Varnost pri LightInventory

Vaši podatki o zalogah ostanejo v vaši lastni Google Preglednici. LightInventory to datoteko v vašem imenu bere in vanjo piše, na naših strežnikih ne hrani kopije njene vsebine in shranjuje samo tisto, kar potrebuje za delovanje vašega računa. Ta stran natančno pojasnjuje, kako to deluje, pred čim se varujemo in kje so meje.

Kje so vaši podatki

Poslovni podatki (artikli, lokacije, premiki zalog, cene, opombe, predlogi za odobritev ter vrednosti pred spremembo in po njej v vaši zgodovini) so samo v preglednicah v vašem računu Google. Naši strežniki preberejo vrednosti celic v pomnilnik, da prikažejo strani, primerjajo spremembe, pripravijo izvoze in zapišejo vaše posodobitve. Te vrednosti se ne shranijo v našo podatkovno zbirko, dnevnike ali poročila o napakah. Avtomatiziran nabor testov preverja, da nobena tabela, vrstica dnevnika ali dogodek napake ne vsebuje vrednosti celic.

Shranjujemo podatke, ki so potrebni za delovanje vašega računa:

Naš lastni sistem teče v Londonu. Podatkovna zbirka (Supabase, regija eu-west-2), aplikacijski strežniki (Vercel, regija lhr1) ter naši šifrirni ključi in sidra zgodovine (Google Cloud, regija europe-west2) so vsi vezani tja. Edina dokumentirana izjema je transakcijska e-pošta, opisana v razdelku Infrastruktura in podobdelovalci.

Dostop do Googla, ki ga zahtevamo

LightInventory od Googla zahteva dve stvari. Pri prijavi z Googlom zahteva vaš osnovni profil: openid, email in profile. Ko povežete preglednico, ločeno zahteva eno dovoljenje za Drive, drive.file.

Preprosto povedano: drive.file aplikaciji omogoča delo samo z datotekami, ki jih ustvarite z njo ali jih zanjo izberete. Google ga opisuje kot dostop do datotek, »ki jih odprete z aplikacijo ali ki jih uporabnik deli z aplikacijo med uporabo Google Picker API« (obsegi Google Drive API). Google ga uvršča med neobčutljive obsege.

Kaj to pomeni za vas:

• LightInventory ne more prikazati seznama, odpreti ali preiskati preostanka vašega Google Drive. Datoteka, ki je niste nikoli ustvarili z LightInventory ali izbrali v Googlovem izbirniku datotek, je zanj nevidna.
• Nikoli ne zahtevamo širšega obsega spreadsheets ali katerega koli obsega za celoten Drive.
• Po vsaki odobritvi preverimo, ali je Google vrnil natanko tisti dostop, ki smo ga zahtevali.
• Dostop lahko kadar koli odstranite v svojem računu Google. Glejte Preklic dostopa LightInventory do Googla.

Ta dostop odobri samo oseba, ki poveže preglednico, in ta oseba mora biti lastnik datoteke. Člani vaše ekipe nikoli niso dodani v datoteko v Googlu. Delajo prek aplikacije, v okviru vlog, ki jim jih dodelite.

Prijava in seje

Vsak uporabnik se prijavi z dvema faktorjema, v vsakem paketu in ob vsakem začetku seje.

1. Prvi faktor: prijava z Googlom ali e-pošta in geslo. Gesla morajo imeti vsaj 12 znakov in se preverjajo na seznamih ukradenih gesel. Prijava z Googlom šteje samo kot prvi faktor, nikoli kot oba.
2. Drugi faktor: ključ za dostop, ki je privzet in odporen proti lažnemu predstavljanju (phishingu), ali koda TOTP iz aplikacije za preverjanje pristnosti. Vsak uporabnik registrira vsaj dva načina in prejme 10 obnovitvenih kod za enkratno uporabo.

Za Lastnike in Skrbnike je privzeto zahtevana prijava, odporna proti lažnemu predstavljanju, zato je TOTP za ti vlogi izklopljen, razen če lastnik spremeni nastavitev. Strojni varnostni ključi delujejo kot ključi za dostop. Povezava v e-pošti lahko ponastavi geslo, vendar nikoli ne nadomesti drugega faktorja.

Večfaktorsko preverjanje pristnosti se preverja na dveh neodvisnih mestih: v kodi našega strežnika in v pravilih za dostop same podatkovne zbirke. Seja, ki je opravila samo prvi faktor, ne more prebrati ničesar, tudi če podatkovno zbirko pokliče neposredno.

Občutljiva dejanja vključujejo spremembe vlog, spremembe obračuna, povezovanje ali odklop preglednice, izvoze, množične razveljavitve, spremembe načinov prijave in izbris organizacije. Svoje aktivne seje si lahko ogledate in katero koli končate. Pošljemo vam e-pošto, ko se prijavi nova naprava, ko je način prijave dodan ali odstranjen in ko so uporabljene obnovitvene kode.

Vloge, lokacije in odobritve

Vsaka organizacija ima pet vlog: Lastnik, Skrbnik, Odobritelj, Urednik in Bralec. Urednike in Bralce je mogoče omejiti na določene lokacije, tako da ekipa trgovine vidi in spreminja samo svojo zalogo.

Dovoljenja se pri vsaki zahtevi preberejo sproti, zato odstranitev osebe ali sprememba njene vloge začne veljati ob njenem naslednjem dejanju. Vsaka zahteva je zavrnjena, razen če jo dovoljuje pravilo. Vsaka vloga je pojasnjena na strani Ekipa in vloge.

Odobritve niso obvezne. Ko so vklopljene, lahko organizacija zahteva odobritev sprememb, kot so spremembe cen ali prilagoditve zalog. Predlagana sprememba se zapiše v zaščiten list v vaši preglednici in nihče ne more odobriti lastne zahteve. Več o tem v pregledu revizijske sledi.

Zgodovina, ki razkrije posege

Vsaka sprememba, narejena prek LightInventory, se zapiše kot vnos zgodovine v zaščiten list Log v vaši preglednici, v isti Googlovi posodobitvi kot sama sprememba. Zaloga se nikoli ne ureja kot število. Izračuna se iz seznama premikov, v katerega se samo dodaja, razveljavitev pa je nov, nasproten vnos in ne izbris.

Razkritje posegov pomeni, da preverjanje pokaže, če kdo spremeni ali odstrani pretekli vnos. Ne pomeni, da je sprememba nemogoča. Deluje takole:

• Veriga s ključem. Vsak vnos dobi kodo, izračunano iz njegove vsebine in kode prejšnjega vnosa, z uporabo HMAC-SHA256 in tajnega ključa vaše organizacije, ki ga ima samo LightInventory. Sprememba enega vnosa prekine verigo od te točke naprej. Ker je ključ tajen, nihče ne more po urejanju neopazno ponovno izračunati kod.
• Kopija verige brez vrednosti. Kode verige, nikoli vaših vrednosti, hranimo v tabeli podatkovne zbirke, ki zavrača posodobitve in brisanja.
• Dnevna sidra zunaj naše podatkovne zbirke. Enkrat na dan se en sam prstni odtis zadnjega položaja verige vsake organizacije zapiše v vedro Google Cloud Storage z zaklenjenim pravilnikom hrambe 7 let. Ko je pravilnik zaklenjen, ga ni mogoče skrajšati ali odstraniti. Napadalec, ki bi lahko spremenil našo podatkovno zbirko, teh sider še vedno ne bi mogel prepisati.
• Nočno preverjanje. Vsako noč in kadar koli lastnik to zahteva, ponovno izračunamo verigo iz vašega lista Log in jo primerjamo z našo kopijo in zadnjim sidrom. Če se kar koli ne ujema, vsak član vidi opozorilo o celovitosti, Lastnik in Skrbniki pa prejmejo e-pošto.

Meja je lastništvo. Lastnik Googlove datoteke jo lahko vedno ureja, odklene, kopira ali izbriše; Google ne dovoli, da bi bil kdor koli izključen. Veriga tega ne more preprečiti, lahko pa to razkrije. Google tudi zapise naše aplikacije beleži pod lastnikovim računom, ker pišemo z lastnikovim dovoljenjem. Naš Log beleži dejanskega člana ekipe.

Urejanja neposredno v preglednici

Vaši upravljani listi so privzeto zaščiteni tako, da jih lahko v Google Preglednicah ureja samo lastnik, uredniki datoteke pa je ne morejo deliti naprej. Izbirno strogo zaklepanje naredi datoteko v Googlu samo za branje, dokler je lastnik namerno ne odklene.

Ker lahko lastnik vedno dela spremembe, jih LightInventory tudi zaznava. Vsakič, ko aplikacija prebere vašo preglednico, vsako vrstico primerja z njenim shranjenim prstnim odtisom. Za organizacije, ki si jih nihče ne ogleduje, teče tudi preverjanje v ozadju. Ko se vrstica spremeni zunaj aplikacije, jo aplikacija zabeleži s čim natančnejšo pripisavo avtorstva na podlagi Googlovih podatkov o revizijah in nato uporabi pravilnik vaše organizacije: spremembo blokira, dokler je Lastnik ali Skrbnik ne sprejme ali obnovi prejšnjega stanja, jo sprejme in zabeleži ali jo zadrži za odobritev. Urejanja preteklih premikov ali vnosov zgodovine so vedno označena.

Šifriranje in skrivnosti

• Med prenosom: ves promet uporablja HTTPS. Brskalnikom je naročeno, naj uporabljajo samo HTTPS (HSTS s preload), naše strani pa uporabljajo strog pravilnik Content Security Policy.
• V mirovanju: našo podatkovno zbirko v mirovanju šifrira njen ponudnik. Vašo preglednico shranjuje in šifrira Google.
• Žetoni in ključi: Googlovi žetoni za osvežitev, skrivnosti TOTP in ključi zgodovine vsake organizacije so šifrirani z AES-256-GCM z novim ključem za vsak zapis. Ta ključ je nato zaščiten z glavnim ključem v Google Cloud KMS v Londonu, ki nikoli ne zapusti KMS in se vsako leto zamenja. KMS teče v ločenem projektu v oblaku z lastnimi kontrolami dostopa, naši strežniki pa do njega dostopajo brez kakršnih koli shranjenih dolgotrajnih poverilnic.
• Brez dostopa podpore do vaše preglednice. Ni funkcije, s katero bi se naši zaposleni prijavili kot vi, in ni orodja za podporo, ki bi odprlo vašo preglednico. Dostop do naše produkcijske podatkovne zbirke zahteva dve osebi in se beleži.

Infrastruktura in podobdelovalci

Googlova API-ja Sheets in Drive obdelujeta vašo preglednico kot vaš lastni ponudnik. E-pošta, ki jo pošiljamo, nikoli ne vsebuje vaših podatkov o zalogah. Za ponudnike s sedežem v ZDA so prenosi zajeti z okvirom za zasebnost podatkov med EU in ZDA (EU-US Data Privacy Framework) z razširitvijo za Združeno kraljestvo ali s standardnimi pogodbenimi klavzulami.

Naša pogodba o obdelavi podatkov je zasnovana tako, da strankam zagotavlja obvestilo o novem podobdelovalcu vsaj 30 dni vnaprej in pravico do ugovora. Celoten seznam podobdelovalcev in pogodbo objavimo ob zagonu.

Prijava ranljivosti

Če odkrijete varnostno težavo, pišite na support@lightinventory.com in navedite korake za njeno ponovitev. Prosimo, ne dostopajte do podatkov drugih oseb in ne motite delovanja storitve ter se pred kakršnim koli aktivnim testiranjem obrnite na nas, ker naši pogoji ne dovoljujejo varnostnega testiranja brez dovoljenja. Naši kontaktni podatki za varnostne raziskovalce so objavljeni tudi v strojno berljivi obliki v datoteki security.txt. Celoten pravilnik o odgovornem razkrivanju objavimo pred zagonom.

Stanje

LightInventory se pripravlja na zagon. Načrt pred zagonom vključuje zunanji penetracijski test, ki zajema prijavo, izolacijo najemnikov, Googlovo avtorizacijo, webhooke in vrivanje v preglednice, ter celovito samooceno po standardu OWASP Application Security Verification Standard 5.0. Ta stran bo ta neodvisna ocenjevanja dodala, ko bodo obstajala. Do takrat opisuje zasnovo, ne certifikacije.

Celoten seznam najdete v članku Kaj shranjuje LightInventory, kaj vključuje posamezen paket, pa na strani Cene.