Kontijiet kondiviżi

Il-ħażna tas-sigrieti

Il-passwords, is-setup keys tal-authenticator (TOTP) u l-oqsma sigrieti tal-login jiġu kkriptati b’envelope encryption AES-256-GCM:

• Kull kont kondiviż jieħu data key każwali tiegħu ta’ 256 bit. Kull sigriet jiġi kkriptat biha b’nonce każwali tiegħu.
• Id-data key hija nfisha kkriptata (“imgeżwra”) minn key-encryption key miżmuma f’servizz taċ-ċwievet. Is-servizz jiftaħ fuq talba u qatt ma jagħti l-key-encryption key, u jniżżel kull użu fil-logs. Dan huwa mibni u jintuża fl-ambjent tat-test ta’ LayerT, fejn il-kontijiet kondiviżi huma kontijiet ta’ siti tal-prattika. Il-produzzjoni, li se tuża s-servizz taċ-ċwievet ta’ Google Cloud, m’għandha l-ebda deploy.
• Jinħażen biss ciphertext, f’tabella għalih, separat mill-impostazzjonijiet tal-kont. It-tħassir ta’ kont iħassar is-sigrieti tiegħu.
• Il-bidla ta’ password terġa’ tikkripta ż-żewġ sigrieti b’data key ġdida u titniżżel fir-reġistru.

Min jista’ juża kont

Kif persuna tiddaħħal

Ir-regola tas-sit eżatt

Kont kondiviż huwa marbut ma’ siti eżatti: l-iskema, il-host u l-port iridu jaqblu, mingħajr wildcards. Kont jista’ jelenka aktar minn sit wieħed, kull wieħed minnhom eżatt. https huwa obbligatorju. Il-browser jiċċekkja l-paġna, u s-service worker ta’ LayerT jerġa’ jiċċekkja bl-indirizz li Chrome jirrapporta għall-frame li qed jagħmel it-talba, mhux b’dak li tgħid il-paġna. Dominju li jixbah lill-veru ma jieħu xejn.

Formoli tal-login ġewwa frame

Xi siti juru l-formola tal-login tagħhom fi frame li jiġi minn indirizz ieħor tal-istess kumpanija, għalhekk il-paġna nnifisha m’għandha xejn x’timtela. LayerT isib il-formola hemmhekk, joffri l-kont fil-paġna bħas-soltu, jimla l-frame, u jgħid fuq il-paġna għal liema indirizz tappartjeni l-formola. Jimla frame biss meta jkunu veri dawn kollha:

• il-paġna ta’ fuq hija indirizz li jsemmi l-kont, imqabbel eżatt kif spjegat hawn fuq;
• il-frame jappartjeni lill-istess sit bħal dik il-paġna, fuq https, u l-istess jgħodd għal kull frame bejniethom;
• il-frame mhuwiex sandboxed; u
• il-frame jidher. Frame li ħadd ma jista’ jarah qatt ma jimtela.

Frame minn sit mhux relatat jiġi rrifjutat, u LayerT jgħid għaliex. Kont jista’ jiġi ssettjat għal indirizzi eżatti għall-frames ukoll, għal login li jixraqlu s-setup żejjed. LayerT qatt ma jagħfas il-buttuna tal-login għal formola fi frame.

Meta l-kont joħroġ minn gateway Aċċess bikri

Għal kont bir-routing permezz ta’ gateway mixgħul, is-sessjoni tiġi l-ewwel u l-paġna t-tieni. LayerT jibda s-sessjoni, jaqleb is-siti tal-kont għall-gateway tiegħu, u mbagħad biss jgħabbi l-paġna tal-login. Jekk il-persuna għażlet il-kont f’paġna tal-login li fetħet hi stess, LayerT ma jimliex dik il-paġna: jibda r-routing, iħassar il-cookies tal-kont, jerġa’ jgħabbi l-paġna permezz tal-gateway u jimlieha hemm. Id-dettalji u l-limiti jinsabu f’Sessjonijiet u reġistrazzjoni.

Il-protezzjoni tal-menu tal-kontijiet

Il-lista tal-kontijiet hija paġna tal-estensjoni murija ġewwa shadow root magħluq, għalhekk is-sit ma jistax jaqraha jew ibiddlilha d-dehra. Taċċetta biss klikks veri, u biss wara li tkun dehret kollha għal ftit, u dan jipproteġi kontra tricks li jżerżqu l-menu taħt il-cursor. Dan inaqqas ir-riskju ta’ clickjacking, mhux ineħħih. Tingħalaq jekk il-paġna tċaqlaqha, tgħattiha jew tbiddlilha d-dehra. Il-kontijiet jistgħu wkoll jiġu ssettjati biex jinfetħu biss mit-toolbar, u dan jitfi l-menu fil-paġna għalkollox.

Is-sottomissjoni tal-formola

L-auto-submit huwa mitfi b’mod predefinit. Sid jista’ jixgħlu biss wara li l-kont jgħaddi minn login tat-test, u l-pubblikazzjoni ta’ riċetta ġdida tal-login terġa’ titfih. Anki f’dak il-każ, LayerT jissottometti biss meta l-persuna tkun għażlet il-kont b’mod espliċitu, fuq is-sit eżatt, fil-frame ta’ fuq, bl-oqsma kollha mimlija għadhom jidhru, u qatt meta tillowdja l-paġna. CAPTCHA twaqqaf lil LayerT u tgħaddi l-kontroll lill-persuna.

Kodiċijiet tal-authenticator

LayerT jiġġenera l-kodiċijiet tal-authenticator fuq is-servers tiegħu (RFC 6238). Il-kodiċi attwali ta’ sitt ċifri biss jintbagħat lill-browser, meta jkun meħtieġ, u jimtela bħal password. Ir-reġistru tal-awditjar iniżżel li ntuża kodiċi, qatt il-kodiċi nnifsu.

Jekk kodiċi ma jidħolx, il-persuna li għandha s-sessjoni tista’ tara l-kodiċi attwali fil-popup ta’ LayerT fit-toolbar u tikkupjah. Ħadd ieħor ma jista’, u kull ħarsa titniżżel fir-reġistru.

Is-setup key (is-seed tat-TOTP) tibqa’ fuq is-servers ta’ LayerT. L-uniku mod biex taraha huwa talba għall-password li jridu japprovawha żewġ persuni, waħda minnhom Owner jew Compliance Officer. Tintwera darba (ara Talbiet għall-password).

Kodiċijiet mibgħuta bl-email

Xi fornituri jibagħtu kodiċi bl-email waqt il-login, jew meta ma jagħrfux il-browser. Jekk dik l-email tmur f’indirizz tat-tim bħal vendors@, Owner jew IT Admin jista’ jqabbad il-mailbox ma’ LayerT u jorbtu mal-kontijiet kondiviżi li l-emails tagħhom jaslu hemmhekk.

• Qari biss fis-sors. LayerT jaqra l-mailbox permezz ta’ IMAP b’lista qasira ta’ kmandi ta’ qari biss. Qatt ma jimmarka posta bħala moqrija, u qatt ma jċaqlaq, iħassar jew jibgħat xejn.
• Indirizzi tal-organizzazzjoni biss. Meta jitqabbad mailbox, Owner jikkonferma li huwa indirizz kondiviż jew ta’ rwol, mhux il-mailbox personali ta’ xi ħadd, u l-bażi legali biex jinqara.
• L-email tal-login biss, u biss matul is-sessjoni. Persuna b’aċċess għall-kodiċijiet biss tara biss l-emails tal-login tal-kont li tkun daħlet fih, u biss dawk li waslu matul is-sessjoni tagħha. Kodiċi normalment jasal fil-popup żewġ sa tliet sekondi wara li tasal l-email, u jekk il-passi tal-login tal-kont jistennew kodiċi bl-email, LayerT jimlieh.
• Ir-resets imorru għand is-sid. L-emails biex tinbidel il-password jew biex jinbidel il-kont qatt ma jintwerew lil min għandu aċċess għall-kodiċijiet biss, anki jekk ikunu mill-fornitur tal-kont stess. Minflok, is-sid tal-kont jiġi mgħarraf fl-Inbox. Email li tfalli l-verifiki tal-mittent qatt ma tintwera.
• Is-sidien jistgħu jgħallmuh. Kull kont jista’ jkollu regoli li jsemmu l-mittenti tal-kodiċijiet tiegħu. Sakemm ma jkunx hemm waħda, LayerT jagħraf l-emails tal-login mill-kliem tagħhom, u dan huwa stima.

Il-qari tal-mailbox kollu

L-aċċess sħiħ huwa awtorizzazzjoni separata, u jaħdem bħal kont kondiviż sensittiv: b’mod predefinit jeħtieġ approvazzjoni, idum 30 minuta, u jidher f’Sessjonijiet. Il-mailbox jintwera fil-console fil-modalità ta’ qari biss, b’watermark bl-isem ta’ min qed jaqra. Kull email li tinfetaħ tiġi rreġistrata. Il-posta tintwera bl-iscripts, il-formoli u l-kontenut remot mitfija, il-links jgħaddu minn paġna li turi d-destinazzjoni vera, u l-attachments jidhru f’lista iżda ma jistgħux jitniżżlu sakemm l-organizzazzjoni tagħkom ma tippermettix dan.

Fiduċja fl-apparat

Meta tintemm sessjoni, LayerT iħassar il-cookies tas-sit, u b’hekk il-persuna toħroġ. Dan iħassar ukoll il-cookie “ftakar dan l-apparat” tal-fornitur, għalhekk kull login jista’ jidher bħala apparat ġdid. Kont jista’ jsemmi l-cookies li għandhom jinżammu. LayerT iżomm il-lista biss wara li login ta’ prova juri li hija sigura: wara tmiem simulat tas-sessjoni, il-paġna tal-login trid terġa’ tidher. Jekk ma tidhirx, il-lista tiġi rrifjutata b’“Jekk jinżammu dawn il-cookies, il-persuna tibqa’ fil-kont.”

Oqsma tal-login u noti

Xi siti jitolbu aktar minn username u password, bħal ID tal-kont, ID tal-organizzazzjoni jew PIN. Kont jista’ jżomm oqsma tal-login addizzjonali. Qasam ġdid huwa sigriet b’mod predefinit: qasam sigriet jiġi ssiġillat bħall-password u jimtela biss f’kaxxi tat-tip password. Qasam muri, bħal ID ta’ kont AWS, jidher lin-nies li jistgħu jużaw il-kont. L-oqsma addizzjonali jimtlew mir-riċetta tal-login tal-kont, qatt ma jiġu ndovinati.

Kull kont għandu wkoll noti għal dak li n-nies jeħtieġu jkunu jafu (“użaw ir-reġjun ta’ Singapore”, “timmarkawx remember me”), kull waħda bl-awtur u l-istorja tal-editjar tagħha.

X’tista’ tara l-persuna u x’ma tistax

Waqt login, LayerT qatt ma juri l-password. Mhijiex fil-launcher, fil-menu, fin-notifiki jew fir-reġistru tal-awditjar, u LayerT qatt ma jissejvjaha fil-browser. L-ebda regola ma taqra password jew kodiċi li mela LayerT, ikunu liema jkunu l-oqsma li ssemmi r-regola, għalhekk lanqas ir-rekord ta’ regola ma jista’ jkun fih. L-unika eċċezzjoni hija talba għall-password, hawn taħt.

It-tmiem ta’ sessjoni

• Fil-ħin. Minuta qabel it-tmiem, LayerT joffri Extend jew Sign out now. Fit-tmiem, iħassar il-cookies tas-sit u l-ħażna tas-sit fit-tab, u b’hekk il-persuna toħroġ.
• Minn amministratur. Owner jew IT Admin jista’ jtemm sessjoni attiva mill-console, b’raġuni. LayerT jirrifjuta minnufih kwalunkwe awtorizzazzjoni oħra għal dik is-sessjoni, u l-browser tal-persuna joħroġ fi żmien madwar minuta. Il-persuna tiġi mgħarrfa li amministratur temmha, mhux min jew għaliex.
• Mal-offboarding. Meta d-direttorju tagħkom jiddiżattiva lil xi ħadd, jew ineħħih minn grupp, LayerT jagħlaq it-talbiet u s-sessjonijiet tiegħu kullimkien.

It-twaqqif ta’ kont

• Sejbien. LayerT isib l-oqsma tal-login awtomatikament. Fejn mhuwiex ċert, jitlob lill-persuna tipponta lejn il-qasam, u jissejvja dan bħala tiswija ssuġġerita biex is-sid tal-kont jirrevediha. Qatt ma tiġi applikata awtomatikament għal ħaddieħor.
• Reġistrazzjoni ta’ riċetta. Għal-login f’diversi passi, sid jirreġistra l-passi darba. Ir-riċetta taħżen fejn huma l-oqsma, qatt dak li ġie ttajpjat.
• Login tat-test. Tħaddim li jista’ jagħmlu s-sid biss, u li jitniżżel fir-reġistru, li jipprova li r-riċetta taħdem qabel ma l-auto-submit ikun jista’ jinxtegħel.
• Siti oħra. Kont jista’ jelenka s-siti l-oħra li juża, bħal indirizz separat tal-login, indirizz eżatt wieħed f’kull linja.
• Riċetti ffirmati. Il-firma ta’ kull riċetta tiġi vverifikata qabel ma taħdem. Jekk il-verifika tfalli, LayerT imur lura għas-sejbien awtomatiku, qatt ma jissottometti l-formola, u jirrapporta għaliex.
• Ir-riċetti ta’ LayerT stess. Għal xi siti LayerT iġib ir-riċetta ffirmata tiegħu stess, u t-tab Login tal-kont tgħid liema riċetta qed tintuża. Ġew ittestjati kontra siti fittizji ta’ fornituri u sostituti.
• Is-saħħa tal-login. Il-console turi, għal kull sit u kont, liema logins ħadmu u fejn waqfu l-oħrajn, bil-kliem, fl-aħħar 7, 30 jew 90 jum.
• Importazzjoni. Amministratur jista’ jimporta kontijiet minn esportazzjoni ta’ JumpCloud Password Manager. Il-fajl jinqara fil-browser tal-amministratur; il-preview qatt ma turi password, u l-kontijiet li toħloq imbagħad jiġu ssiġillati fuq is-servers ta’ LayerT bħal kull kont ieħor. Kull importazzjoni titniżżel fir-reġistru.

Talbiet għall-password

Kultant persuna verament għandha bżonn tara password, setup key jew qasam sigriet: biex tgħaddih lit-tim tal-appoġġ ta’ fornitur, jew biex twaqqaf apparat ġdid.

Esportazzjoni break-glass

Esportazzjoni offline għall-irkupru minn diżastru hija kriptata, u biex tinfetaħ jeħtieġu żewġ kustodji, kull wieħed bil-passphrase tiegħu. Il-ġenerazzjoni ta’ waħda titniżżel fir-reġistru.

Limiti

• LayerT qatt ma jagħfas il-buttuna tal-login għal formola ġewwa frame: jimla, u l-persuna tissottometti. Frame minn sit mhux relatat, frame sandboxed u frame li ħadd ma jista’ jarah jiġu rrifjutati.
• Formoli mfassla fuq canvas, jew ġewwa shadow roots magħluqa ta’ sit, mhumiex appoġġjati.
• LayerT għadu ma jibdilx il-passwords awtomatikament.
• Il-kodiċijiet mibgħuta b’messaġġ tat-test u l-approvazzjonijiet push mhumiex immaniġġjati. Il-kodiċijiet mibgħuta bl-email huma, meta l-indirizz ikun mailbox kondiviż imqabbad.
• It-talbiet għall-password jibagħtu allert hekk kif il-valur jintwera. L-esportazzjonijiet għadhom ma jibagħtux allerti Propost; jinsabu fir-reġistru tal-awditjar.