Profil Pelayar Setempat atau Disegerakkan ke Awan?

Takrifkan sistem sebelum membandingkan label

Profil pelayar bukan sekadar baris dalam pemilih profil. Dokumentasi direktori data pengguna Chromium menerangkan sejarah, penanda buku dan kuki bersama keadaan setempat bagi pemasangan. Produk pasukan mungkin menambah sambungan, proksi, pemilikan, audit, metadata penyulitan, versi sandaran dan keadaan penyegerakan.

Nilai tiga lapisan bebas:

1. Pelaksanaan: Di mana kod pelayar berjalan dan kandungan web dipaparkan?
2. Kandungan: Di mana kuki, storan laman, sejarah, sambungan dan keadaan lain wujud dalam bentuk boleh dibaca?
3. Kawalan: Di mana identiti, keahlian, peranan, kunci penggunaan profil, audit, bil dan rekod peranti disimpan?

Produk boleh menjalankan pelayar setempat, memuat naik berkas disulitkan dan menyimpan sedikit metadata operasi dalam satah kawalan awan. Melabel keseluruhannya ‘setempat’ atau ‘awan’ menyembunyikan keputusan penting.

Tiga model profil yang biasa

Model	Kelebihan utama	Kos atau risiko untuk dinilai
Profil setempat sahaja	Kehilangan perkhidmatan awan tidak menghapuskan salinan kerja; kandungan boleh kekal pada satu peranti	Kehilangan peranti, kompromi setempat, sandaran dan serahan menjadi tanggungjawab pasukan
Penyegerakan boleh dibaca pelayan	Akses berbilang peranti, pemprosesan berpusat dan pemulihan berbantukan pembekal mungkin lebih mudah	Pembekal atau laluan perkhidmatan terjejas mungkin boleh membaca kandungan, mengikut reka bentuknya
Penyegerakan disulitkan pada klien	Perkhidmatan boleh menyimpan dan menghantar teks tersulit tanpa memegang kunci kandungan	Pengedaran kunci, pemulihan, pembatalan peranti, konflik dan sokongan lebih sukar; metadata mungkin tetap kelihatan

Ini bukan ranking mutu. Perkhidmatan boleh dibaca pelayan yang dikendalikan dengan teliti mungkin lebih sesuai daripada perkhidmatan disulitkan yang direka buruk. Profil setempat tanpa sandaran teruji mungkin melindungi daripada satu ancaman awan tetapi rapuh terhadap kerosakan perkakasan biasa.

Istilah penyulitan memerlukan peta aliran data

‘Disulitkan’ boleh merujuk kawalan berbeza:

• Penyulitan semasa penghantaran melindungi sambungan antara titik hujung.
• Penyulitan ketika disimpan melindungi media storan, tetapi perkhidmatan mungkin masih memegang kunci penyahsulitan.
• Penyulitan pada klien atau hujung ke hujung bertujuan mengekalkan kunci kandungan pada peranti berizin supaya perkhidmatan storan tidak boleh membacanya.
• Penyulitan peranti atau volum melindungi storan setempat dalam keadaan terkunci atau luar talian tertentu. Ia tidak melindungi daripada perisian hasad atau proses berizin selepas kunci dibuka.

Gambaran keselamatan iCloud Apple menunjukkan kepentingan perbezaan ini. Apple menerangkan TLS semasa penghantaran dan penyulitan storan, sambil membezakan kategori yang kuncinya dipegang Apple untuk membantu pemulihan daripada kategori dilindungi hujung ke hujung. Ini contoh istilah, bukan bukti tentang pembekal lain.

Bagi setiap sistem profil, minta rajah semua tempat teks biasa dan kunci boleh wujud: peranti sumber, memori, cakera setempat, arkib eksport, sandaran, perkhidmatan penyegerakan, peranti ahli lain, alat sokongan, log dan telemetri.

Bandingkan kegagalan yang penting kepada pasukan

Peristiwa	Soalan untuk reka bentuk mengutamakan setempat	Soalan untuk reka bentuk terselaras
Peranti hilang atau rosak	Ada sandaran bebas terkini dan bahan pemulihan berasingan?	Adakah peranti ganti menerima salinan lengkap berizin? Apa perlu pengesahan semula?
Peranti terjejas	Bolehkah perisian hasad membaca profil terbuka atau mencuri sesi?	Bolehkah peranti memuat naik keadaan beracun atau memperoleh profil lain?
Pencerobohan awan	Metadata akaun, peranti dan diagnostik apa disimpan jauh?	Bolehkah perkhidmatan menyahsulit? Bolehkah penyerang mengganti kandungan, versi atau keahlian?
Pemadaman atau kerosakan tidak sengaja	Titik pemulihan mana kekal pada storan berasingan?	Adakah kerosakan tersebar? Bolehkah pentadbir memilih versi baik?
Ahli meninggalkan pasukan	Salinan dan eksport mana di luar kawalan pusat?	Bolehkah peranti serta kuncinya dibatalkan? Kandungan mana sudah dibuka setempat?
Gangguan rangkaian atau pembekal	Bolehkah kerja berizin diteruskan dan perubahan dibariskan dengan selamat?	Operasi mana berhenti untuk keselamatan dan bagaimana konflik diselesaikan selepas sambung?
Kunci penyulitan hilang	Siapa boleh memulihkan, mengganti atau menyimpan kunci dalam jagaan mengikut dasar?	Adakah bantuan pembekal melemahkan sempadan kepercayaan yang didakwa?

Kompromi peranti penting dalam semua model. Penyulitan klien mengurangkan sesetengah pendedahan pelayan, tetapi peranti berizin mesti membuka kandungan untuk menggunakannya. Penyulitan tidak menjadikan peranti terjejas yang sudah dibuka kunci boleh dipercayai.

Bandingkan kategori data secara berasingan

Keadaan pelaksanaan sensitif

Kuki, token sesi, storan setempat, kelayakan tersimpan dan sesetengah data sambungan boleh memberikan akses akaun atau mendedahkan aktiviti. Anggap sebagai rahsia atau kandungan profil sensitif. Jangan paparkan dalam log rutin, carian, suapan audit atau output automasi. Berkongsi sesi aktif juga mungkin melanggar dasar klien atau syarat perkhidmatan walaupun pengendali mempunyai kebenaran lain.

Konfigurasi yang boleh dibina semula

Penanda buku, pengecam sambungan diluluskan, tetapan bahasa dan rujukan dasar mungkin lebih mudah dibina semula serta lebih selamat disegerakkan daripada sesi aktif. Itu tidak menjadikan semua medan tidak sensitif. Kata laluan proksi tetap rahsia walaupun berada di sebelah konfigurasi biasa.

Metadata operasi

Label profil, pengecam organisasi, pemilik tugas, nombor versi, pengecam peranti, kunci penggunaan dan audit mungkin perlu untuk penyelarasan. Minimumkan medan ini, tetapkan tempoh simpanan dan pertimbangkan sama ada label sendiri mendedahkan hubungan klien.

Penerangan data Chrome Sync Google ialah contoh khusus pembekal tentang kepentingan inventori ini. Ia membezakan kandungan ciptaan pengguna, maklumat pengguna dan peranti, laman, sambungan serta pelayar. Gunakan senarai pembekal hanya untuk memahami tingkah lakunya yang diterbitkan.

Bahan pemulihan

Kunci penyulitan, kod pemulihan, kata laluan sandaran dan pengesah alternatif tidak patut wujud hanya dalam profil yang dipulihkannya. Saranan pengurusan kunci NIST menganggap perlindungan, ketersediaan, sandaran, kompromi dan pemulihan sebahagian daripada satu kitar hayat.

Kunci laluan terselaras menambah keputusan berasingan. Panduan pengesah boleh segerak NIST memerlukan kawalan storan kunci disulitkan, akses infrastruktur penyegerakan dan pengesah terjejas. Label penyegerakan profil tidak menjelaskan sama ada kunci laluan terikat pada peranti, disegerakkan pembekal OS atau boleh dipulihkan.

Tanya soalan ini sebelum memilih reka bentuk

1. Di mana kandungan boleh dibaca boleh muncul?

Minta inventori peringkat medan, bukan kenyataan privasi umum. Sertakan fail sementara, memori, diagnostik, berkas sokongan, eksport, sandaran dan indeks carian.

2. Siapa mengawal setiap kunci?

Kenal pasti penjanaan kunci, pendaftaran peranti, perkongsian ahli, penggantian, pembatalan, sandaran dan pemusnahan. Jika pembekal boleh menetapkan semula akaun dan senyap-senyap memulihkan akses kandungan disulitkan, fahami kunci atau mekanisme yang membolehkannya.

3. Apa berlaku selepas kelayakan atau peranti hilang?

Telusuri pemulihan satu peranti, semua peranti, pemilik organisasi terakhir dan faktor kedua yang hilang. Tentukan sama ada pemulihan mengutamakan kerahsiaan, ketersediaan atau kelulusan beberapa pihak. Setiap reka bentuk mempunyai pertimbangan antara sifat ini.

4. Bagaimana kebenaran pasukan berfungsi?

Cari akaun individu, peranan minimum, pemilikan jelas, inventori peranti, pembatalan, kelulusan eksport sensitif dan audit. Storan awan bersama tanpa kebenaran setiap pengguna bukan kerjasama terkawal.

5. Apakah aturan luar talian dan konflik?

Tanya hasil apabila dua peranti berizin mengubah profil sama, satu menggunakan kunci lama atau muat naik terputus. Profil dengan pangkalan data dan sesi tidak boleh menggunakan ‘muat naik terakhir menang’ sebagai lalai tanpa penjelasan keselamatan.

6. Apa disimpan selepas pemadaman?

Bezakan replika aktif, sejarah versi, simpanan sandaran, penahanan undang-undang dan log pembekal. Sahkan tempoh, pihak berkuasa memadam dan sama ada peranti dibatalkan boleh memuat naik salinan lama.

7. Bolehkah pasukan berhenti menggunakan perkhidmatan dengan selamat?

Uji eksport didokumenkan ke persekitaran baharu yang disokong. Rekod jenis data berpindah, rahsia yang sengaja tidak dipindahkan dan cara pembekal memadam salinan baki. Dakwaan kebolehportan patut menamakan format serta batasannya.

Penyegerakan dan sandaran menyelesaikan masalah berbeza

Penyegerakan menyelaraskan keadaan terpilih antara peranti. Sandaran berguna mengekalkan keadaan terdahulu yang boleh dipulihkan apabila keadaan aktif dipadam, rosak, disulitkan perisian tebusan atau diubah secara salah.

Anggap penyegerakan sebagai replikasi kecuali produk mendokumenkan versi bebas terlindung dan laluan pemulihan teruji. Perubahan buruk boleh merebak cepat. Panduan perisian tebusan CISA mencadangkan sandaran luar talian disulitkan serta ujian ketersediaan dan integriti berkala. Pelaksanaan bergantung pada model ancaman, tetapi kebebasan sandaran ialah perkara utama.

Corak pemilihan praktikal

Setempat sahaja mungkin sesuai apabila

• seorang pengendali berizin menggunakan satu peranti terurus;
• pendedahan awan lebih membimbangkan daripada serahan pantas;
• pasukan boleh mengurus sandaran bebas disulitkan serta pemulihan kunci; dan
• kehilangan peranti dalam tempoh pemulihan ditetapkan boleh diterima.

Profil terselaras mungkin sesuai apabila

• pekerja berizin memerlukan serahan terkawal atau beberapa peranti terurus;
• pembatalan, audit dan pemilihan versi ditetapkan jelas;
• lokasi data dan akses pembekal sepadan dengan kewajipan klien; dan
• pasukan telah menguji kerja luar talian, konflik dan pemulihan lengkap.

Model gabungan sering mencerminkan keperluan sebenar

Kekalkan pelaksanaan pelayar dan kandungan sensitif setempat secara lalai. Segerakkan kategori diluluskan sahaja, sulitkan berkas sensitif pada klien apabila model ancaman memerlukannya dan simpan metadata operasi minimum untuk kebenaran serta audit. Sediakan sandaran bebas daripada menjadikan salinan terselaras satu-satunya pemulihan.

Corak ini masih memerlukan bukti khusus produk. ‘Gabungan’ tidak menjelaskan data mana setempat, metadata mana jauh, siapa memegang kunci atau sama ada pemulihan berfungsi.