Whitepaper ta’ LayerT
Fail-closed mid-disinn
Kontroll li jaħdem fil-browser għandu dgħufija ovvja: il-browser jinsab fuq il-laptop tal-impjegat. Jekk il-laptop jista’ bil-kwiet jieqaf jirċievi l-politika, jew jaċċetta politika li m’għandux jaċċetta, il-kontroll isir suġġeriment. Dan id-dokument jiddeskrivi kif LayerT jagħlaq dawn il-lakuni b’politika ffirmata u b’fail-closed bħala l-imġiba predefinita, u kif jidher dan għall-persuna quddiem it-tastiera.
Għaliex tinforza fil-browser, fl-ewwel lok
L-għodod tas-sigurtà tan-netwerk jaraw traffiku kriptat lejn sit web. Ma jistgħux jaraw x’ġie ttajpjat f’formola tal-login, jew ta’ min kien il-kont. Sa ma talba tasal fin-netwerk, login personali fuq laptop tax-xogħol jidher eżatt bħal wieħed tax-xogħol.
LayerT jaħdem fejn isir it-tajpjar. Il-content script tiegħu jara l-valur fil-qasam, iqabblu mar-regoli tagħkom, u jaġixxi qabel ma l-kodiċi tas-sit stess jibgħat it-talba. Din il-pożizzjoni hija l-vantaġġ tal-prodott, u hija wkoll ir-raġuni għaliex il-politika li jinforza trid tkun affidabbli.
Politika waħda, firma waħda
L-amministraturi jiktbu r-regoli fil-console bħala abbozzi. Il-pubblikazzjoni tbiddel l-abbozzi kollha pendenti f’verżjoni ġdida waħda tal-politika tal-organizzazzjoni tagħkom. In-numri tal-verżjonijiet jiżdiedu biss, u kull pubblikazzjoni tieħu n-numru li jmiss taħt lock, għalhekk żewġ amministraturi ma jistgħux jipproduċu l-istess verżjoni.
- ConsoleAbbozziIr-regoli, il-bidliet fil-listi u r-revoki tal-eċċezzjonijiet jitħejjew. Reviżjoni fakultattiva minn żewġ awturi.
- Il-cloud ta’ LayerTKompilazzjoniIr-regoli, l-eċċezzjonijiet approvati u l-listi tan-nies jinġabru f’dokument wieħed għall-organizzazzjoni kollha.
- Il-cloud ta’ LayerTIffirmarJSON kanoniku (iċ-ċwievet issortjati, il-firma eskluża) iffirmat b’Ed25519.
- BrowserVerifikaIvverifikat b’Web Crypto kontra ċ-ċwievet mibnija fl-estensjoni.
Id-dokument iffirmat iġorr l-organizzazzjoni li jappartjeni għaliha, il-verżjoni tiegħu, meta nħareġ u meta jiskadi. Ir-ritorn lura ma jreġġax lura l-istorja. Jippubblika r-regoli l-qodma bħala verżjoni ġdida u ogħla, u jżomm kwalunkwe eċċezzjoni approvata minn dak iż-żmien ’l hawn.
X’jiċċekkja l-browser
L-estensjoni ġġib il-politika kull 15-il minuta, meta jibda l-browser u wara navigazzjoni, b’talbiet kundizzjonali, għalhekk politika li ma nbidlitx ma tiswa kważi xejn. Qabel ma tuża politika, tivverifika:
| Verifika, f’ordni | Tirrifjuta |
|---|---|
| Verżjoni | Kull ma mhuwiex aktar ġdid minn dak li diġà għandha, biex politika qadima ma tkunx tista’ tintbagħat mill-ġdid |
| Organizzazzjoni | Politika ta’ kwalunkwe organizzazzjoni li mhijiex tagħha |
| Ċavetta | Kull ma ġie ffirmat b’ċavetta li l-estensjoni ma tafx |
| Firma | Kull ma ma jgħaddix mill-verifika kontra ċ-ċavetta pubblika mibnija fl-estensjoni |
| Skadenza | Politika li għaddiet il-ħin tal-iskadenza tagħha, skont l-arloġġ tal-laptop |
Politika rrifjutata tintrema, u l-browser iżomm dik li kellu. Jistgħu jinbnew diversi ċwievet pubbliċi fl-istess ħin, għalhekk iċ-ċavetta tal-iffirmar tista’ tinbidel mingħajr interruzzjoni. Iċ-ċavetta tal-iffirmar tinżamm f’servizz taċ-ċwievet u ma tistax tiġi esportata: is-servers ta’ LayerT jitolbu lis-servizz għal kull firma. Iċ-ċavetta hija protetta bis-software. Is-servizz joffri dan it-tip ta’ ċavetta (Ed25519) fis-software biss, għalhekk ma tinżammx f’modulu tas-sigurtà tal-hardware. Dan huwa mibni u jintuża fl-ambjent tat-test ta’ LayerT. Il-produzzjoni, li se żżomm iċ-ċavetta f’Google Cloud KMS, m’għandha l-ebda deploy. Il-builds tal-iżvilupp jiffirmaw b’ċavetta lokali li l-builds tal-estensjoni għall-produzzjoni ma jafdawhiex.
Fuq xiex tista’ taġixxi regola
Ir-regoli bdew bil-login: regola ssemmi qasam, u LayerT jiċċekkja dak li jiġi ttajpjat hemm meta formola tiġi sottomessa, jew dak li jiġi ppejstjat f’kaxxa tat-test ta’ linja waħda.
Ir-regoli jistgħu jaġixxu wkoll fuq test ittajpjat f’qasam, u fuq fajl mogħti lil paġna permezz ta’ kaxxa tal-fajls, drop jew paste, evalwat skont ismu jew skont it-test ġewwa fajl ta’ test sempliċi sa 1 MB. Fajl li jaqbel ma’ regola ta’ mblukkar qatt ma jasal għand il-paġna.
Parti minn dan issegwi l-istess prinċipju bħall-bqija ta’ dan id-dokument. Regola dwar it-test ta’ fajl twaqqaf ukoll fajl li LayerT ma jistax jaqrah, bħal stampa, PDF jew dokument tal-Office, u tgħid li ma setgħetx tiċċekkjah. Input li LayerT ma jistax jevalwa jitwaqqaf, ma jitħalliex jgħaddi.
Fail-closed
Kull politika tiskadi 7 ijiem wara li tinħareġ. LayerT jerġa’ jiffirmaha awtomatikament 48 siegħa qabel, għalhekk browser konness qatt ma jara politika skaduta. Jaraha biss browser li jkun ilu ġranet ma jkunx jista’ jilħaq lil LayerT.
Meta jiġri dan, LayerT ma jmurx lura għal “ħalli jgħaddi”. Fuq kwalunkwe paġna koperta minn regola ta’ imblukkar jew ta’ logout sfurzat, iwaqqaf is-sottomissjoni tal-formoli u l-paste fl-oqsma tar-regola, u juri kard li tispjega għaliex:
Connectivity required (hija meħtieġa l-konnessjoni). LayerT ma setax jaġġorna l-politika ta’ dan il-browser, għalhekk ma jistax jiċċekkja din l-azzjoni. Ikkonnettjaw man-netwerk tagħkom, imbagħad erġgħu ppruvaw.
Ir-regoli ta’ twissija u ta’ monitoraġġ jibqgħu jaħdmu. Meta l-browser jerġa’ jikkonnettja u jieħu politika ġdida, il-kard titneħħa waħedha fi żmien madwar 30 sekonda, mingħajr reload.
L-istess kard twaqqaf fajl mogħti lill-oqsma ta’ regola tal-fajls, u Enter f’qasam li tosserva regola tal-ittajpjar, mingħajr ma taqra xejn.
Żewġ funzjonijiet aktar ġodda jaġixxu fail-closed bl-istess mod.
Regoli għal grupp tad-direttorju. Regola tista’ tapplika għan-nies fi grupp tad-direttorju, jew għal kull min mhuwiex fih. Kull browser jirċievi tweġiba ffirmata dwar il-gruppi tal-persuna tiegħu stess, valida għal 24 siegħa. Browser li m’għandux tweġiba aġġornata jwaqqaf l-azzjoni fuq paġni fejn regola ta’ mblukkar issemmi grupp, bħalma jagħmel meta l-politika tiegħu tkun skaduta.
Tkomplija b’raġuni. Regola ta’ formola jew ta’ paste tista’ tħalli lin-nies ikomplu minn blokk billi jagħtu raġuni. LayerT iħalli l-azzjoni tgħaddi biss wara li s-server ikun irreġistra r-raġuni. Offline, jew meta LayerT ma jkunx jista’ jintlaħaq, tibqa’ mblukkata u l-kard iżżomm dak li ġie ttajpjat.
Għażilna l-fail-closed biss fejn tapplika regola tal-imblukkar, mhux fuq il-web kollu. Politika skaduta fuq laptop twaqqaf il-login riskjuż. Ma twaqqafx lill-persuna milli taqra l-aħbarijiet.
Il-waqfien ta’ emerġenza
Kultant ikollkom bżonn l-infurzar mitfi, kullimkien, issa: regola hija żbaljata u qed timblokka lit-tim tal-bejgħ. L-Owner jista’ jħaddem waqfien ta’ emerġenza. Il-waqfien innifsu huwa verżjoni ffirmata tal-politika, għalhekk ħadd ma jista’ jibgħat lil browser waħda falsifikata biex jitfi lil LayerT. Jitniżżel fir-reġistru, u l-browsers jaqbduh mas-sinkronizzazzjoni li jmiss: fi żmien 15-il minuta, aktar malajr jekk il-persuna tinnaviga. Il-waqfien huwa mmarkat urġenti ġewwa l-politika, iżda llum l-estensjoni ma ġġibux aktar malajr minn bidliet oħra.
Eċċezzjonijiet mingħajr backdoors
Regola tista’ tħalli lin-nies imblukkati jitolbu aċċess. Min japprova jagħżel għal kemm żmien: tentattiv wieħed (tieqa ta’ ħames minuti), 15-il minuta, jew 1, 8 jew 24 siegħa. Eċċezzjonijiet permanenti jistgħu jingħataw biss mill-Compliance Officer jew mill-Owner, qatt mill-IT, għalhekk in-nies li jiktbu r-regoli mhumiex in-nies li jagħtu eċċezzjonijiet dejjiema għalihom.
Approvazzjoni ssir parti minn politika ffirmata mill-ġdid, f’pass atomiku wieħed, għalhekk eċċezzjoni hija affidabbli eżatt daqs ir-regola li trattab. Ħadd ma jista’ japprova t-talba tiegħu stess. Is-server jirrifjuta. It-talbiet li ħadd ma jiddeċiedi dwarhom jiskadu.
Infurzar li paġna ma tistax taħrab minnu
LayerT jaġixxi fuq is-sottomissjoni tal-formoli u l-paste qabel ma jaħdmu l-handlers tas-sit stess, u jikkanċellahom meta regola taqbel, għalhekk it-talba tas-sit qatt ma titlaq. Fajl li jaqbel ma’ regola ta’ mblukkar jitwaqqaf bl-istess mod, qabel ma jarawh il-handlers tal-paġna stess. It-test ittajpjat huwa differenti: ikun fil-paġna mill-ewwel tasta, għalhekk regola tal-ittajpjar twaqqfu milli jintbagħat b’formola, b’buttuna submit jew b’Enter, u ma tistax tieħdu lura minn paġna li tibgħat waqt li tittajpjaw. Il-prompts li jispjegaw imblukkar huma mibnija biex jirreżistu l-paġna li fuqha jitfasslu:
- shadow roots magħluqa li l-iskripts tal-paġna ma jistgħux jilħqu,
- buttuni li jwieġbu biss għal klikks u tagħfis ta’ tasti veri,
- qatt oqsma tal-password, u footer li jgħid li LayerT qatt ma jitlob password,
- tikka kulur l-ambra fuq l-ikona ta’ LayerT stess fit-toolbar, li l-paġna ma tistax tpinġi.
X’jitniżżel fir-reġistru
Kull imblukkar, twissija, qbil ta’ regola ta’ monitoraġġ u użu ta’ eċċezzjoni jitniżżel fir-reġistru bir-regola, l-indirizz tal-paġna, il-qasam, il-valur li qabel u l-persuna. Meta regola taqbel, LayerT jirreġistra dak li qabel magħha, u għal regola tal-ittajpjar it-test tal-qasam, biex awditur ikun jista’ jiċċekkja d-deċiżjoni. Regola tista’ timmaskja jew taħbi l-valuri tagħha.
- Il-valuri jinqraw b’mod predefinit, biex awditur ikun jista’ jikkonferma li dak li ġie mblukkat kien verament kont personali. Il-browser dejjem jibgħat il-valur, u s-setting ta’ regola biex timmaskjah jew taħbih jiġi applikat fuq is-server qabel ma jinħażen xejn.
- Regola tal-ittajpjar iżżomm il-qasam kollu kif kien meta r-regola qablet, sa 10,000 karattru, mhux biss il-parti li qablet.
- Regola tal-fajls iżżomm l-isem, it-tip u d-daqs tal-fajl, u jekk LayerT setax jaqrah. It-test ta’ fajl jinqara fil-browser u qatt ma joħroġ minnu.
- Raġuni mogħtija biex wieħed ikompli minn blokk tinżamm ma’ dak li qabel, bi kliem il-persuna stess.
- L-ebda regola ma taqra password jew kodiċi li mela LayerT, għalhekk il-password ta’ kont kondiviż ma tistax tasal fir-rekord ta’ regola. Regola tal-ittajpjar qatt ma taqra kaxxa tal-password jew kaxxa tal-kodiċi għal użu wieħed, f’ebda każ.
- Regola ta’ formola jew ta’ paste taqra l-oqsma li ssemmi, u dawn jistgħu jinkludu kaxxa tal-password li persuna ttajpjat fiha hi stess. Valur bħal dan jiġi rreġistrat b’mod li jinqara, ħlief jekk ir-regola tkun issettjata biex timmaskja jew taħbi l-valuri tagħha.
L-avvenimenti tal-awditjar jinżammu għal 365 jum b’mod predefinit.
X’hemm f’pakkett, u x’jista’ jagħmel laptop kompromess
Il-politika ffirmata li jirċievi browser tissejjaħ pakkett tal-politika (policy bundle). Huwa dokument JSON wieħed għall-organizzazzjoni kollha: kull regola, il-listi li jirreferu għalihom ir-regoli, l-impostazzjoni tal-waqfien ta’ emerġenza, il-lista tal-browsers revokati u kull eċċezzjoni approvata fis-seħħ. Qatt ma jkun fih passwords tal-kontijiet kondiviżi, kodiċijiet tal-authenticator, kredenzjali tal-apparat jew ċwievet tal-iffirmar. Dawk jivvjaġġaw separatament, login wieħed kull darba, u jibqgħu fil-memorja.
Minn dan id-disinn joħorġu żewġ konsegwenzi, li ngħiduhom kif inhuma.
Kull laptop iżomm il-pakkett tal-organizzazzjoni kollha. Illum kull browser jirċievi l-istess pakkett, għalhekk kull laptop b’browser approvat iżomm l-allowlists ta’ nies oħra, u kull eċċezzjoni fis-seħħ bil-valur li ġie approvat, min approvah u r-raġuni li ngħatat. Is-sħubija fil-gruppi m’għadhiex tivvjaġġa fil-pakkett: kull browser jirċievi tweġiba ffirmata dwar il-gruppi tal-persuna tiegħu stess, u ma jsir jaf dawk ta’ ħadd aktar. Pakketti limitati għal persuna waħda huma parti mid-disinn ta’ LayerT iżda mhumiex mibnija. Ittrattaw il-pakkett bħala data interna tal-kumpanija.
Il-firma tipproteġi l-pakkett fit-tranżitu, mhux meta jkun maħżun. Il-browser jivverifika pakkett darba, meta jasal, imbagħad jissejvjah bħala JSON sempliċi fil-profil tal-browser u jinforza dak li ssejvja. Meta jkun maħżun, jipproteġih biss il-kriptaġġ tad-diska tal-laptop. Għalhekk:
| Min | X’jista’ jagħmel |
|---|---|
| Paġna web | Xejn lill-pakkett. Ma tistax taqra l-ħażna tal-estensjoni jew tibgħat messaġġi lill-estensjoni |
| Xi ħadd fuq in-netwerk | Jittardja l-aġġornamenti sa 7 ijiem, u wara r-regoli tal-imblukkar jaġixxu fail-closed. Ma jistax jiffalsifika, jibdel jew jerġa’ jibgħat pakkett |
| Il-persuna, jew software li jaħdem f’isimha | Jaqra l-pakkett kollu. Software li jista’ jikteb fil-ħażna tal-estensjonijiet tal-profil jista’ jibdlu u jitfi l-infurzar |
| Amministratur, jew malware bi drittijiet ta’ admin | Jegħleb lil LayerT fuq dak il-laptop: jeditja l-ħażna, ineħħi l-politiki, jissostitwixxi l-estensjoni jew jibdel l-arloġġ |
| Xi ħadd li għandu laptop imsakkar bil-kriptaġġ tad-diska | Xejn fil-profil. Irrevokaw il-browser xorta waħda |
Ebda kontroll li jaħdem ġewwa browser ma jista’ jżomm quddiem amministratur fuq l-istess laptop, u LayerT ma jippretendix li jista’. Jistrieħ fuq il-kontrolli li għandu jkollha kull flotta mmaniġġjata: kriptaġġ tad-diska kollha, ebda dritt ta’ amministratur lokali, LayerT installat b’mod sfurzat permezz tal-MDM tagħkom, l-għodod tal-iżviluppatur għall-estensjonijiet u d-developer mode imblukkati, u proċedura li tirrevoka l-browser, tissospendi lill-persuna u ssakkar il-laptop flimkien. Ir-revoka ta’ browser taqtgħu barra minn LayerT u twaqqfu milli jinforza. Ma ssakkrux.
Ksur tas-sigurtà tas-servers ta’ LayerT stess huwa differenti. Attakkant li jikkontrolla l-applikazzjoni ta’ LayerT jista’ jitlob lis-servizz taċ-ċwievet jiffirma sakemm iżomm dak l-aċċess, u l-browsers jaċċettaw dak li jiffirma. Ma jistax jikkopja ċ-ċavetta barra, kull talba għal firma titniżżel fil-logs, u t-tneħħija tal-aċċess tiegħu ttemm dan. L-analiżi sħiħa, każ b’każ, tinsab f’Pakketti tal-politika u apparat kompromess.
Limiti
- Ir-regoli jaġixxu fuq is-sottomissjoni tal-formoli, il-paste, it-test ittajpjat u l-fajls mogħtija lil paġna. LayerT jaqra test sempliċi biss, u mhuwiex skaner tal-kontenut: ma jħarisx ġewwa PDFs, fajls tal-Office jew stampi.
- Data li paġna tibgħat waħedha, mingħajr formola, paste, qasam ittajpjat jew fajl mogħti lilha, hija barra minn kull regola.
- Regola tal-ittajpjar ma tistax iżżomm it-test barra mill-paġna. Tgħarraf lill-persuna u twaqqaf it-test milli jintbagħat b’formola, b’buttuna submit jew b’Enter.
- It-tkomplija b’raġuni, u r-regoli għal grupp tad-direttorju, jiddependu mis-servers ta’ LayerT. Offline, raġuni ma tistax tiġi rreġistrata, u browser iżomm l-aħħar tweġiba tiegħu dwar il-gruppi tal-persuna tiegħu sa 24 siegħa.
- Paġna miftuħa żżomm ir-regoli li tgħabbiet bihom sakemm terġa’ titgħabba jew jinbidel l-indirizz tagħha.
- Il-waqfien ta’ emerġenza u r-regoli ġodda jaslu f’browser mas-sinkronizzazzjoni li jmiss, mhux immedjatament.
- Pakkett jiġi vverifikat meta jasal, mhux kull darba li jinqara. Xi ħadd li jista’ jikteb fil-ħażna tal-estensjonijiet tal-profil tal-browser, jew li għandu drittijiet ta’ amministratur lokali, jista’ jegħleb l-infurzar fuq dak il-laptop. Tagħtux drittijiet ta’ admin lokali lin-nies.
- Kull browser iżomm il-pakkett tal-organizzazzjoni kollha, inklużi l-eċċezzjonijiet approvati ta’ nies oħra.
- L-iskadenza tiġi ġġudikata skont l-arloġġ tal-laptop.
- Il-pakkett iffirmat tal-estensjoni li l-MDM jinstalla b’mod sfurzat huwa mibni u joħroġ mal-ewwel rilaxx ta’ LayerT fil-produzzjoni. Għadu ma tħaddimx fuq magna mmaniġġjata. L-installazzjoni sfurzata twaqqaf lin-nies milli jitfu lil LayerT mill-impostazzjonijiet ta’ Chrome. Ma twaqqafx amministratur.
L-aħjar mod kif tiġġudikaw disinn fail-closed huwa li tippruvaw tkissruh. Ġibu l-aktar mistoqsijiet diffiċli tagħkom għal demo, u nurukom x’jiġri.