi aggirare l’applicazione delle regole. Anche la policy archiviata nel profilo del browser può essere letta, e la sua firma viene verificata quando arriva, non ogni volta che viene usata, quindi chi può scrivere in quello storage può modificarla su quel laptop. La vostra gestione dei dispositivi dovrebbe impedire alle persone di avere diritti di amministratore locale, e dovreste trattare la policy come un documento interno alla vostra organizzazione.

3. Una pagina ostile imita LayerT o interferisce con esso

Il rischio. Una pagina di phishing disegna un finto prompt di LayerT che chiede una password. Oppure gli script di una pagina cercano di leggere i prompt di LayerT, di cliccarli o di far scivolare il menu dell’account sotto il cursore.

Cosa fa LayerT.

• I prompt di LayerT non chiedono mai una password e non contengono mai un campo password. Ogni prompt lo dichiara nel piè di pagina, e un test lo verifica. Un prompt che chiede una password non è LayerT.
• Mentre un prompt autentico di LayerT è presente in una scheda, l’icona di LayerT nella barra degli strumenti del browser mostra un puntino ambra. Una pagina può copiare l’aspetto di un prompt, ma non può disegnare nella barra degli strumenti. L’icona è fissata tramite policy, quindi è sempre visibile.
• I prompt risiedono in shadow root chiuse, fuori dalla portata della pagina, e rispondono solo a clic e pressioni di tasti reali.
• Il menu degli account condivisi è una pagina dell’estensione nel proprio frame. Accetta clic solo dopo essere stato completamente visibile per un momento, e si chiude se la pagina lo sposta o lo copre.

Cosa resta. Il segnale nella barra degli strumenti è utile solo se le persone imparano a cercarlo. Lo insegniamo su questo sito, e consigliamo di insegnarlo durante l’onboarding. Le difese contro il clickjacking riducono il rischio senza eliminarlo, quindi gli account sensibili possono essere impostati per essere avviati solo dalla barra degli strumenti.

4. Un sito sosia cerca di ricevere una password condivisa

Il rischio. Un dominio che assomiglia a quello del vostro fornitore cerca di far compilare a LayerT un account condiviso.

Cosa fa LayerT. Ogni account condiviso è legato a siti esatti: schema, host e porta, senza caratteri jolly, tramite HTTPS. L’estensione verifica la pagina, e il service worker verifica di nuovo usando l’indirizzo che Chrome riporta per il frame richiedente. Un sosia non ottiene nulla, e nulla viene compilato al caricamento della pagina.

Alcuni siti mostrano il proprio modulo di login all’interno di un frame che proviene da un altro indirizzo della stessa azienda. LayerT compila un modulo di questo tipo solo quando la pagina principale è un indirizzo indicato dall’account, il frame appartiene allo stesso sito di quella pagina, il frame non è in sandbox e il frame è visibile. Dice nella pagina a quale indirizzo appartiene il modulo. Un frame di un sito estraneo viene rifiutato, un frame che nessuno può vedere non viene mai compilato, e LayerT non preme mai il pulsante di login in un frame.

Cosa resta. Per i frame, “lo stesso sito” significa lo stesso dominio registrabile della pagina indicata dall’account, quindi un frame su un altro host di quel sito può essere compilato quando la pagina dell’account lo incorpora. Un account può essere impostato su indirizzi esatti anche per i frame.

5. Qualcuno lascia l’azienda

Il rischio. Chi se ne va conosce ancora le password degli account condivisi, o ha ancora una sessione aperta.

Cosa fa LayerT. Non ha mai conosciuto le password. Quando la vostra directory lo disattiva, LayerT termina le sue sessioni della console, revoca le sue sessioni e richieste di account condivisi, e i suoi browser escono da quegli account entro circa un minuto. I suoi browser non possono rinnovare il proprio token, quindi la loro registrazione viene annullata entro pochi minuti. Per le persone che cambiano ruolo invece di andarsene, le revisioni trimestrali degli accessi chiedono al proprietario di ogni account di confermare chi ne ha ancora bisogno, e mostrano se ciascuna persona lo ha effettivamente usato.

6. Qualcuno con accesso legittimo usa impropriamente un account condiviso

Il rischio. Una persona autorizzata a usare il portale finanziario fa qualcosa che non dovrebbe mentre è collegata.

Cosa fa LayerT. L’accesso può richiedere ogni volta un approvatore, può essere limitato a un solo titolare alla volta e termina puntualmente. Le sessioni sono elencate in tempo reale, e un amministratore può terminarne una da remoto. Dove lo scegliete, le sessioni vengono registrate e marcate con una filigrana con il nome della persona. Tutto è attribuito alla persona, non a un login condiviso.

Cosa resta. Mentre è collegata, una persona determinata potrebbe leggere la password dal campo password del fornitore usando i DevTools, come con qualsiasi password manager. La risposta di LayerT è la governance: approvazione, limiti di tempo, registrazione e audit. Per gli account di maggior valore, cambiate la password dopo un uso sensibile.

7. Un laptop viene perso o rubato

Il rischio. Qualcuno entra in possesso di un laptop con un browser registrato.

Cosa fa LayerT. La credenziale di ogni browser è legata a una chiave creata in quel browser che non può essere esportata. Il token che il browser usa dura alcuni minuti, e per rinnovarlo serve una prova firmata da quella chiave, quindi una copia del solo token smette di funzionare entro pochi minuti e non esiste una credenziale di lunga durata da sottrarre. Le sessioni degli account condivisi sono limitate nel tempo, e LayerT non conserva le password condivise nel browser dopo aver fatto accedere qualcuno. Un amministratore può revocare il dispositivo, il che rimuove le sue credenziali LayerT e il suo accesso agli account condivisi.

Cosa resta. La chiave è protetta dal software del browser, non da un TPM o da un Secure Enclave, e questa non è un’attestazione del dispositivo. Chi può eseguire software con l’identità della persona su quel laptop può usare lì la chiave. Cifratura del disco, blocco dello schermo e cancellazione remota sono compito della vostra gestione dei dispositivi.

8. Qualcuno configura un browser di cui non avete motivo di fidarvi

Il rischio. Chiunque possa effettuare il login come una delle vostre persone, su un laptop personale o con credenziali rubate, configura LayerT in un proprio browser per ottenere le vostre regole e i vostri account condivisi.

Cosa fa LayerT. Ogni nuovo browser resta in attesa dell’approvazione di un amministratore prima di ricevere qualsiasi regola o account condiviso. Finché un Owner o un IT Admin non lo approva in Dispositivi, i server di LayerT non gli danno alcuna policy né alcun account condiviso, e il suo popup dice che è in attesa. Owner e IT Admin vengono avvisati di un browser in attesa, e l’Inbox li elenca tutti. Ciò che il browser riferisce sul modo in cui è stato installato viene mostrato all’approvatore e non decide nulla, perché è solo una dichiarazione del browser stesso. Per 7 giorni dopo un rifiuto, il browser può essere rimesso in coda, il che non approva nulla.

Cosa resta. L’approvazione è il giudizio di una persona. Non dimostra che un dispositivo sia di proprietà dell’azienda o gestito. Un Owner o un IT Admin può approvare il proprio browser, e il registro di audit indica chi ha approvato. La persona con il cui account è stato configurato il browser non viene avvisata via email. Un token di registrazione distribuito tramite policy del dispositivo, che legherebbe la configurazione alla vostra gestione dei dispositivi, non è realizzato.

9. Un amministratore oltrepassa i propri limiti

Il rischio. Una persona con diritti di amministratore si concede eccezioni permanenti, guarda registrazioni senza motivo o modifica la policy di nascosto.

Cosa fa LayerT.

• Separazione dei compiti. Gli IT Admin pubblicano le regole ma, di default, non possono concedere eccezioni permanenti. I Compliance Officer concedono e revocano le eccezioni ma non possono pubblicare regole. Un Owner può dare a una persona specifica il diritto di concedere eccezioni permanenti, e quella modifica viene registrata nel log.
• Nessuno approva la propria richiesta. Il server la rifiuta.
• La revisione facoltativa a due autori impedisce di pubblicare regole redatte da sé.
• La registrazione richiede l’attestazione scritta dell’Owner prima che qualsiasi account possa essere registrato, e ogni visualizzazione richiede una motivazione scritta e viene registrata nel log.
• Vedere una password archiviata richiede due approvatori diversi dalla persona che chiede, uno dei quali deve essere un Owner o un Compliance Officer. Il richiedente la vede una sola volta, dopo un nuovo login, e Owner, Compliance Officer e il proprietario dell’account vengono avvisati. La password viene poi contrassegnata come vista, da cambiare.
• Le richieste di password, le eccezioni permanenti e le modifiche alle regole possono essere decise solo nella console, mai da un messaggio Slack o dal link di un’email.

Cosa resta. Un’organizzazione che assegna a una sola persona tutti i ruoli elimina questi controlli. LayerT mostra se entrambi i ruoli IT e Compliance sono coperti, e lo registra se scegliete che un’unica persona li ricopra.

10. Viene attaccato il cloud di LayerT

Il rischio. È il caso più grave per qualsiasi prodotto SaaS che custodisce segreti. I server di LayerT possono decifrare le password degli account condivisi e le registrazioni. Devono farlo, per far accedere le persone e per riprodurre le registrazioni.

Cosa fa LayerT.

• I segreti sono archiviati con cifratura a busta (envelope encryption) AES-256-GCM, una chiave dati per account, con le chiavi dati cifrate (wrapped) da una chiave di cifratura delle chiavi. Il database contiene solo testo cifrato. Le registrazioni sono cifrate sul dispositivo, e il bucket di archiviazione contiene solo testo cifrato.
• La chiave di cifratura delle chiavi e la chiave di firma della policy sono custodite in un servizio di gestione delle chiavi, dove possono essere usate ma non copiate all’esterno, e ogni utilizzo viene registrato dal servizio. Questo è realizzato e in uso nell’ambiente di test di LayerT. Per la produzione, che userà il servizio di gestione delle chiavi di Google Cloud nell’UE, non c’è alcun deploy.
• La chiave di firma della policy è protetta via software: il servizio di gestione delle chiavi offre quel tipo di chiave solo in software, quindi non è custodita in un modulo di sicurezza hardware.
• Il personale di LayerT non può consultare i vostri dati. L’accesso per il supporto richiede un operatore identificato per nome, una motivazione, un limite di tempo e l’approvazione del vostro Owner, e viene registrato nel vostro registro di audit.
• La policy viene verificata nel browser rispetto a chiavi integrate nell’estensione, quindi un attaccante in grado di modificare ciò che restituisce l’API non potrebbe comunque falsificare la policy senza la chiave di firma.

Cosa resta. Una compromissione completa dei server di LayerT, con la possibilità di usare le chiavi, potrebbe esporre i segreti. Le chiavi non sono separate per organizzazione. Anche il registro di audit, con i valori che hanno fatto scattare le vostre regole, è leggibile lì, a meno che una regola non sia impostata per nascondere i propri valori. LayerT non è ancora in produzione. Girerà su Google Cloud nell’UE (la regione di Milano), con chiavi e backup nella multi-regione UE di Google; vedete Gestione dei dati. Pubblicheremo la nostra procedura di risposta agli incidenti prima che il primo cliente entri in produzione. Per i vostri account di maggior valore, mantenete la rotazione delle password e una via di accesso di emergenza (break-glass) che non dipenda da LayerT.

Il rischio residuo in sintesi

Cosa vi chiediamo

1. Gestite i laptop con un MDM, e impedite alle persone di avere diritti di amministratore locale.
2. Disattivate tramite policy il password manager integrato di Chrome. I modelli di LayerT includono questa impostazione.
3. Mantenete accurata la vostra directory: è lei a decidere chi è attivo e cosa può usare.
4. Assegnate i ruoli di IT Admin e Compliance Officer a persone diverse.
5. Stabilite, e mettete per iscritto, la vostra base giuridica prima di attivare la registrazione.
6. Insegnate alle persone i due segnali: LayerT non chiede mai la vostra password, e la sua icona nella barra degli strumenti si illumina quando è presente nella pagina.
7. Approvate tempestivamente i nuovi browser, e solo quelli che riconoscete.
8. Dite alle vostre persone cosa registrano le vostre regole, soprattutto una regola che osserva il testo digitato.

Domande su questo documento? Fatecele durante una demo. Preferiamo rispondere adesso a una domanda difficile piuttosto che durante la vostra revisione di sicurezza.