Securitatea în LightInventory

Datele dvs. de stoc rămân în propria foaie de calcul Google. LightInventory citește și scrie acel fișier în numele dvs., nu păstrează pe serverele noastre nicio copie a conținutului său și stochează doar ce îi trebuie pentru a vă administra contul. Această pagină explică exact cum funcționează acest lucru, împotriva a ce ne protejăm și unde sunt limitele.

Unde se află datele dvs.

Datele de afaceri (articole, locații, mișcări de stoc, prețuri, note, propuneri de aprobare și valorile de dinainte și de după din istoric) se află numai în foi de calcul din contul dvs. Google. Serverele noastre citesc valorile celulelor în memorie pentru a afișa pagini, a compara modificări, a genera exporturi și a scrie actualizările dvs. Aceste valori nu sunt salvate în baza noastră de date, în jurnale sau în rapoartele de erori. O suită de teste automate verifică faptul că niciun tabel, nicio linie de jurnal și niciun eveniment de eroare nu conține valori din celule.

Stocăm datele necesare pentru a vă administra contul:

Sistemul nostru rulează la Londra. Baza de date (Supabase, regiunea eu-west-2), serverele aplicației (Vercel, regiunea lhr1) și cheile de criptare și ancorele istoricului (Google Cloud, regiunea europe-west2) sunt toate fixate acolo. E-mailul tranzacțional este singura excepție documentată, descrisă la infrastructură și subprocesatori.

Accesul Google pe care îl cerem

LightInventory îi cere lui Google două lucruri. La conectarea cu Google, cere profilul dvs. de bază: openid, email și profile. Când conectați o foaie de calcul, cere separat o singură permisiune Drive, drive.file.

Pe înțelesul tuturor, drive.file permite unei aplicații să lucreze doar cu fișierele pe care le creați cu ea sau pe care le alegeți pentru ea. Google o descrie ca acces la fișierele „pe care le deschideți cu o aplicație sau pe care utilizatorul le partajează cu o aplicație în timp ce folosește Google Picker API” (domeniile de acces Google Drive API). Google o clasifică drept domeniu de acces nesensibil.

Ce înseamnă asta pentru dvs.:

• LightInventory nu poate lista, deschide sau căuta restul conținutului din Google Drive. Un fișier pe care nu l-ați creat niciodată cu LightInventory și nu l-ați ales în selectorul de fișiere Google îi este invizibil.
• Nu cerem niciodată domeniul de acces mai larg spreadsheets sau vreun domeniu pentru întregul Drive.
• După fiecare acordare, verificăm că Google a returnat exact accesul cerut.
• Puteți elimina oricând accesul din Contul Google. Consultați Revocați accesul LightInventory la Google.

Numai persoana care conectează foaia de calcul acordă acest acces, iar acea persoană trebuie să fie proprietarul fișierului. Membrii echipei nu sunt adăugați niciodată la fișier în Google. Ei lucrează prin aplicație, cu rolurile pe care li le atribuiți.

Conectare și sesiuni

Fiecare utilizator se conectează cu doi factori, în orice plan, de fiecare dată când începe o sesiune.

1. Primul factor: conectarea cu Google sau o adresă de e-mail și o parolă. Parolele trebuie să aibă cel puțin 12 caractere și sunt verificate în liste de parole compromise. Conectarea cu Google contează doar ca prim factor, niciodată ca ambii factori.
2. Al doilea factor: o cheie de acces, care este opțiunea prestabilită și rezistă la phishing, sau un cod TOTP dintr-o aplicație de autentificare. Fiecare utilizator înregistrează cel puțin două metode și primește 10 coduri de recuperare de unică folosință.

Pentru Proprietari și Administratori, conectarea rezistentă la phishing este obligatorie în mod prestabilit, așa că TOTP este dezactivat pentru aceste roluri, cu excepția cazului în care proprietarul schimbă setarea. Cheile de securitate hardware funcționează ca chei de acces. Un link primit prin e-mail poate reseta o parolă, dar nu înlocuiește niciodată al doilea factor.

Autentificarea cu mai mulți factori este verificată în două locuri independente: în codul serverului nostru și în regulile de acces ale bazei de date. O sesiune care a trecut doar de primul factor nu poate citi nimic, nici chiar dacă apelează direct baza de date.

Acțiunile sensibile includ schimbările de rol, schimbările de facturare, conectarea sau deconectarea unei foi de calcul, exporturile, anulările în bloc, modificările metodelor de conectare și ștergerea organizației. Vă puteți vedea sesiunile active și puteți încheia oricare dintre ele. Vă trimitem un e-mail când un dispozitiv nou se conectează, când o metodă de conectare este adăugată sau eliminată și când sunt folosite coduri de recuperare.

Roluri, locații și aprobări

Fiecare organizație are cinci roluri: Proprietar, Administrator, Aprobator, Editor și Vizualizator. Editorii și Vizualizatorii pot fi limitați la anumite locații, astfel încât echipa unui magazin vede și modifică doar propriul stoc.

Permisiunile sunt citite în timp real la fiecare solicitare, așa că eliminarea unei persoane sau schimbarea rolului ei are efect la următoarea ei acțiune. Fiecare solicitare este refuzată, cu excepția cazului în care o regulă o permite. Fiecare rol este explicat în Echipă și roluri.

Aprobările sunt opționale. Când sunt activate, o organizație poate cere aprobare pentru modificări precum editarea prețurilor sau ajustările de stoc. Modificarea propusă este scrisă într-o filă protejată din foaia dvs. de calcul și nimeni nu își poate aproba propria solicitare. Aflați mai multe în prezentarea jurnalului de audit.

Istoric care arată orice falsificare

Fiecare modificare făcută prin LightInventory este scrisă ca înregistrare de istoric într-o filă protejată Log din foaia dvs. de calcul, în aceeași actualizare Google ca modificarea însăși. Stocul nu este niciodată editat ca număr. Este calculat dintr-o listă de mișcări la care doar se adaugă, iar o anulare este o înregistrare nouă, opusă, nu o ștergere.

Faptul că istoricul arată orice falsificare înseamnă că, dacă cineva modifică sau elimină o înregistrare trecută, verificarea o arată. Nu înseamnă că modificarea este imposibilă. Iată cum funcționează:

• Un lanț cu cheie. Fiecare înregistrare primește un cod calculat din conținutul ei și din codul înregistrării anterioare, folosind HMAC-SHA256 și o cheie secretă pentru organizația dvs., pe care o deține doar LightInventory. Modificarea unei înregistrări rupe lanțul din acel punct. Pentru că cheia este secretă, nimeni nu poate recalcula pe ascuns codurile după o modificare.
• O copie a lanțului, fără valori. Păstrăm codurile lanțului, niciodată valorile dvs., într-un tabel de bază de date care respinge actualizările și ștergerile.
• Ancore zilnice în afara bazei noastre de date. O dată pe zi, o singură amprentă a ultimei poziții din lanțul fiecărei organizații este scrisă într-un bucket Google Cloud Storage cu o politică de păstrare blocată pe 7 ani. Odată blocată, această politică nu mai poate fi scurtată sau eliminată. Un atacator care ar putea modifica baza noastră de date tot nu ar putea rescrie aceste ancore.
• Verificare în fiecare noapte. În fiecare noapte și oricând cere proprietarul, recalculăm lanțul din fila Log și îl comparăm cu copia noastră și cu cea mai recentă ancoră. Dacă ceva nu corespunde, fiecare membru vede un avertisment de integritate, iar Proprietarul și Administratorii primesc un e-mail.

Limita este dreptul de proprietate. Proprietarul unui fișier Google îl poate edita, debloca, copia sau șterge oricând; Google nu permite excluderea nimănui de la aceasta. Lanțul nu poate împiedica acest lucru, dar îl face vizibil. Google înregistrează, de asemenea, scrierile aplicației noastre sub contul proprietarului, pentru că scriem cu permisiunea proprietarului. Fila noastră Log înregistrează membrul real al echipei.

Modificări făcute direct în foaie

În mod prestabilit, filele gestionate sunt protejate astfel încât doar proprietarul le poate edita în Foi de calcul Google, iar editorii fișierului nu îl pot partaja mai departe. O blocare strictă opțională face fișierul doar în citire în Google până când proprietarul îl deblochează în mod deliberat.

Pentru că proprietarul poate face oricând modificări, LightInventory le și detectează. De fiecare dată când aplicația vă citește foaia, compară fiecare rând cu amprenta stocată. O verificare în fundal rulează și pentru organizațiile pe care nu le vizualizează nimeni. Când un rând a fost modificat în afara aplicației, aplicația înregistrează acest lucru cu o atribuire cât mai exactă posibil pe baza datelor de revizie Google, apoi aplică politica organizației: blochează modificarea până când un Proprietar sau un Administrator o adoptă sau o anulează, o acceptă și o înregistrează sau o reține pentru aprobare. Modificările aduse mișcărilor trecute sau înregistrărilor de istoric sunt întotdeauna semnalate.

Criptare și secrete

• În tranzit: tot traficul folosește HTTPS. Browserelor li se cere să folosească doar HTTPS (HSTS cu preload), iar paginile noastre folosesc o politică strictă Content Security Policy.
• În repaus: baza noastră de date este criptată în repaus de furnizorul ei. Foaia dvs. de calcul este stocată și criptată de Google.
• Tokenuri și chei: tokenurile de reîmprospătare Google, secretele TOTP și cheile de istoric ale fiecărei organizații sunt criptate cu AES-256-GCM, folosind o cheie nouă pentru fiecare înregistrare. Această cheie este la rândul ei protejată de o cheie principală din Google Cloud KMS, la Londra, care nu părăsește niciodată KMS și este rotită în fiecare an. KMS rulează într-un proiect cloud separat, cu propriile controale de acces, iar serverele noastre îl accesează fără nicio credențială de lungă durată stocată.
• Fără acces de asistență la foaia dvs. Nu există nicio funcție prin care personalul nostru să se conecteze în numele dvs. și niciun instrument de asistență care să vă deschidă foaia de calcul. Accesul la baza noastră de date de producție necesită două persoane și este înregistrat.

Infrastructură și subprocesatori

API-urile Google Sheets și Drive vă prelucrează foaia de calcul ca furnizor propriu al dvs. E-mailurile pe care le trimitem nu conțin niciodată datele dvs. de stoc. Pentru furnizorii cu sediul în SUA, transferurile sunt acoperite de Cadrul UE-SUA privind protecția datelor (EU-US Data Privacy Framework) cu extensia pentru Regatul Unit sau de clauze contractuale standard.

Acordul nostru privind prelucrarea datelor este conceput să le ofere clienților o notificare cu cel puțin 30 de zile înainte de adăugarea unui subprocesator nou și dreptul de a se opune. Lista completă a subprocesatorilor și acordul vor fi publicate la lansare.

Raportarea unei vulnerabilități

Dacă descoperiți o problemă de securitate, scrieți la support@lightinventory.com cu pașii necesari pentru a o reproduce. Vă rugăm să nu accesați datele altor persoane și să nu perturbați serviciul și să ne contactați înainte de orice testare activă, pentru că termenii noștri nu permit testarea securității fără permisiune. Datele noastre de contact pentru cercetătorii în securitate sunt publicate și într-un format citibil automat, în security.txt. O politică completă de divulgare responsabilă va fi publicată înainte de lansare.

Stadiu

LightInventory se pregătește de lansare. Înainte de lansare, planul include un test de penetrare extern care acoperă conectarea, izolarea între clienți, autorizarea Google, webhookurile și injecția în foaia de calcul, plus o autoevaluare completă în raport cu OWASP Application Security Verification Standard 5.0. Această pagină va adăuga aceste evaluări independente atunci când vor exista. Până atunci, ea descrie proiectarea, nu o certificare.

Consultați ce stochează LightInventory pentru lista completă și prețurile pentru ce include fiecare plan.