Bảo mật tại TYO Reach
Bảo mật là nền tảng cho những gì Reach thực hiện — bạn đang định tuyến lưu lượng truy cập của mình qua cơ sở hạ tầng của chúng tôi, vì vậy bạn có mọi quyền để biết chính xác cách nó được xử lý.
Cách lưu lượng truy cập của bạn di chuyển qua Reach
Hiểu đường dẫn dữ liệu giúp bạn đánh giá những gì chúng tôi có thể và không thể nhìn thấy — và tại sao thiết kế lại như vậy.
Khi Reach đang hoạt động, lưu lượng truy cập đã chọn từ thiết bị của bạn sẽ truyền đến cổng TYO Reach qua kết nối HTTPS được mã hóa. Cổng gateway — chạy trên Google Cloud Run tại Sydney — chuyển tiếp yêu cầu đến máy chủ đích thay mặt bạn. Máy chủ đích nhìn thấy địa chỉ IP của cổng gateway, không phải của bạn. TLS được thực thi tại mỗi bước nhảy: từ thiết bị của bạn đến cổng gateway và từ cổng gateway đến đích.
TYO Reach sử dụng mitmproxy làm công cụ proxy cơ bản. "Man-in-the-middle" là mô tả kỹ thuật về cách proxy chặn kết nối, không phải mô tả về ý định. Việc chặn này là cần thiết cho hai mục đích cụ thể:
- Xác thực. Reach thêm tiêu đề
Proxy-Authorisationđể cổng gateway có thể xác định tài khoản nào thuộc về yêu cầu và thực thi hạn mức dữ liệu của bạn. - Thực thi chính sách. Các quy tắc định tuyến — tên miền nào thoát qua cổng gateway nào — được áp dụng ở lớp này.
Proxy kết thúc phiên TLS của bạn, kiểm tra siêu dữ liệu HTTP (tên máy chủ và phương thức), áp dụng chính sách và mã hóa lại yêu cầu trước khi chuyển tiếp. Chứng chỉ TLS đích được cổng gateway xác thực bình thường. Đây là mô hình tương tự được sử dụng bởi các cổng bảo mật web doanh nghiệp.
Những gì chúng tôi ghi nhật ký — và những gì chúng tôi cố tình không ghi
Reach đo lường lượng dữ liệu bạn sử dụng. Theo mặc định, nó không ghi lại những gì bạn làm với dữ liệu đó — một nhật ký kết nối tùy chọn, tắt trừ khi bạn hoặc tổ chức của bạn bật nó, là ngoại lệ duy nhất.
Những gì chúng tôi ghi nhật ký theo mặc định
Chúng tôi ghi lại tổng khối lượng dữ liệu (byte) được chuyển qua tài khoản của bạn mỗi kỳ thanh toán. Đây là thông tin duy nhất cần thiết để thực thi hạn mức dữ liệu hàng tháng của bạn, và đó là điều duy nhất chúng tôi ghi nhật ký trừ khi bạn bật nhật ký kết nối tùy chọn.
Những gì chúng tôi không ghi nhật ký
Chúng tôi không bao giờ ghi nhật ký đường dẫn URL, chuỗi truy vấn, thuật ngữ tìm kiếm hoặc nội dung trang. Chúng tôi không ghi lại lịch sử các tên miền bạn truy cập trừ khi bạn (hoặc tổ chức của bạn) bật nhật ký kết nối tùy chọn, và ngay cả khi đó cũng chỉ lưu trữ tên máy chủ và thời điểm kết nối, không bao giờ là đường dẫn hoặc nội dung. Chúng tôi không xây dựng hồ sơ duyệt web hoặc chia sẻ dữ liệu lưu lượng truy cập với các nhà quảng cáo hoặc nhà cung cấp phân tích.
Nhật ký kết nối tùy chọn & lưu giữ
Dữ liệu đo lường số byte được lưu giữ trong kỳ thanh toán hiện tại của bạn cộng với một khoảng thời gian ngắn để giải quyết tranh chấp. Nhật ký kết nối (truy cập) tùy chọn được tắt theo mặc định; khi bạn hoặc tổ chức của bạn bật nó, siêu dữ liệu cấp kết nối (máy chủ, thời điểm, thời lượng) được lưu giữ tối đa 30 ngày và sau đó bị xóa. Tất cả nhật ký được lưu trữ trong Google Cloud tại khu vực Sydney.
Danh tính được hỗ trợ bởi TYO ID
Việc xác thực cho TYO Reach được xử lý bởi id.tyo.com.au — dịch vụ danh tính của riêng TYO — không phải nền tảng của bên thứ ba mà chúng tôi không kiểm soát.
Danh tính được lưu trữ tại Úc
TYO ID chạy trên Google Cloud tại Úc. Thông tin đăng nhập tài khoản của bạn không bao giờ truyền qua nền tảng danh tính của Hoa Kỳ hoặc EU. Các luồng đăng nhập sử dụng OAuth 2.0 với mã thông báo phiên ngắn hạn — thông tin đăng nhập dài hạn không bao giờ được lưu trữ trong ứng dụng khách.
MFA và TOTP
Xác thực đa yếu tố khả dụng qua TOTP (mật khẩu dùng một lần dựa trên thời gian — tương thích với bất kỳ ứng dụng xác thực RFC 6238 nào). Quản trị viên nhóm có thể yêu cầu MFA cho tất cả thành viên nhóm; người dùng không thể từ chối chính sách MFA do nhóm thực thi.
Đăng nhập Google & Microsoft
Các nhóm có thể đăng nhập bằng Google hoặc Microsoft. Liên kết thư mục Azure AD / OIDC doanh nghiệp có sẵn theo yêu cầu cho các tổ chức cần nó.
Cách cổng gateway được xây dựng và vận hành
Cổng gateway chạy trên cơ sở hạ tầng serverless được quản lý — không có máy ảo cố định, không có quyền truy cập SSH, không có bí mật dài hạn trong môi trường.
Google Cloud Run
Cổng proxy Reach chạy trên Cloud Run — nền tảng container serverless được quản lý của Google. Cloud Run tự động mở rộng, áp dụng bảo mật cơ sở hạ tầng cơ bản của Google và có nghĩa là không có máy ảo cố định nào để chúng tôi vá hoặc để kẻ tấn công tồn tại giữa các lần triển khai.
Không có quyền truy cập SSH vào môi trường sản xuất
Không có quyền truy cập SSH hoặc shell vào cổng gateway đang chạy. Tất cả các lần triển khai đều đi qua đường ống triển khai của Google Cloud. Việc khôi phục được thực hiện thông qua triển khai lại, không phải quyền truy cập bảng điều khiển.
GCP Secret Manager
Thông tin nhạy cảm — khóa API, mã thông báo dịch vụ, chuỗi kết nối cơ sở dữ liệu — được lưu trữ trong GCP Secret Manager, không phải trong tệp biến môi trường hoặc mã. Cổng gateway truy xuất bí mật khi khởi động qua API nội bộ đã được xác thực.
Tự động vá lỗi nền tảng
Cloud Run xử lý việc vá lỗi hệ điều hành và thời gian chạy tự động. Chúng tôi duy trì lớp ứng dụng; Google duy trì nền tảng. Không có bề mặt máy ảo chưa được vá lỗi.
Tìm thấy lỗ hổng bảo mật?
Nếu bạn đã tìm thấy vấn đề trong TYO Reach, chúng tôi muốn biết về nó trước khi nó được tiết lộ công khai.
Gửi mô tả về vấn đề đến [email protected]. Vui lòng bao gồm:
- Mô tả rõ ràng về lỗ hổng và tác động tiềm ẩn của nó.
- Các bước để tái tạo (bằng chứng khái niệm giúp chúng tôi phân loại nhanh hơn).
- Ảnh chụp màn hình, nhật ký hoặc bất kỳ bằng chứng hỗ trợ nào.
Chúng tôi đặt mục tiêu xác nhận tất cả các báo cáo bảo mật trong vòng một ngày làm việc và cung cấp mốc thời gian giải quyết trong vòng ba ngày làm việc kể từ khi xác nhận vấn đề. Vui lòng cho chúng tôi thời gian hợp lý để khắc phục vấn đề trước khi tiết lộ công khai.
Chúng tôi yêu cầu bạn:
- Không truy cập hoặc sửa đổi dữ liệu thuộc về người dùng khác.
- Không thực hiện kiểm tra từ chối dịch vụ đối với các hệ thống sản xuất.
- Hành động với thiện chí.
Hiện tại chúng tôi không chạy chương trình tiền thưởng lỗi có trả phí, nhưng chúng tôi sẽ ghi nhận các nhà nghiên cứu trong ghi chú phát hành với sự cho phép của họ.
Reach có nhìn thấy mật khẩu của tôi không?
Nếu bạn đang đăng nhập vào một trang web qua HTTPS — mà hầu như tất cả các trang đăng nhập đều sử dụng — nội dung của biểu mẫu đăng nhập, bao gồm cả mật khẩu của bạn, được mã hóa đầu cuối giữa trình duyệt của bạn và trang web đích. Cổng Reach nhìn thấy tên máy chủ của kết nối nhưng không thể đọc nội dung của yêu cầu, bao gồm cả các trường mật khẩu. Theo nguyên tắc chung: tránh gửi thông tin đăng nhập qua HTTP không mã hóa trên bất kỳ mạng nào.
Reach có thể đọc nội dung duyệt web HTTPS của tôi không?
Đối với các kết nối HTTPS, cổng gateway nhìn thấy tên máy chủ (ví dụ: example.com) nhưng không thấy đường dẫn URL, chuỗi truy vấn hoặc nội dung trang. Theo mặc định, chúng tôi hoàn toàn không ghi nhật ký tên máy chủ; chúng chỉ được ghi lại nếu bạn hoặc tổ chức của bạn bật nhật ký kết nối tùy chọn (chỉ tên máy chủ và thời điểm kết nối, được lưu giữ trong 30 ngày). Đối với một thiểu số nhỏ lưu lượng truy cập HTTP không mã hóa vẫn tồn tại trên internet, cổng gateway về mặt kỹ thuật có khả năng đọc yêu cầu, nhưng chúng tôi không kiểm tra hoặc lưu trữ nội dung của nó.
Dữ liệu của tôi được lưu trữ ở đâu?
Dữ liệu tài khoản, hồ sơ đo lường và bất kỳ nhật ký nào được lưu trữ trong Google Cloud tại khu vực Sydney. Chúng tôi không sao chép dữ liệu cá nhân sang các khu vực pháp lý bên ngoài Úc trừ khi được yêu cầu bởi các hoạt động cơ sở hạ tầng tiêu chuẩn của Google. Xem Chính sách quyền riêng tư của chúng tôi để biết chi tiết đầy đủ.
Làm thế nào để tôi báo cáo lỗ hổng bảo mật?
Gửi email đến [email protected] với mô tả về vấn đề, các bước để tái tạo và bất kỳ tài liệu hỗ trợ nào. Chúng tôi đặt mục tiêu xác nhận tất cả các báo cáo trong vòng một ngày làm việc. Vui lòng cho chúng tôi thời gian để giải quyết vấn đề trước khi tiết lộ công khai.