Arkitettura
Politika ffirmata u l-infurzar tagħha
Ir-regoli jinkitbu fil-console, jiġu ppubblikati bħala verżjoni ffirmata waħda, ivverifikati minn kull browser, u infurzati fil-paġna qabel ma tintbagħat formola. Jekk browser ma jistax jipprova li l-politika tiegħu hija aġġornata, jaġixxi fail-closed.
Jiddeskrivi lil LayerT kif kien mibni fid-data 19 ta’ Settembru 2026. Kull ma mhuwiex mibni huwa mmarkat.
Il-ħajja ta’ politika
- ConsoleAbbozzL-IT jikteb jew ibiddel ir-regoli bħala abbozzi. Għad ma jasal xejn f’xi browser.
- ConsolePubblikazzjoniIl-pubblikazzjoni tapplika l-abbozzi kollha pendenti bħala verżjoni ġdida waħda. Ir-reviżjoni fakultattiva minn żewġ awturi twaqqaf lin-nies milli jippubblikaw l-abbozzi tagħhom stess.
- Il-cloud ta’ LayerTIffirmarIl-verżjoni tiġi serjalizzata bħala JSON kanoniku u ffirmata b’Ed25519.
- BrowserTniżżilKull 15-il minuta, meta jibda l-browser u wara navigazzjoni, b’talbiet kundizzjonali.
- BrowserVerifikaIl-firma, iċ-ċavetta, l-organizzazzjoni, il-verżjoni u l-iskadenza jiġu kollha vverifikati qabel ma tintuża regola waħda.
- Il-paġnaInfurzarIr-regoli jaġixxu fuq formoli sottomessi u paste qabel ma jaħdem il-kodiċi tas-sit stess.
X’inhi regola
Regola tgħid fejn tapplika, liema oqsma tosserva, liema valur jattivaha u x’jiġri.
| Parti | Għażliet |
|---|---|
| Fejn | Mudell ta’ sit: URL eżatt, glob bħal https://*.postbox.example/*, jew regular expression |
| Liema oqsma | CSS selectors għall-oqsma f’dik il-paġna. L-amministraturi jistgħu jibnuhom billi jippuntaw fuq il-paġna bil-picker tal-estensjoni |
| Liema valur | Kundizzjonijiet fuq il-valur ittajpjat: huwa ugwali għal, jaqbel ma’ mudell, dominju tal-email, f’lista, u kombinazzjonijiet b’and/or/not. Il-kundizzjonijiet jistgħu wkoll iqabblu mal-identità tal-persuna stess fid-direttorju, bħal “l-indirizz tax-xogħol tagħhom biss” |
| X’jiġri | Monitoraġġ (log biss), imblukkar, imblukkar b’talba (il-persuna tista’ titlob aċċess), jew logout sfurzat (iħassar il-cookies u l-ħażna tas-sit, imbagħad juri paġna li tgħid li l-persuna ħarġet) |
Illum LayerT jevalwa formoli sottomessi (l-avveniment submit, il-buttuni submit u Enter f’qasam) u paste f’oqsma osservati. Regoli integrati jkopru l-login personali ta’ Google, Telegram Web u WhatsApp Web.
L-iffirmar
Kull verżjoni ppubblikata tiġi serjalizzata b’mod deterministiku (iċ-ċwievet issortjati, l-oqsma tal-firma esklużi) u ffirmata b’Ed25519. Il-politika ġġorr numru tal-verżjoni, l-organizzazzjoni li tappartjeni għaliha, meta nħarġet u meta tiskadi.
- Il-verżjonijiet jiżdiedu biss. Kull pubblikazzjoni tieħu n-numru li jmiss għall-organizzazzjoni tagħkom taħt lock, għalhekk żewġ amministraturi ma jistgħux jippubblikaw l-istess verżjoni.
- Biex tmorru lura, ir-regoli l-qodma jiġu ppubblikati bħala verżjoni ġdida u ogħla. L-eċċezzjonijiet approvati minn dak iż-żmien ’l hawn jinżammu, sakemm ir-regoli restawrati ma jibqgħux iħalluhom.
- Fil-produzzjoni, iċ-ċavetta tal-iffirmar tinżamm f’Google Cloud KMS u ma tistax tiġi esportata: is-servers ta’ LayerT jitolbu lil KMS għal kull firma. Dan huwa mibni u jinxtegħel mal-ewwel deploy ta’ LayerT fil-produzzjoni. Il-builds tal-iżvilupp jiffirmaw b’ċavetta lokali, li l-builds tal-estensjoni għall-produzzjoni ma jafdawhiex.
Il-verżjoni ffirmata li jirċievu l-browsers tagħkom tissejjaħ pakkett tal-politika (policy bundle). X’fih (inklużi l-allowlists ta’ nies oħra u eċċezzjonijiet approvati), fejn jinħażen fuq il-laptop, u x’jista’ jagħmillu xi ħadd li jikkontrolla l-laptop, jinsabu f’Pakketti tal-politika u apparat kompromess.
Verifika fil-browser
L-estensjoni tivverifika kull politika bl-implimentazzjoni ta’ Web Crypto tal-browser stess qabel ma tużaha. F’din l-ordni, tirrifjuta politika jekk:
- il-verżjoni tagħha mhijiex aktar ġdida minn dik li diġà għandha,
- tappartjeni lil organizzazzjoni oħra,
- ġiet iffirmata b’ċavetta li l-estensjoni ma tafx,
- il-firma ma tgħaddix mill-verifika kontra ċ-ċavetta pubblika mibnija fl-estensjoni, jew
- skadiet, skont l-arloġġ tal-laptop.
Politika rrifjutata tintrema u l-browser iżomm dik li kellu. Jistgħu jinbnew diversi ċwievet pubbliċi fl-istess ħin, għalhekk ċavetta tal-iffirmar tista’ tinbidel mingħajr interruzzjoni.
Fail-closed
Browser li ma jistax jikseb politika aġġornata u ġenwina ma jiqafx jinfurzaha bil-kwiet.
- Il-politika tiskadi 7 ijiem wara li tinħareġ, u LayerT jerġa’ jiffirmaha awtomatikament 48 siegħa qabel. Browser jara politika skaduta biss jekk ikun ilu ġranet ma jkunx jista’ jilħaq lil LayerT.
- F’paġna koperta minn regola ta’ imblukkar jew ta’ logout sfurzat, politika skaduta twaqqaf kull formola sottomessa u kull paste fl-oqsma tar-regola, b’kard “Connectivity required”. Il-kard tispjega x’ġara u toffri biss Back.
- Ir-regoli ta’ monitoraġġ jibqgħu jniżżlu fir-reġistru.
- Meta l-browser jerġa’ jikkonnettja, il-kard titneħħa waħedha fi żmien madwar 30 sekonda, mingħajr reload.
Il-waqfien ta’ emerġenza
L-Owner jista’ jitfi l-infurzar kollu għall-organizzazzjoni kollha. Il-waqfien innifsu huwa verżjoni ffirmata tal-politika, għalhekk ħadd ma jista’ jibgħat waħda falza lil browser. Jitniżżel fir-reġistru, u l-Owners u l-IT Admins jiġu infurmati. Qatt ma jagħmel ħlief jitfi l-infurzar: m’hemmx swiċċ li minflok jissakkar kollox.
Il-browsers jaqbduh mas-sinkronizzazzjoni li jmiss: fi żmien 15-il minuta, aktar malajr jekk il-persuna tinnaviga. Waqfien huwa mmarkat urġenti fil-politika, iżda llum l-estensjoni ma ġġibux aktar malajr minn bidliet oħra. Ir-revoka ta’ browser u r-ritorn għal verżjoni preċedenti jaslu bl-istess mod.
L-infurzar fil-paġna
Il-content script ta’ LayerT jisma’ għas-sottomissjonijiet u l-paste qabel ma jarahom il-kodiċi tas-sit stess. Meta regola taqbel, LayerT jikkanċella l-avveniment, għalhekk it-talba tas-sit qatt ma tintbagħat. It-testijiet end-to-end jiċċekkjaw li ma tintbagħatx.
Il-prompts ta’ LayerT huma mibnija b’mod li paġna ma tistax tindaħal fihom:
- Huma mfassla f’shadow roots magħluqa, li l-iskripts tal-paġna ma jistgħux jilħqu.
- Il-buttuni tagħhom iwieġbu biss għal klikks u tagħfis ta’ tasti veri, mhux għal avvenimenti li joħloq skript.
- Qatt ma juru l-isem intern tar-regola. Juru l-messaġġ li kiteb l-amministratur.
- Qatt ma jitolbu password, u qatt ma jkun fihom qasam tal-password. Test jiċċekkja kull prompt.
- Sakemm ikun hemm prompt fuq il-paġna, l-ikona ta’ LayerT fit-toolbar turi tikka kulur l-ambra li l-paġna ma tistax tiffalsifika.
Talba għall-aċċess
Persuna mblukkata tista’ titlob aċċess, jekk ir-regola tippermetti dan.
- BrowserTalbaIl-persuna tispjega għaliex. It-talba għandha skadenza, 30 minuta b’mod predefinit.
- Console jew popupDeċiżjoniMin japprova jagħżel: tentattiv wieħed (ħames minuti), 15-il minuta, 1, 8 jew 24 siegħa, jew permanenti.
- Il-cloud ta’ LayerTApplikazzjoniL-approvazzjoni ssir eċċezzjoni f’politika ffirmata mill-ġdid, f’pass atomiku wieħed.
- BrowserTentattiv ġdidIl-prompt jaġġorna ruħu waħdu. Jekk il-persuna telqet, notifika fuq id-desktop tgħidilha.
- Ħadd ma jista’ japprova t-talba tiegħu stess. Is-server jirrifjutaha.
- Eċċezzjonijiet permanenti jistgħu jingħataw biss mill-Compliance Officer jew mill-Owner, qatt mill-IT.
- Talba li ħadd ma jiddeċiedi dwarha tiskadi awtomatikament.
- Dawk li japprovaw jisimgħu bit-talbiet fl-Inbox tal-console, fl-estensjoni, u bl-email, Slack jew notifika tal-browser, kif jagħżel kull wieħed. Jistgħu jiddeċiedu fil-console jew direttament minn Slack, u deċiżjoni minn Slack titniżżel fir-reġistru bħala tali.
X’jitniżżel fir-reġistru
Kull imblukkar, qbil ta’ regola ta’ monitoraġġ u użu ta’ eċċezzjoni joħloq avveniment tal-awditjar bis-sit, il-qasam, il-valur li qabel u l-persuna. Il-valuri jinżammu jinqraw apposta, biex awditur ikun jista’ jara li l-login imblukkat kien indirizz personali. L-avvenimenti tal-awditjar jinżammu għal 365 jum b’mod predefinit, u kull organizzazzjoni tista’ tibdel dan.