Zabezpečení LightInventory

Vaše skladová data zůstávají ve vaší vlastní tabulce Google. LightInventory tento soubor čte a zapisuje vaším jménem, na našich serverech neuchovává kopii jeho obsahu a ukládá jen to, co potřebuje k provozu vašeho účtu. Tato stránka přesně vysvětluje, jak to funguje, před čím vás chráníme a kde jsou hranice této ochrany.

Kde jsou vaše data

Obchodní data (položky, umístění, skladové pohyby, ceny, poznámky, návrhy ke schválení a hodnoty před změnou a po ní ve vaší historii) jsou uložena výhradně v tabulkách ve vašem účtu Google. Naše servery načítají hodnoty buněk do operační paměti, aby mohly zobrazovat stránky, porovnávat změny, připravovat exporty a zapisovat vaše úpravy. Tyto hodnoty se neukládají do naší databáze, do protokolů ani do hlášení o chybách. Automatizovaná sada testů ověřuje, že žádná tabulka, řádek protokolu ani chybová událost hodnoty buněk neobsahuje.

Ukládáme ovšem data potřebná k provozu vašeho účtu:

Náš vlastní systém běží v Londýně. Databáze (Supabase, region eu-west-2), aplikační servery (Vercel, region lhr1) i naše šifrovací klíče a ukotvení historie (Google Cloud, region europe-west2) jsou napevno umístěny tam. Jedinou zdokumentovanou výjimkou jsou transakční e-maily, popsané v části Infrastruktura a další zpracovatelé.

Jaký přístup ke Googlu požadujeme

LightInventory žádá Google o dvě věci. Při přihlášení přes Google žádá o váš základní profil: openid, email a profile. Když připojujete tabulku, žádá zvlášť o jedno oprávnění k Disku: drive.file.

Zjednodušeně řečeno, drive.file umožňuje aplikaci pracovat jen se soubory, které v ní vytvoříte nebo pro ni vyberete. Google ho popisuje jako přístup k souborům, které otevřete pomocí aplikace nebo které uživatel s aplikací sdílí při používání rozhraní Google Picker API (rozsahy Google Drive API). Google ho řadí mezi necitlivé rozsahy.

Co to pro vás znamená:

• LightInventory nemůže procházet, otevírat ani prohledávat zbytek vašeho Disku Google. Soubor, který jste nikdy nevytvořili v LightInventory ani nevybrali ve výběru souborů Google, je pro něj neviditelný.
• Nikdy nežádáme o širší rozsah spreadsheets ani o žádný rozsah pro celý Disk.
• Po každém udělení oprávnění ověřujeme, že Google vrátil přesně ten přístup, o který jsme žádali.
• Přístup můžete kdykoli odebrat ve svém účtu Google. Viz Odebrání přístupu LightInventory k účtu Google.

Tento přístup uděluje jen osoba, která tabulku připojuje, a ta musí být vlastníkem souboru. Členové vašeho týmu se do souboru v Googlu nikdy nepřidávají. Pracují přes aplikaci v rámci rolí, které jim přidělíte.

Přihlašování a relace

Každý uživatel se přihlašuje dvěma faktory, v každém tarifu a při každém zahájení relace.

1. První faktor: přihlášení přes Google, nebo e-mail a heslo. Heslo musí mít nejméně 12 znaků a kontroluje se proti seznamům uniklých hesel. Přihlášení přes Google se počítá jen jako první faktor, nikdy jako oba.
2. Druhý faktor: přístupový klíč, který je výchozí volbou a odolává phishingu, nebo kód TOTP z ověřovací aplikace. Každý uživatel si zaregistruje nejméně dvě metody a dostane 10 jednorázových kódů pro obnovení.

U Vlastníků a Administrátorů se ve výchozím nastavení vyžaduje přihlášení odolné vůči phishingu, takže TOTP je pro tyto role vypnuté, pokud vlastník nastavení nezmění. Hardwarové bezpečnostní klíče fungují jako přístupové klíče. Odkaz v e-mailu umožňuje obnovit heslo, nikdy však nenahrazuje druhý faktor.

Vícefaktorové ověření se kontroluje na dvou nezávislých místech: v kódu našeho serveru a v pravidlech přístupu samotné databáze. Relace, která prošla jen prvním faktorem, nemůže číst nic, ani když se obrátí přímo na databázi.

Mezi citlivé akce patří změny rolí, změny fakturace, připojení nebo odpojení tabulky, exporty, hromadné vracení změn, změny metod přihlášení a smazání organizace. Své aktivní relace můžete zobrazit a kteroukoli z nich ukončit. E-mailem vás upozorníme, když se přihlásí nové zařízení, když se přidá nebo odebere metoda přihlášení a když se použijí kódy pro obnovení.

Role, umístění a schvalování

Každá organizace má pět rolí: Vlastník, Administrátor, Schvalovatel, Editor a Čtenář. Editory a Čtenáře lze omezit na konkrétní umístění, takže tým prodejny vidí a mění jen vlastní zásoby.

Oprávnění se načítají živě při každém požadavku, takže odebrání člověka nebo změna jeho role platí od jeho další akce. Každý požadavek je zamítnut, pokud ho nepovoluje některé pravidlo. Každá role je vysvětlena na stránce Tým a role.

Schvalování je volitelné. Pokud je zapnuté, může organizace vyžadovat schválení změn, jako jsou úpravy cen nebo korekce zásob. Navrhovaná změna se zapíše na chráněný list ve vaší tabulce a nikdo nemůže schválit vlastní žádost. Více se dozvíte v přehledu auditní stopy.

Historie, v níž se každý zásah prozradí

Každá změna provedená přes LightInventory se zapíše jako záznam historie na chráněný list Log ve vaší tabulce, v téže aktualizaci Google jako samotná změna. Stav zásob se nikdy neupravuje jako číslo. Počítá se ze seznamu pohybů, do kterého lze jen přidávat, a vrácení změny je nový, opačný záznam, nikoli smazání.

Že se zásah prozradí, znamená, že pokud někdo změní nebo odstraní dřívější záznam, ověření to odhalí. Neznamená to, že taková změna je nemožná. Funguje to takto:

• Řetězec s klíčem. Každý záznam dostane kód vypočtený z jeho obsahu a z kódu předchozího záznamu pomocí HMAC-SHA256 a tajného klíče vaší organizace, který má pouze LightInventory. Změna jednoho záznamu přeruší řetězec od tohoto místa dál. Protože je klíč tajný, nikdo nemůže po úpravě kódy nenápadně přepočítat.
• Kopie řetězce bez hodnot. Kódy řetězce, nikdy vaše hodnoty, uchováváme v databázové tabulce, která odmítá aktualizace i mazání.
• Denní ukotvení mimo naši databázi. Jednou denně se jediný otisk poslední pozice řetězce každé organizace zapíše do bucketu Google Cloud Storage se zamčenými zásadami uchování na 7 let. Po uzamčení nelze tyto zásady zkrátit ani odstranit. Útočník, který by dokázal změnit naši databázi, by ani tak nemohl tato ukotvení přepsat.
• Noční ověření. Každou noc a kdykoli o to vlastník požádá přepočítáme řetězec z vašeho listu Log a porovnáme ho s naší kopií a posledním ukotvením. Pokud něco nesouhlasí, každý člen uvidí upozornění na narušení integrity a Vlastník i Administrátoři dostanou e-mail.

Hranicí je vlastnictví. Vlastník souboru Google ho může vždy upravit, odemknout, zkopírovat nebo smazat; Google nikomu neumožňuje ho z toho vyloučit. Řetězec tomu zabránit nedokáže, ale zviditelní to. Google navíc zaznamenává zápisy naší aplikace pod účtem vlastníka, protože zapisujeme s jeho oprávněním. Náš Log uvádí skutečného člena týmu.

Úpravy provedené přímo v tabulce

Ve výchozím nastavení jsou spravované listy chráněny tak, že je v Tabulkách Google může upravovat jen vlastník, a editoři souboru ho nemohou dál sdílet. Volitelný přísný zámek udělá ze souboru v Googlu soubor jen pro čtení, dokud ho vlastník vědomě neodemkne.

Protože vlastník může změny provádět vždy, LightInventory je také odhaluje. Pokaždé, když aplikace čte vaši tabulku, porovná každý řádek s uloženým otiskem. Kontrola na pozadí běží i pro organizace, které si zrovna nikdo neprohlíží. Když se řádek změnil mimo aplikaci, aplikace to zaznamená s co nejlepším určením autora podle dat o revizích od Googlu a pak uplatní zásady vaší organizace: změnu zablokuje, dokud ji Vlastník nebo Administrátor nepřijme nebo neobnoví původní stav, přijme ji a zaznamená, nebo ji podrží ke schválení. Úpravy dřívějších pohybů nebo záznamů historie se označí vždy.

Šifrování a tajné údaje

• Při přenosu: veškerý provoz používá HTTPS. Prohlížeče dostávají pokyn používat jen HTTPS (HSTS s preload) a naše stránky používají přísné zásady Content Security Policy.
• V klidovém stavu: naši databázi šifruje v klidovém stavu její poskytovatel. Vaši tabulku ukládá a šifruje Google.
• Tokeny a klíče: obnovovací tokeny Google, tajné klíče TOTP a klíče historie každé organizace se šifrují algoritmem AES-256-GCM s novým klíčem pro každý záznam. Tento klíč je dále chráněn hlavním klíčem v Google Cloud KMS v Londýně, který nikdy neopouští KMS a každý rok se obměňuje. KMS běží v samostatném cloudovém projektu s vlastním řízením přístupu a naše servery se k němu připojují bez jakýchkoli uložených dlouhodobých přihlašovacích údajů.
• Podpora nemá přístup k vaší tabulce. Neexistuje funkce, se kterou by se naši zaměstnanci mohli přihlásit za vás, ani nástroj podpory, který by otevřel vaši tabulku. Přístup k naší produkční databázi vyžaduje dvě osoby a zaznamenává se.

Infrastruktura a další zpracovatelé

Rozhraní API Tabulek a Disku Google zpracovávají vaši tabulku jako váš vlastní poskytovatel. E-maily, které posíláme, nikdy neobsahují vaše skladová data. U poskytovatelů se sídlem v USA se předávání řídí rámcem pro ochranu osobních údajů mezi EU a USA (EU-US Data Privacy Framework) s rozšířením pro Spojené království nebo standardními smluvními doložkami.

Naše smlouva o zpracování osobních údajů (Data Processing Agreement) je navržena tak, aby zákazníci dostali nejméně 30 dní předem oznámení o novém dalším zpracovateli a měli právo vznést námitku. Úplný seznam dalších zpracovatelů a samotná smlouva budou zveřejněny při spuštění.

Hlášení zranitelností

Pokud najdete bezpečnostní problém, napište na support@lightinventory.com a uveďte kroky, jak ho zopakovat. Nepřistupujte prosím k datům jiných lidí, nenarušujte provoz služby a před jakýmkoli aktivním testováním se nám ozvěte, protože naše podmínky bezpečnostní testování bez svolení nepovolují. Naše kontaktní údaje pro bezpečnostní výzkumníky jsou zveřejněny také ve strojově čitelné podobě v souboru security.txt. Úplné zásady odpovědného zveřejňování zranitelností zveřejníme před spuštěním.

Stav

LightInventory se připravuje na spuštění. Plán před spuštěním zahrnuje externí penetrační test zaměřený na přihlašování, izolaci zákazníků, autorizaci Google, webhooky a vkládání škodlivého obsahu do tabulky a také úplné sebehodnocení podle standardu OWASP Application Security Verification Standard 5.0. Jakmile tato nezávislá hodnocení budou k dispozici, doplníme je na tuto stránku. Do té doby stránka popisuje návrh, nikoli certifikaci.

Úplný seznam najdete na stránce Co LightInventory ukládá a co který tarif zahrnuje, v ceníku.