Arkitettura
Komponenti u flussi tad-data
Kull parti li tiċċaqlaq, fejn taħdem, u kull konnessjoni bejniethom, bil-protokoll u l-kredenzjali li tuża kull naħa.
Jiddeskrivi lil LayerT kif kien mibni fid-data 3 ta’ Ottubru 2026. Kull ma mhuwiex mibni huwa mmarkat.
Fil-browser
In-naħa tal-browser ta’ LayerT hija estensjoni Manifest V3. L-MDM tagħkom jinstallaha u jwaħħal l-ikona tagħha mat-toolbar permezz tal-fajls tal-politika enterprise ta’ Chrome għal macOS u Windows (jeżistu wkoll fajls għal Linux). L-istess politika titfi l-Incognito, il-Guest mode u l-password manager ta’ Chrome stess, u fuq Windows iżżid lil LayerT mal-estensjonijiet l-oħra li tinstallaw b’mod sfurzat, minflok ma tissostitwihom. Persuna tista’ wkoll tissettja lil LayerT fi browser hi stess, bil-kont tax-xogħol tagħha.
Imbagħad kull browser ġdid jistenna li Owner jew IT Admin japprovah, ikun kif ikun ġie installat LayerT. Sakemm jiġi approvat ma jirċievi l-ebda regola u ma jistax juża kontijiet kondiviżi.
| Parti | X’inhi | Noti |
|---|---|---|
| Service worker | Il-proċess fl-isfond tal-estensjoni | Iżomm iċ-ċavetta tal-iffirmar tal-browser stess u t-token tiegħu ta’ ħajja qasira, iġib u jivverifika l-politika ffirmata, jiġbor l-avvenimenti tal-awditjar f’lottijiet, jimmedja l-awtorizzazzjonijiet għall-kontijiet kondiviżi, iħaddem it-timers għall-iskadenza tas-sessjonijiet |
| Content scripts | Skripts li Chrome iħaddem fid-dinja iżolata ta’ kull paġna | Separati mill-JavaScript tal-paġna stess. Jaqraw valuri biss mill-oqsma li jsemmu r-regoli tagħkom, jiċċekkjaw il-fajls mogħtija lill-postijiet li ssemmi regola tal-fajls, u jimlew il-login tal-kontijiet kondiviżi |
| Prompts fil-paġna | Il-kard tal-imblukkar, l-avviżi, il-menu tal-kont u ċ-chip tas-sessjoni | Imfassla f’shadow roots magħluqa, għalhekk l-iskripts tal-paġna ma jistgħux jaqrawhom jew ibiddlulhom id-dehra. Il-buttuni jaġixxu biss fuq klikks u tagħfis ta’ tasti veri. Jużaw il-fonts tas-sistema, għalhekk LayerT qatt ma jgħabbi web fonts fil-paġni ta’ kumpaniji oħra |
| Frame tal-menu tal-kont | Paġna tal-estensjoni murija ġo frame ġewwa l-prompt | Il-lista tal-kontijiet kondiviżi tinsab fl-origin tal-estensjoni stess, mhux fil-paġna |
| Popup tat-toolbar | Il-launcher, l-approvazzjonijiet u ż-żieda mgħaġġla | Paġna tal-estensjoni; qatt parti minn sit web |
Is-sinjal ta’ fiduċja li paġna ma tistax tiffalsifika. Sakemm ikun hemm xi prompt ta’ LayerT fuq tab, LayerT jixgħel tikka kulur l-ambra fuq l-ikona tiegħu stess fit-toolbar. Sit web jista’ jikkopja d-dehra ta’ prompt, iżda ma jistax ipinġi fit-toolbar tal-browser. Il-prompts ta’ LayerT qatt ma jitolbu password ukoll, u test jinforza li l-ebda prompt ma jkun fih qasam tal-password.
Fil-cloud ta’ LayerT
| Parti | X’inhi | Noti |
|---|---|---|
| Console u API | Applikazzjoni web | Il-console tal-amministrazzjoni, l-API tal-estensjoni, is-server SCIM 2.0 u l-klijent OpenID Connect |
| Worker | Servizz separat mingħajr indirizz pubbliku | Iħaddem ix-xogħlijiet skedati u jibgħat in-notifiki |
| Console tal-operatur | Sit separat għall-persunal ta’ LayerT | Joħloq u jimmaniġġja l-organizzazzjonijiet. Il-persunal jista’ jara ġewwa organizzazzjoni biss bl-approvazzjoni ta’ dik l-organizzazzjoni (ara Identità, tenancy u rwoli) |
| Postgres | Is-sistema ta’ referenza | Verżjonijiet iffirmati tal-politika, avvenimenti tal-awditjar, data tad-direttorju, talbiet u sessjonijiet. Is-sigrieti tal-kontijiet kondiviżi jinħażnu bħala ciphertext f’tabella għalihom |
| Ħażna ta’ oġġetti | Google Cloud Storage | Reġistrazzjonijiet tas-sessjonijiet biss, kriptati fuq l-apparat qabel ma jittellgħu. Il-bucket qatt ma jżomm plaintext |
| Servizz taċ-ċwievet | Servizz taċ-ċwievet fil-cloud | Jiffirma kull verżjoni tal-politika b’Ed25519 u jgeżwer iċ-ċavetta li tissiġilla kull sigriet ta’ kont kondiviż u kull reġistrazzjoni. Iċ-ċwievet jistgħu jintużaw permezz tas-servizz iżda qatt ma jistgħu jiġu kkupjati barra minnu. Iċ-ċavetta tal-iffirmar tal-politika hija protetta bis-software: is-servizz joffri dak it-tip ta’ ċavetta fis-software biss, mhux f’modulu tas-sigurtà tal-hardware. Mibni, u jintuża fl-ambjent tat-test ta’ LayerT. Il-produzzjoni, li se tuża Google Cloud KMS, m’għandha l-ebda deploy |
| Xogħlijiet skedati | Xogħlijiet rikorrenti fuq il-worker | Jagħlqu talbiet u sessjonijiet skaduti, japplikaw iż-żamma, jiffirmaw mill-ġdid il-politika qabel ma tiskadi, jerġgħu jibnu l-politika wara bidliet fid-direttorju, jibagħtu notifiki u tfakkiriet, jiċċekkjaw is-saħħa tal-gateways |
Hosting. LayerT għadu mhux fil-produzzjoni. Illum jaħdem f’ambjent tat-test li fih data fittizja biss. Fil-produzzjoni se jaħdem fuq Google Cloud fl-UE, fir-reġjun ta’ Milan (
europe-west8), biċ-ċwievet u l-backups tad-database tiegħu miżmuma fil-multi-region tal-UE ta’ Google. Cloudflare se jieħu ħsieb id-DNS u jibgħat l-emails tan-notifiki. Il-fornituri huma elenkati f’Immaniġġjar tad-data. Għażliet oħra għar-residenza tad-data għadhom mhumiex disponibbli.Barra minn LayerT
| Parti | Ta’ min hi | Kif jużaha LayerT |
|---|---|---|
| Il-fornitur tal-identità tagħkom | Tagħkom | Jibgħat persuni u gruppi lil LayerT permezz ta’ SCIM 2.0, u jdaħħal lill-amministraturi u lin-nies permezz ta’ OpenID Connect. Mibni għal JumpCloud |
| L-MDM tagħkom | Tagħkom | Jimbotta l-politika ta’ Chrome li tinstalla lil LayerT, twaħħal l-ikona tiegħu u tgħidlu għal liema organizzazzjoni jappartjeni |
| Il-gateways tagħkom Aċċess bikri | Tagħkom | Servers żgħar li tikru intom. Kont kondiviż bir-routing mixgħul jgħaddi s-siti tiegħu stess minn wieħed minnhom, biex il-fornitur jara indirizz wieħed. LayerT jiċċekkja kull gateway minn barra u jgħidlu liema konnessjonijiet għandu jdaħħal. LayerT ma jħaddimx gateways |
| Is-siti li jużaw in-nies tagħkom | Il-fornituri | LayerT jaqra u jimla l-formoli fuqhom. Qatt ma jibdel is-servers jew it-traffiku ta’ fornitur |
Flussi tad-data
Kull fluss hawn taħt jgħaddi permezz ta’ HTTPS.
| Fluss | Direzzjoni | X’jiċċaqlaq | Awtentikat permezz ta’ |
|---|---|---|---|
| Sinkronizzazzjoni tad-direttorju | Fornitur tal-identità → API | Persuni, gruppi, jekk humiex attivi (SCIM 2.0) | Token SCIM maħruġ minn LayerT, maħżun biss bħala hash |
| Login fil-console | Browser ↔ API ↔ fornitur tal-identità | Fluss tal-authorization code ta’ OpenID Connect | ID token iffirmat, ivverifikat kontra ċ-ċwievet ippubblikati tal-fornitur |
| Użu tal-console | Browser → API | Deċiżjonijiet, regoli, impostazzjonijiet | Sessjoni fuq in-naħa tas-server, ivverifikata mill-ġdid ma’ kull talba |
| Iskrizzjoni | Estensjoni → API → fornitur tal-identità | Il-persuna tagħmel login darba. Il-browser jibgħat in-nofs pubbliku ta’ ċavetta li ħoloq hu, jipprova li għandu n-nofs privat, u jieħu token tal-apparat ta’ ħajja qasira. Imbagħad jistenna l-approvazzjoni ta’ amministratur | Il-login tal-fornitur tal-identità, u firma miċ-ċavetta tal-browser |
| Tiġdid tat-token | Estensjoni → API | Token ġdid tal-apparat ta’ ħajja qasira | Prova ffirmata biċ-ċavetta tal-browser, ivverifikata kontra ċ-ċavetta pubblika li LayerT ħażen waqt l-iskrizzjoni |
| Sinkronizzazzjoni tal-politika | API → estensjoni | Il-politika ffirmata għall-organizzazzjoni tagħkom | Token tal-apparat; il-politika nnifisha tiġi vverifikata b’Ed25519 fil-browser |
| Il-gruppi tal-persuna | API → estensjoni | Il-gruppi tad-direttorju tal-persuna ta’ dan il-browser stess, u ta’ ħadd aktar, bħala tweġiba ffirmata valida għal 24 siegħa | Token tal-apparat; it-tweġiba tiġi vverifikata b’Ed25519 fil-browser |
| Awditjar | Estensjoni → API | Avvenimenti dwar imblukkar, qbil mar-regoli, approvazzjonijiet u sessjonijiet, bil-valur li qabel ma’ regola | Token tal-apparat, li jrid jaqbel mal-apparat tal-avveniment |
| Tkomplija b’raġuni | Estensjoni → API | Ir-raġuni tal-persuna biex tkompli minn blokk, bir-regola, il-paġna u l-valur. L-azzjoni tipproċedi biss ladarba s-server ikun ħażinha | Token tal-apparat; il-persuna tittieħed mit-token, qatt mill-paġna |
| Talbiet u awtorizzazzjonijiet | Estensjoni ↔ API | Talbiet għall-aċċess, deċiżjonijiet, awtorizzazzjonijiet għall-kontijiet kondiviżi | Token tal-apparat, marbut mal-persuna u mal-browser iskritt |
| Reġistrazzjoni | Estensjoni → API → ħażna ta’ oġġetti | Biċċiet kriptati tar-reġistrazzjonijiet | Token tal-apparat; il-biċċiet ikunu diġà kriptati |
| Sessjoni tal-gateway Aċċess bikri | API → estensjoni | Għal kont b’routing: liema gateway għandu jintuża, kredenzjali għal din is-sessjoni biss, u l-indirizz li se jara l-fornitur. L-ebda password ma tivvjaġġa fiha | Token tal-apparat, marbut mas-sessjoni attiva tal-persuna |
| Ammissjoni mill-gateway Aċċess bikri | Gateway → API | Il-gateway jistaqsi jekk għandux idaħħal kull konnessjoni ġdida | Iċ-ċavetta tal-gateway stess. LayerT iwieġbu biss dwar is-sessjonijiet tal-organizzazzjoni tiegħu stess |
| Xogħlijiet skedati | Cloud Scheduler → worker | Trigger biss | Identity token iffirmat minn Google għas-service account tal-iskedatur stess |
| Riżultati tal-login | Estensjoni → API | Jekk login f’kont kondiviż ħadimx, f’liema pass waqaf, u l-indirizz tal-paġna mingħajr il-query tiegħu. Qatt valuri, tikketti jew test tal-paġna | Token tal-apparat |
| Fatti dwar l-apparat | Estensjoni → API | Il-verżjoni tal-estensjoni, kif il-browser jgħid li ġie installat, il-browser, is-sistema operattiva u l-verżjoni tal-politika | Token tal-apparat |
| Verifika tal-verżjoni | Estensjoni → API | Liema verżjoni ta’ LayerT hija l-aktar ġdida. It-tweġiba hija l-istess għal kull organizzazzjoni | Xejn. It-talba ma ġġorr l-ebda kredenzjali u xejn dwar il-persuna |
| Notifiki | Worker → dawk li japprovaw | Talbiet li qed jistennew lil xi ħadd, tweġibiet u allerti, bl-email, Slack u l-estensjoni. Ebda sigriet u ebda valur sħiħ | Email permezz ta’ SMTPS; l-API ta’ Slack bil-konnessjoni Slack tal-organizzazzjoni tagħkom; it-token tal-apparat tal-estensjoni |
| Deċiżjonijiet minn Slack | Slack → API | Approve jew Deny ta’ min japprova fuq talba | Il-firma tat-talba ta’ Slack, imbagħad id-drittijiet ta’ min japprova jerġgħu jiġu vverifikati fil-mument tal-klikk |
X’tibgħat l-estensjoni, u x’ma tibgħatx
LayerT jaqra biss l-oqsma li jsemmu r-regoli tagħkom. Meta regola taqbel, LayerT jirreġistra dak li qabel magħha, u għal regola tal-ittajpjar it-test tal-qasam, biex awditur ikun jista’ jiċċekkja d-deċiżjoni. Regola tista’ timmaskja jew taħbi l-valuri tagħha.
- Tibgħat avvenimenti tal-awditjar meta regola taqbel: ir-regola, l-indirizz tal-paġna, il-qasam u l-valur li qabel. Għal regola ta’ formola l-valur huwa t-test tal-qasam, u għal regola ta’ paste it-test ippejstjat. Hekk awditur jista’ jara li ġie mwaqqaf indirizz personali.
- Għal regola tal-ittajpjar, il-valur huwa t-test kollu tal-qasam kif kien meta r-regola qablet, mhux biss il-parti li qablet, sa 10,000 karattru.
- Għal regola tal-fajls, tibgħat l-isem, it-tip u d-daqs tal-fajl, kif il-fajl ingħata lill-paġna, u jekk LayerT setax jaqrah. It-test ta’ fajl jinqara fil-browser biex tittieħed id-deċiżjoni u qatt ma jintbagħat.
- Il-browser dejjem jibgħat il-valur sħiħ. Is-setting ta’ regola biex timmaskja jew taħbi l-valuri tagħha jiġi applikat fuq is-servers ta’ LayerT, qabel ma jinħażen xejn. Il-valuri ma jiġux redatti fil-browser.
- Password jew kodiċi li mela LayerT qatt ma jinqraw minn xi regola, għalhekk m’hemm xejn x’jintbagħat. Regola tal-ittajpjar qatt ma taqra kaxxa tal-password jew kaxxa tal-kodiċi għal użu wieħed, f’ebda każ. Regola ta’ formola jew ta’ paste taqra l-oqsma li ssemmi, u dawn jistgħu jinkludu kaxxa tal-password li persuna ttajpjat fiha hi stess.
- Tibgħat talbiet għall-aċċess bir-raġuni tal-persuna, u biċċiet kriptati tar-reġistrazzjonijiet meta r-reġistrazzjoni tkun mixgħula għal kont kondiviż.
- Tibgħat ir-raġuni li persuna tagħti biex tkompli minn blokk, fejn regola tippermetti dan.
- Tirrapporta jekk kull login f’kont kondiviż ħadimx, u fatti bażiċi dwar il-browser, biex l-IT ikun jista’ jara liema laptops huma protetti. Dawn ir-rapporti ma fihom ebda valur ittajpjat u ebda test tal-paġna.
- L-avvenimenti li qed jistennew li jintbagħtu jinżammu fil-ħażna tal-estensjoni sakemm jitwasslu, u jistgħu jinkludu valuri li qablu ma’ regola.
- Ma tibgħatx paġni. Barra minn sessjoni rreġistrata ta’ kont kondiviż, l-uniku kontenut tal-paġna li tibgħat huwa t-test ta’ qasam li qabel ma’ regola, u ma tibgħat xejn li jiġi ttajpjat f’oqsma li r-regoli tagħkom ma jsemmux. Qatt ma tibgħat l-istorja tal-browsing, lista tal-paġni miżjura jew valuri tal-cookies. F’sessjoni rreġistrata, dak li jittajpjaw in-nies jiġi mmaskjat fejn jittajpjawh, fl-oqsma tal-formoli u fl-edituri rich-text, u r-reġistrazzjoni xorta turi dak li l-paġna terġa’ turi: id-dettalji jinsabu f’Sessjonijiet u reġistrazzjoni.