局限与待完成工作

LayerT 不是什么

• 不是内容扫描器。 规则作用于表单提交、粘贴、输入的文字以及交给页面的文件，文件按文件名，或按纯文本文件中的文字。LayerT 只读取纯文本。它不查看 PDF、Office 文件或图片的内部，没有现成的检测器库，不对数据进行分类，不读取也不控制剪贴板。
• 不是网络控制。 它在浏览器内工作。来自其他应用、其他浏览器或命令行的流量不在其范围之内。
• 不是零知识保险库。 LayerT 的服务器能够解密共享账号密码和录制，用于经批准且会被记录的用途。
• 不是不留记录。 规则匹配时，LayerT 会记录匹配到的内容，对于输入规则则会记录该字段的文字，以便审计人员核查这一判定。规则可以遮盖或隐藏其值。
• 不是设备证明（device attestation）。 每个浏览器的凭据都绑定到一个在该浏览器中生成且无法导出的密钥。该密钥由软件保护，而不是由 TPM 或 Secure Enclave 保护；批准浏览器并不能证明设备归公司所有或受公司管理。
• 没有获得认证。 LayerT 尚未正式发布，未持有 SOC 2、ISO 27001 或类似认证。它为您自己的审计提供证据。

覆盖范围

LayerT 所做之事的局限

规则

• 规则只读取纯文本。 针对文件文字的规则读取不超过 1 MB 的纯文本文件。它不查看 PDF、Office 文档、图片或压缩包的内部，而是拦下这些文件，并说明它无法检查它们。
• 网站自身的后台上传不会被检查。 页面在没有表单、粘贴、输入字段，或通过文件选择框、拖放或粘贴交给它的文件的情况下自行发送的数据，不在任何规则的范围之内。
• 输入规则无法让文字不进入页面。 文字从第一次按键起就在页面中，而边输入边发送的页面（搜索建议、自动保存的草稿）已经拿到了它。输入规则会告知当事人，并阻止这些文字通过表单、提交按钮或 Enter 键发送出去。
• 粘贴规则不是剪贴板控制。 它们对粘贴到规则指定的单行文本框中的内容采取行动。LayerT 不读取也不控制剪贴板。
• 没有检测器库。 规则使用管理员编写的模式。LayerT 不附带针对银行卡号或证件号码的现成检查。
• 文件规则和输入规则无法豁免。 它们不提供申请例外，也不提供说明理由后继续。这样的规则就是一个普通的阻止。
• 说明理由后继续需要 LayerT 的服务器。 离线时，该操作保持阻止。有人继续时不会通知任何人：理由记录在“规则命中”、审计日志和导出文件中。
• 针对群组的规则跟随您的目录，但有延迟。 变更会在大约 15 分钟内到达正在运行的浏览器。离线的浏览器最多会把关于其使用者所属群组的最后一份应答保留 24 小时。
• 已打开的页面会沿用加载时的规则，直到重新加载或其地址发生变化。
• 最新的规则功能尚未在测试环境中运行过。 针对输入文字、文件和目录群组的规则，以及说明理由后继续，均已构建，并在真实浏览器中经过端到端测试。它们尚未在 LayerT 的测试环境中运行过。

规则会记录什么

• 规则匹配到的内容会被记录，默认可读。 输入规则会保留整个字段，最多 10,000 个字符，而不仅是匹配的部分。在聊天输入框中，这就是当事人在匹配内容前后写下的文字。请将其视为对员工的监控：告知您的员工，并对其进行评估。
• 值不会在浏览器中被遮盖。 浏览器始终发送匹配到的值。规则的遮盖或隐藏该值的设置是在 LayerT 的服务器上、在存储任何内容之前应用的。
• 表单或粘贴规则可以读取某人输入的密码。 这些规则读取它们所指定的字段，其中可能包括某人自己输入了内容的密码框。该值会以可读形式记录，除非该规则设置为遮盖或隐藏其值。输入规则从不读取密码框。
• LayerT 依据输入框和确切的值来识别自己的填写。 任何规则都不会读取 LayerT 填写的密码、验证码或机密登录字段。如果网站的页面更改了已填写的密码，并把结果放进一个不是密码框的输入框，那就是一个新的值，指定了该输入框的表单规则会读取它。
• LayerT 填写的用户名仍会被判定，并被记录。 覆盖该页面的登录规则会看到 LayerT 为共享账号填写的用户名，放行这次登录，并将其记录为一次例外，同时记录用户名。
• 尚未发送的事件留在浏览器中。 扩展程序的存储中可能保存着尚未送达的事件，包括匹配到的值。

新浏览器及其密钥

• 批准是一个人做出的决定，而不是关于设备的证明。 浏览器对自身安装方式的报告只是它的一面之词。LayerT 不对设备进行证明，批准浏览器并不能证明它归公司所有或受公司管理。
• 所有者或 IT 管理员可以批准自己的浏览器。 审计日志会记下审批人是谁。
• 用其账号设置浏览器的人不会收到邮件通知。 所有者和 IT 管理员会收到通知，收件箱会列出每一个等待中的浏览器。
• 通过设备策略下发的注册令牌尚未构建。 它会把设置与您的设备管理绑定起来，是更持久可靠的检查。
• 浏览器的密钥由软件保护，而不是硬件。 它无法通过浏览器导出，这能阻止网页和其他扩展程序。它不能阻止以该人员身份运行的软件在那台机器上使用该密钥。该密钥的定期轮换尚未构建。

共享账号与会话

• 获得授权的人可以使用开发者工具从供应商的字段中读取已填写的密码。 LayerT 的保护依靠审批、时间限制、审计和离职处理，而不是对已登录的人保密。
• LayerT 从不在框架中按下登录按钮。 它会填写位于同一网站框架内的登录表单，由当事人提交。
• 退出共享账号会清除整个网站的 Cookie，包括人员本人在该网站上的会话（如果有的话）。
• 在某些网站上，退出登录也会让人员退出其在该网站上的其他账号。 如果供应商在上级域名下与其其他服务共享 Cookie，清除共享账号的 Cookie 也会清除这些服务的 Cookie。LayerT 会在首次登录前告知一次。
• 读取共享邮箱的权限很大。 任何能读取整个收件箱的人，都可以对注册在该地址下的任何服务使用“忘记密码”。因此，完整访问需要审批、有时间限制、带有水印，并逐封邮件记录。这无法做到完全杜绝。
• 识别登录邮件只是一种尽力推测，直到账号负责人为该供应商的发件人编写规则为止。在此之前，部分验证码可能无法识别。
• 连接邮箱意味着 LayerT 会保存该邮箱邮件的副本，默认保存 30 天（最长 365 天）。您与 LayerT 的数据处理条款需要涵盖这一点。
• 远程退出登录最长需要大约一分钟才能到达浏览器。在此之前，供应商的会话 Cookie 在该浏览器中仍然有效。
• 录制会显示页面文本，除非为该账号开启了文本遮盖；录制是证据，而不是无法篡改的证明。
• 录制会显示页面回显的内容。 人员输入的内容在输入位置被遮盖，即在表单字段和富文本编辑器中，每个账号都是如此。当网站随后把它作为自己的内容显示出来时（对话中一条已发送的消息、一个“……的搜索结果”标题、一段预览），那就是页面文本，除非为该账号开启了文本遮盖，否则它会被录制。有些页面还会在自己的标记中保留一份看不见的输入内容副本，而文本遮盖并不能覆盖每一份这样的副本。
• 录制按原样保存地址。 页面和请求的地址不经遮盖地被录制，不论文本遮盖设置如何。如果网站把输入的文字放进地址（例如搜索词），它也就进入了录制。
• 录制会显示勾选、选择和文件名。 勾选了哪些复选框、选择了哪个单选项以及所选文件的名称都会被录制。文件的内容不会被录制，在下拉列表中选中的选项也不会。
• 终端在录制中不会被遮盖。 LayerT 不把终端模拟器视为编辑器，因此在网页终端中输入的命令会作为页面文本被录制，除非开启了文本遮盖。仅靠样式变为可编辑的区域，以及自行绘制文字且不为 LayerT 所认识的编辑器，也是如此。
• 录制尚未在测试环境中运行过。 录制及其遮盖已构建，且只在开发环境中测试过。
• 水印用于威慑和追溯。 开发者工具、关闭扩展程序或手机拍照都可以绕过它。
• 登录结果是推断出来的。 LayerT 根据页面接下来的行为判断共享账号登录是否成功，而不是根据供应商的反馈。

网关 抢先体验

• 网关只在我们的测试环境中运行过，使用的是测试服务器和练习网站的账号。
• 已打开的连接不会被切断。 会话结束或被吊销时，网关会立即拒绝新的连接。已经打开的连接不会被切断。
• 手动输入的供应商地址，其第一个页面走直连。 自己输入供应商地址的人，会从自己的地址加载这第一个页面。在有会话之前，LayerT 无法路由。
• 直连会显示当事人自己的地址。 默认情况下，无法连接到其网关时，已路由的登录不会被打开。设置为直连的账号则会改从当事人自己的地址打开，这是该账号自己的选择。
• 代理由别处管理的浏览器无法使用设置为拒绝的账号。 如果某项策略、VPN 客户端或其他扩展程序控制着浏览器的代理设置，设置为拒绝的账号根本不会被打开。
• 备用网关在下一次登录时接管，而不是在会话进行中接管。
• 网关能看到访问的是哪个主机以及何时访问。 TLS 保持端到端，因此它看不到内容。
• 不处理 WebRTC，其他浏览器和其他 Chrome 配置文件也不会被路由。
• 每个账号、每个网站一个地址。 它不是贵公司所做的一切共用的单一地址。

策略、设备与审计日志

• 紧急停止和新策略会在浏览器下一次同步时送达，15 分钟之内，页面跳转后会更快。
• 扩展程序更新不是即时的。 Chrome 会在数小时内或下次重启时获取新版本，并且没有紧急推送机制。回滚意味着发布一个更新的版本。更新通过 Chrome 自己的更新程序到达受管浏览器，这一点尚未在受管设备上观察到过。
• 在笔记本电脑上拥有管理员权限的人可以使执行失效。 扩展程序运行在由设备持有者掌控的浏览器中。LayerT 依赖您的 MDM 来防止人员拥有本地管理员权限，并确保策略保持生效。
• 存储在设备上的策略可以被读取，只要有人能访问该浏览器配置文件。策略经过签名，因此没有人能在它送往浏览器的途中更改它，但它并不保密，并且在保存之后不会再次被检查：能够写入该存储的人可以在那台笔记本电脑上更改它。它包含您的规则及其所需的按人员设置的配置，因此请将其视为贵组织的内部数据。
• 能够推送 Chrome 策略的人处于信任边界之内。 您的 MDM 管理员可以更改安装哪个扩展程序以及它信任哪些密钥。
• Slack 中的批准，其可靠程度取决于点击批准的 Slack 账号。 这就是为什么密码请求、永久例外和规则变更只能在控制台中做出决定。
• 在密钥服务中，各组织共用密钥，而不是每个组织单独持有。每个密钥（secret）仍有自己的数据密钥。LayerT 的云管理员可以使用这些密钥，密钥服务的日志会记录每一次使用。
• 策略签名密钥受软件保护。 密钥服务只以软件形式提供这种类型的密钥，因此它并不保存在硬件安全模块中。它无法导出。
• 审计日志不具备防篡改能力。 条目一经写入便无法通过 LayerT 编辑，导出文件也附有校验和，但存储的日志没有签名，也没有链式结构。

仍在构建中