Zabezpečenie v LightInventory

Vaše skladové údaje zostávajú vo vašej vlastnej tabuľke Google. LightInventory tento súbor vo vašom mene číta a zapisuje doň, na našich serveroch si neuchováva kópiu jeho obsahu a ukladá iba to, čo potrebuje na prevádzku vášho účtu. Táto stránka presne vysvetľuje, ako to funguje, pred čím sa chránime a kde sú hranice.

Kde sú vaše údaje

Firemné údaje (položky, umiestnenia, skladové pohyby, ceny, poznámky, návrhy na schválenie a hodnoty pred zmenou a po nej vo vašej histórii) sú iba v tabuľkách vo vašom účte Google. Naše servery načítajú hodnoty buniek do pamäte, aby mohli zobraziť stránky, porovnať zmeny, pripraviť exporty a zapísať vaše úpravy. Tieto hodnoty sa neukladajú do našej databázy, logov ani hlásení o chybách. Automatizovaná sada testov kontroluje, že žiadna tabuľka databázy, riadok logu ani chybová udalosť neobsahuje hodnoty buniek.

Ukladáme údaje potrebné na prevádzku vášho účtu:

Náš vlastný systém beží v Londýne. Databáza (Supabase, región eu-west-2), aplikačné servery (Vercel, región lhr1) a naše šifrovacie kľúče a ukotvenia histórie (Google Cloud, región europe-west2) sú pevne umiestnené tam. Jedinou zdokumentovanou výnimkou sú transakčné e-maily, ktorým sa venuje časť Infraštruktúra a ďalší sprostredkovatelia.

Prístup ku Googlu, o ktorý žiadame

LightInventory žiada Google o dve veci. Pri prihlásení cez Google žiada o váš základný profil: openid, email a profile. Keď pripájate tabuľku, žiada samostatne o jedno povolenie pre Disk, drive.file.

Zjednodušene: drive.file umožňuje aplikácii pracovať iba so súbormi, ktoré cez ňu vytvoríte alebo pre ňu vyberiete. Google ho opisuje ako prístup k súborom, „ktoré otvoríte v aplikácii alebo ktoré používateľ s aplikáciou zdieľa pri používaní Google Picker API“ (Rozsahy Google Drive API). Google ho zaraďuje medzi necitlivé rozsahy.

Čo to pre vás znamená:

• LightInventory nemôže zobraziť zoznam, otvoriť ani prehľadávať zvyšok vášho Disku Google. Súbor, ktorý ste nikdy nevytvorili cez LightInventory ani nevybrali vo výbere súborov Google, je pre neho neviditeľný.
• Nikdy nežiadame o širší rozsah spreadsheets ani o žiadny rozsah pre celý Disk.
• Po každom udelení prístupu kontrolujeme, že Google vrátil presne ten prístup, o ktorý sme žiadali.
• Prístup môžete kedykoľvek odobrať vo svojom účte Google. Pozrite si Odobratie prístupu LightInventory ku Googlu.

Tento prístup udeľuje iba osoba, ktorá tabuľku pripája, a táto osoba musí byť vlastníkom súboru. Členovia vášho tímu sa do súboru v Googli nikdy nepridávajú. Pracujú cez aplikáciu, v rámci rolí, ktoré im priradíte.

Prihlásenie a relácie

Každý používateľ sa prihlasuje dvoma faktormi, v každom pláne a pri každom začatí relácie.

1. Prvý faktor: prihlásenie cez Google alebo e-mail a heslo. Heslá musia mať aspoň 12 znakov a kontrolujú sa voči zoznamom uniknutých hesiel. Prihlásenie cez Google sa počíta iba ako prvý faktor, nikdy ako oba.
2. Druhý faktor: prístupový kľúč, ktorý je predvolený a odolný voči phishingu, alebo kód TOTP z overovacej aplikácie. Každý používateľ si zaregistruje aspoň dve metódy a dostane 10 jednorazových záchranných kódov.

Pre Vlastníkov a Správcov je predvolene vyžadované prihlásenie odolné voči phishingu, preto je pre tieto roly TOTP vypnuté, pokiaľ vlastník nastavenie nezmení. Hardvérové bezpečnostné kľúče fungujú ako prístupové kľúče. E-mailový odkaz umožňuje obnoviť heslo, nikdy však nenahrádza druhý faktor.

Viacfaktorové overenie sa kontroluje na dvoch nezávislých miestach: v kóde nášho servera a v pravidlách prístupu samotnej databázy. Relácia, ktorá prešla iba prvým faktorom, nemôže čítať nič, ani keď volá databázu priamo.

Medzi citlivé akcie patria zmeny rolí, zmeny fakturácie, pripojenie alebo odpojenie tabuľky, exporty, hromadné vrátenie zmien, zmeny metód prihlásenia a odstránenie organizácie. Svoje aktívne relácie si môžete pozrieť a ktorúkoľvek z nich ukončiť. Pošleme vám e-mail, keď sa prihlási nové zariadenie, keď sa pridá alebo odstráni metóda prihlásenia a keď sa použijú záchranné kódy.

Roly, umiestnenia a schvaľovanie

Každá organizácia má päť rolí: Vlastník, Správca, Schvaľovateľ, Editor a Čitateľ. Editorov a Čitateľov možno obmedziť na konkrétne umiestnenia, takže tím predajne vidí a mení iba vlastné zásoby.

Oprávnenia sa načítavajú naživo pri každej požiadavke, takže odobratie niekoho alebo zmena jeho roly sa prejaví pri jeho ďalšej akcii. Každá požiadavka sa zamietne, ak ju nepovoľuje nejaké pravidlo. Každá rola je vysvetlená na stránke Tím a roly.

Schvaľovanie je voliteľné. Keď je zapnuté, organizácia môže vyžadovať schválenie zmien, ako sú úpravy cien alebo úpravy zásob. Navrhovaná zmena sa zapíše do chráneného hárka vo vašej tabuľke a nikto nemôže schváliť vlastnú žiadosť. Viac nájdete v prehľade auditnej stopy.

História s odhalením zásahov

Každá zmena urobená cez LightInventory sa zapíše ako záznam histórie do chráneného hárka Log vo vašej tabuľke, v tej istej aktualizácii Google ako samotná zmena. Zásoby sa nikdy neupravujú ako číslo. Vypočítavajú sa zo zoznamu pohybov, do ktorého sa iba pridáva, a vrátenie zmeny je nový, opačný záznam, nie vymazanie.

Odhalenie zásahov znamená, že ak niekto zmení alebo odstráni minulý záznam, overenie to ukáže. Neznamená to, že zmena je nemožná. Funguje to takto:

• Reťazec s kľúčom. Každý záznam dostane kód vypočítaný z jeho obsahu a z kódu predchádzajúceho záznamu pomocou HMAC-SHA256 a tajného kľúča vašej organizácie, ktorý má iba LightInventory. Zmena jedného záznamu preruší reťazec od tohto miesta ďalej. Keďže kľúč je tajný, nikto nemôže po úprave nenápadne prepočítať kódy.
• Kópia reťazca bez hodnôt. Kódy reťazca, nikdy nie vaše hodnoty, uchovávame v databázovej tabuľke, ktorá odmieta úpravy a mazanie.
• Denné ukotvenia mimo našej databázy. Raz denne sa jediný odtlačok poslednej pozície reťazca každej organizácie zapíše do úložiska Google Cloud Storage s uzamknutým pravidlom uchovávania na 7 rokov. Po uzamknutí sa toto pravidlo nedá skrátiť ani odstrániť. Útočník, ktorý by dokázal zmeniť našu databázu, by tieto ukotvenia aj tak nemohol prepísať.
• Nočné overenie. Každú noc a kedykoľvek o to vlastník požiada prepočítame reťazec z vášho hárka Log a porovnáme ho s našou kópiou a s posledným ukotvením. Ak niečo nesedí, každý člen uvidí upozornenie na narušenie integrity a Vlastník a Správcovia dostanú e-mail.

Hranicou je vlastníctvo. Vlastník súboru Google ho môže vždy upraviť, odomknúť, skopírovať alebo odstrániť; Google neumožňuje nikoho z toho vylúčiť. Reťazec tomu nedokáže zabrániť, ale urobí to viditeľným. Google tiež zaznamenáva zápisy našej aplikácie pod účtom vlastníka, pretože zapisujeme s povolením vlastníka. Náš Log zaznamenáva skutočného člena tímu.

Úpravy urobené priamo v tabuľke

Vaše spravované hárky sú predvolene chránené tak, aby ich v Tabuľkách Google mohol upravovať iba vlastník, a editori súboru ho nemôžu ďalej zdieľať. Voliteľné prísne uzamknutie nastaví súbor v Googli iba na čítanie, kým ho vlastník zámerne neodomkne.

Keďže vlastník môže zmeny robiť vždy, LightInventory ich aj odhaľuje. Pri každom čítaní tabuľky aplikácia porovná každý riadok s jeho uloženým odtlačkom. Pre organizácie, ktoré si práve nikto nezobrazuje, beží aj kontrola na pozadí. Keď sa riadok zmenil mimo aplikácie, aplikácia to zaznamená s čo najpresnejším priradením autora podľa údajov o revíziách od Googlu a potom uplatní pravidlá vašej organizácie: zmenu zablokuje, kým ju Vlastník alebo Správca neprijme alebo nevráti, prijme ju a zaznamená, alebo ju podrží na schválenie. Úpravy minulých pohybov alebo záznamov histórie sa označia vždy.

Šifrovanie a tajné údaje

• Pri prenose: všetka komunikácia používa HTTPS. Prehliadače dostávajú pokyn používať iba HTTPS (HSTS s preload) a naše stránky používajú prísne pravidlá Content Security Policy.
• V pokoji: našu databázu šifruje v pokoji jej poskytovateľ. Vašu tabuľku ukladá a šifruje Google.
• Tokeny a kľúče: obnovovacie tokeny Google, tajné kľúče TOTP a kľúče histórie každej organizácie sú šifrované algoritmom AES-256-GCM s novým kľúčom pre každý záznam. Tento kľúč je ďalej chránený hlavným kľúčom v Google Cloud KMS v Londýne, ktorý KMS nikdy neopustí a každý rok sa obmieňa. KMS beží v samostatnom cloudovom projekte s vlastnými kontrolami prístupu a naše servery k nemu pristupujú bez akýchkoľvek uložených dlhodobých prihlasovacích údajov.
• Žiadny prístup podpory k vašej tabuľke. Neexistuje funkcia, ktorou by sa naši zamestnanci mohli prihlásiť za vás, ani nástroj podpory, ktorý by otvoril vašu tabuľku. Prístup k našej produkčnej databáze vyžaduje dve osoby a zaznamenáva sa.

Infraštruktúra a ďalší sprostredkovatelia

Rozhrania Sheets a Drive API od Googlu spracúvajú vašu tabuľku ako váš vlastný poskytovateľ. E-maily, ktoré posielame, nikdy neobsahujú vaše skladové údaje. Pri poskytovateľoch so sídlom v USA sa prenosy riadia rámcom ochrany osobných údajov medzi EÚ a USA (EU-US Data Privacy Framework) s rozšírením pre Spojené kráľovstvo alebo štandardnými zmluvnými doložkami.

Naša zmluva o spracúvaní údajov je navrhnutá tak, aby zákazníkom zaručovala oznámenie nového ďalšieho sprostredkovateľa aspoň 30 dní vopred a právo namietať. Úplný zoznam ďalších sprostredkovateľov a zmluvu zverejníme pri spustení.

Nahlásenie zraniteľnosti

Ak nájdete bezpečnostný problém, napíšte na support@lightinventory.com a uveďte kroky na jeho reprodukovanie. Nepristupujte prosím k údajom iných ľudí, nenarúšajte službu a pred akýmkoľvek aktívnym testovaním nás kontaktujte, pretože naše podmienky nepovoľujú bezpečnostné testovanie bez povolenia. Naše kontaktné údaje pre bezpečnostných výskumníkov sú zverejnené aj v strojovo čitateľnej podobe v súbore security.txt. Úplné pravidlá zodpovedného zverejňovania zraniteľností zverejníme pred spustením.

Stav

LightInventory sa pripravuje na spustenie. Plán pred spustením zahŕňa externý penetračný test zameraný na prihlásenie, izoláciu nájomníkov, autorizáciu Google, webhooky a injekciu do tabuliek, ako aj úplné vlastné hodnotenie podľa štandardu OWASP Application Security Verification Standard 5.0. Tieto nezávislé hodnotenia na túto stránku doplníme, keď budú existovať. Dovtedy opisuje návrh, nie certifikáciu.

Úplný zoznam nájdete v článku Čo LightInventory ukladá a čo zahŕňa každý plán, v cenníku.