Sigurnost u LightInventoryju

Vaši podaci o zalihama ostaju u vašoj vlastitoj Google tablici. LightInventory čita i piše u tu datoteku u vaše ime, na našim poslužiteljima ne čuva kopiju njezina sadržaja i pohranjuje samo ono što mu je potrebno za vođenje vašeg računa. Ova stranica točno objašnjava kako to funkcionira, od čega se štitimo i gdje su granice.

Gdje se nalaze vaši podaci

Poslovni podaci (artikli, lokacije, kretanja zaliha, cijene, napomene, prijedlozi za odobrenje i vrijednosti prije i nakon promjene u vašoj povijesti) nalaze se samo u tablicama na vašem Google računu. Naši poslužitelji učitavaju vrijednosti ćelija u memoriju kako bi prikazali stranice, usporedili promjene, izradili izvoze i upisali vaše izmjene. Te se vrijednosti ne spremaju u našu bazu podataka, zapisnike ni izvješća o pogreškama. Automatizirani skup testova provjerava da nijedna tablica, redak zapisnika ni događaj pogreške ne sadrži vrijednosti ćelija.

Pohranjujemo podatke potrebne za vođenje vašeg računa:

Naš vlastiti sustav radi u Londonu. Baza podataka (Supabase, regija eu-west-2), aplikacijski poslužitelji (Vercel, regija lhr1) te naši ključevi za šifriranje i sidra povijesti (Google Cloud, regija europe-west2) svi su ondje fiksno smješteni. Transakcijska e-pošta jedina je dokumentirana iznimka, opisana u odjeljku Infrastruktura i podizvršitelji obrade.

Pristup Googleu koji tražimo

LightInventory od Googlea traži dvije stvari. Pri prijavi putem Googlea traži vaš osnovni profil: openid, email i profile. Kada povežete tablicu, zasebno traži jedno dopuštenje za Disk, drive.file.

Jednostavno rečeno, drive.file omogućuje aplikaciji da radi samo s datotekama koje s njom izradite ili za nju odaberete. Google ga opisuje kao pristup datotekama „koje otvorite pomoću aplikacije ili koje korisnik podijeli s aplikacijom dok koristi Google Picker API“ (opsezi Google Drive API-ja). Google ga svrstava u neosjetljive opsege.

Što to znači za vas:

• LightInventory ne može prikazati popis, otvoriti ni pretraživati ostatak vašeg Google diska. Datoteka koju nikada niste izradili s LightInventoryjem ni odabrali u Googleovu alatu za odabir datoteka za njega je nevidljiva.
• Nikada ne tražimo širi opseg spreadsheets ni bilo koji opseg za cijeli Disk.
• Nakon svakog odobrenja provjeravamo je li Google vratio točno onaj pristup koji smo tražili.
• Pristup možete ukloniti u bilo kojem trenutku iz svojeg Google računa. Pogledajte Opozovite LightInventoryju pristup Googleu.

Taj pristup daje samo osoba koja povezuje tablicu, a ta osoba mora biti vlasnik datoteke. Članovi vašeg tima nikada se ne dodaju u datoteku u Googleu. Rade putem aplikacije, s ulogama koje im dodijelite.

Prijava i sesije

Svaki se korisnik prijavljuje s dva faktora, u svakom paketu, pri svakom početku sesije.

1. Prvi faktor: prijava putem Googlea ili e-pošta i zaporka. Zaporke moraju imati najmanje 12 znakova i provjeravaju se prema popisima procurjelih zaporki. Prijava putem Googlea vrijedi samo kao prvi faktor, nikada kao oba.
2. Drugi faktor: pristupni ključ, koji je zadan i otporan na krađu identiteta (phishing), ili TOTP kod iz aplikacije za autentifikaciju. Svaki korisnik registrira najmanje dva načina i dobiva 10 jednokratnih kodova za oporavak.

Za Vlasnike i Administratore prijava otporna na krađu identiteta zadano je obvezna, pa je TOTP za te uloge isključen osim ako vlasnik ne promijeni postavku. Hardverski sigurnosni ključevi rade kao pristupni ključevi. Poveznica u e-pošti može ponovno postaviti zaporku, ali nikada ne zamjenjuje drugi faktor.

Višefaktorska autentifikacija provjerava se na dva neovisna mjesta: u kodu našeg poslužitelja i u vlastitim pravilima pristupa baze podataka. Sesija koja je prošla samo prvi faktor ne može ništa pročitati, čak ni ako izravno pozove bazu podataka.

Osjetljive radnje uključuju promjene uloga, promjene naplate, povezivanje ili odspajanje tablice, izvoze, skupna poništavanja, promjene načina prijave i brisanje organizacije. Možete vidjeti svoje aktivne sesije i završiti bilo koju od njih. Šaljemo vam e-poruku kada se prijavi novi uređaj, kada se doda ili ukloni način prijave i kada se iskoriste kodovi za oporavak.

Uloge, lokacije i odobrenja

Svaka organizacija ima pet uloga: Vlasnik, Administrator, Odobravatelj, Urednik i Čitatelj. Urednici i Čitatelji mogu se ograničiti na određene lokacije, pa tim jedne trgovine vidi i mijenja samo vlastite zalihe.

Dopuštenja se provjeravaju u stvarnom vremenu pri svakom zahtjevu, pa uklanjanje osobe ili promjena njezine uloge stupa na snagu pri njezinoj sljedećoj radnji. Svaki se zahtjev odbija osim ako ga neko pravilo dopušta. Svaka je uloga objašnjena u članku Tim i uloge.

Odobrenja nisu obvezna. Kada su uključena, organizacija može zahtijevati odobrenje za promjene poput izmjena cijena ili korekcija zaliha. Predložena promjena upisuje se na zaštićenu karticu u vašoj tablici i nitko ne može odobriti vlastiti zahtjev. Više saznajte u pregledu revizijskog traga.

Povijest koja otkriva neovlaštene izmjene

Svaka promjena napravljena putem LightInventoryja upisuje se kao unos povijesti na zaštićenu karticu Log unutar vaše tablice, u istom Google ažuriranju kao i sama promjena. Zaliha se nikada ne uređuje kao broj. Izračunava se iz popisa kretanja u koji se samo dodaje, a poništavanje je novi, suprotni unos, a ne brisanje.

Povijest koja otkriva neovlaštene izmjene znači da provjera pokazuje ako itko promijeni ili ukloni prošli unos. To ne znači da je promjena nemoguća. Evo kako to funkcionira:

• Lanac s ključem. Svaki unos dobiva kod izračunan iz njegova sadržaja i koda prethodnog unosa, uz HMAC-SHA256 i tajni ključ vaše organizacije koji čuva samo LightInventory. Promjena jednog unosa prekida lanac od te točke nadalje. Budući da je ključ tajan, nitko ne može neprimjetno ponovno izračunati kodove nakon izmjene.
• Kopija lanca, bez vrijednosti. Kodove lanca, nikada vaše vrijednosti, čuvamo u tablici baze podataka koja odbija izmjene i brisanja.
• Dnevna sidra izvan naše baze podataka. Jednom dnevno jedan otisak najnovijeg položaja lanca svih organizacija upisuje se u spremnik Google Cloud Storagea sa zaključanim pravilom zadržavanja od 7 godina. Nakon zaključavanja to se pravilo ne može skratiti ni ukloniti. Napadač koji bi mogao mijenjati našu bazu podataka ni tada ne bi mogao prepisati ta sidra.
• Noćna provjera. Svake noći, i kad god vlasnik to zatraži, ponovno izračunavamo lanac iz vaše kartice Log i uspoređujemo ga s našom kopijom i najnovijim sidrom. Ako se išta ne podudara, svaki član vidi upozorenje o cjelovitosti, a Vlasnik i Administratori dobivaju e-poruku.

Granica je vlasništvo. Vlasnik Google datoteke uvijek je može uređivati, otključati, kopirati ili izbrisati; Google ne dopušta da se itko od toga isključi. Lanac to ne može spriječiti, ali to čini vidljivim. Google također bilježi upise naše aplikacije pod vlasnikovim računom jer pišemo uz vlasnikovo dopuštenje. Naš Log bilježi stvarnog člana tima.

Izmjene napravljene izravno u tablici

Prema zadanim postavkama vaše upravljane kartice zaštićene su tako da ih u Google tablicama može uređivati samo vlasnik, a urednici datoteke ne mogu je dalje dijeliti. Dodatno strogo zaključavanje čini datoteku u Googleu dostupnom samo za čitanje dok je vlasnik namjerno ne otključa.

Budući da vlasnik uvijek može raditi promjene, LightInventory ih i otkriva. Svaki put kada aplikacija čita vašu tablicu, uspoređuje svaki redak s njegovim pohranjenim otiskom. Provjera se izvodi i u pozadini za organizacije koje nitko ne pregledava. Kada se redak promijenio izvan aplikacije, aplikacija to bilježi uz najbolju moguću procjenu autora iz Googleovih podataka o revizijama, a zatim primjenjuje pravila vaše organizacije: blokira promjenu dok je Vlasnik ili Administrator ne prihvati ili ne vrati prethodno stanje, prihvaća je i bilježi ili je zadržava radi odobrenja. Izmjene prošlih kretanja ili unosa povijesti uvijek se označavaju.

Šifriranje i tajni podaci

• U prijenosu: sav promet koristi HTTPS. Preglednicima se nalaže da koriste isključivo HTTPS (HSTS s preloadom), a naše stranice koriste strogu politiku sigurnosti sadržaja (Content Security Policy).
• U mirovanju: našu bazu podataka šifrira njezin pružatelj. Vašu tablicu pohranjuje i šifrira Google.
• Tokeni i ključevi: Google tokeni za osvježavanje, TOTP tajne i ključevi povijesti svake organizacije šifriraju se algoritmom AES-256-GCM uz novi ključ za svaki zapis. Taj je ključ zaštićen glavnim ključem u usluzi Google Cloud KMS u Londonu, koji nikada ne napušta KMS i mijenja se svake godine. KMS radi u zasebnom projektu u oblaku s vlastitim kontrolama pristupa, a naši mu poslužitelji pristupaju bez ikakvih pohranjenih dugotrajnih vjerodajnica.
• Bez pristupa podrške vašoj tablici. Ne postoji značajka kojom bi se naše osoblje prijavilo kao vi ni alat za podršku koji otvara vašu tablicu. Pristup našoj produkcijskoj bazi podataka zahtijeva dvije osobe i bilježi se.

Infrastruktura i podizvršitelji obrade

Googleovi API-ji za Tablice i Disk obrađuju vašu tablicu kao vaš vlastiti pružatelj usluge. E-poruke koje šaljemo nikada ne sadrže vaše podatke o zalihama. Za pružatelje sa sjedištem u SAD-u prijenosi su obuhvaćeni Okvirom za privatnost podataka EU-a i SAD-a (EU-US Data Privacy Framework) s proširenjem za Ujedinjenu Kraljevinu ili standardnim ugovornim klauzulama.

Naš Ugovor o obradi podataka osmišljen je tako da kupcima osigura obavijest najmanje 30 dana unaprijed o novom podizvršitelju obrade i pravo na prigovor. Cjelovit popis podizvršitelja obrade i ugovor bit će objavljeni pri pokretanju.

Prijava ranjivosti

Ako pronađete sigurnosni problem, pošaljite e-poruku na support@lightinventory.com s koracima za njegovo ponavljanje. Molimo vas da ne pristupate tuđim podacima i ne ometate uslugu te da nam se javite prije bilo kakvog aktivnog testiranja jer naši uvjeti ne dopuštaju sigurnosno testiranje bez dopuštenja. Naši kontaktni podaci za sigurnosne istraživače objavljeni su i u strojno čitljivom obliku u datoteci security.txt. Cjelovita politika odgovornog otkrivanja bit će objavljena prije pokretanja.

Status

LightInventory se priprema za pokretanje. Plan prije pokretanja uključuje vanjski penetracijski test koji obuhvaća prijavu, izolaciju korisnika (tenanata), Googleovu autorizaciju, webhookove i ubacivanje sadržaja u tablicu, uz cjelovitu samoprocjenu prema standardu OWASP Application Security Verification Standard 5.0. Ova će stranica dodati te neovisne procjene kada budu postojale. Do tada opisuje dizajn, a ne certifikaciju.

Cjelovit popis potražite na stranici Što LightInventory pohranjuje, a što uključuje koji paket na stranici Cijene.