Bảo mật tại TYO Reach
Bảo mật là nền tảng cho những gì Reach thực hiện — bạn đang định tuyến lưu lượng truy cập của mình qua cơ sở hạ tầng của chúng tôi, vì vậy bạn có mọi quyền để biết chính xác cách nó được xử lý.
Cách lưu lượng truy cập của bạn di chuyển qua Reach
Hiểu đường dẫn dữ liệu giúp bạn đánh giá những gì chúng tôi có thể và không thể nhìn thấy — và tại sao thiết kế lại như vậy.
Khi Reach đang hoạt động, ứng dụng khách chạy một proxy cục bộ nhỏ (hỗ trợ HTTP CONNECT và SOCKS5) mà trình duyệt của bạn kết nối tới. Đối với HTTPS, khi trình duyệt mở một kết nối, proxy cục bộ trả về "200 Connection Established" rồi chuyển tiếp các byte thô, vẫn còn được mã hóa, đến cổng TYO Reach — chạy trên hạ tầng đám mây được quản lý tại khu vực bạn chọn — qua một đường hầm (tunnel) đã được xác thực; cổng gateway sau đó chuyển tiếp chính các byte đó đến máy chủ đích. Phiên TLS gốc của trình duyệt bạn chạy đầu-cuối-tới-đầu-cuối (end-to-end) đến trang web đích thông qua đường hầm đó — Reach chỉ là một đường ống, không phải một điểm cuối. Nó không bao giờ nhìn thấy văn bản gốc (plaintext), không bao giờ tạo hoặc trình bày chứng chỉ thay thế, và không cài đặt bất kỳ chứng chỉ gốc (CA) nào trên thiết bị của bạn. Máy chủ đích nhìn thấy địa chỉ IP của cổng gateway, không phải của bạn.
Thứ được xác thực là chính đường hầm, không phải lưu lượng truy cập của bạn: ứng dụng khách gửi tiêu đề X-Reach-Key khi mở đường hầm với cổng gateway, để cổng gateway có thể xác định tài khoản của bạn và thực thi hạn mức dữ liệu. Việc thực thi chính sách (tên miền nào thoát qua cổng gateway nào) và đo lường được áp dụng dựa trên siêu dữ liệu kết nối — máy chủ đích mà trình duyệt của bạn yêu cầu proxy kết nối tới, và số lượng byte — chứ không bao giờ bằng cách đọc nội dung đã giải mã.
Những gì chúng tôi ghi nhật ký — và những gì chúng tôi cố tình không ghi
Reach đo lường lượng dữ liệu bạn sử dụng. Theo mặc định, nó không ghi lại những gì bạn làm với dữ liệu đó — một nhật ký kết nối tùy chọn, tắt trừ khi bạn hoặc tổ chức của bạn bật nó, là ngoại lệ duy nhất.
Những gì chúng tôi ghi nhật ký theo mặc định
Chúng tôi ghi lại tổng khối lượng dữ liệu (byte) được chuyển qua tài khoản của bạn mỗi kỳ thanh toán. Đây là thông tin duy nhất cần thiết để thực thi hạn mức dữ liệu hàng tháng của bạn, và đó là điều duy nhất chúng tôi ghi nhật ký trừ khi bạn bật nhật ký kết nối tùy chọn.
Những gì chúng tôi không ghi nhật ký
Chúng tôi không bao giờ ghi nhật ký đường dẫn URL, chuỗi truy vấn, thuật ngữ tìm kiếm hoặc nội dung trang. Chúng tôi không ghi lại lịch sử các tên miền bạn truy cập trừ khi bạn (hoặc tổ chức của bạn) bật nhật ký kết nối tùy chọn, và ngay cả khi đó cũng chỉ lưu trữ tên máy chủ và thời điểm kết nối, không bao giờ là đường dẫn hoặc nội dung. Chúng tôi không xây dựng hồ sơ duyệt web hoặc chia sẻ dữ liệu lưu lượng truy cập với các nhà quảng cáo hoặc nhà cung cấp phân tích.
Nhật ký kết nối tùy chọn & lưu giữ
Dữ liệu đo lường số byte được lưu giữ trong kỳ thanh toán hiện tại của bạn cộng với một khoảng thời gian ngắn để giải quyết tranh chấp. Nhật ký kết nối (truy cập) tùy chọn được tắt theo mặc định; khi bạn hoặc tổ chức của bạn bật nó, siêu dữ liệu cấp kết nối (máy chủ, thời điểm, thời lượng) được lưu giữ tối đa 30 ngày và sau đó bị xóa. Tất cả nhật ký được lưu trữ trong Google Cloud tại khu vực Sydney.
Danh tính được hỗ trợ bởi TYO ID
Việc xác thực cho TYO Reach được xử lý bởi id.tyo.com.au — dịch vụ danh tính của riêng TYO — không phải nền tảng của bên thứ ba mà chúng tôi không kiểm soát.
Danh tính được lưu trữ tại Úc
TYO ID chạy trên Google Cloud tại Úc. Thông tin đăng nhập tài khoản của bạn không bao giờ truyền qua nền tảng danh tính của Hoa Kỳ hoặc EU. Các luồng đăng nhập sử dụng OAuth 2.0 với mã thông báo phiên ngắn hạn — thông tin đăng nhập dài hạn không bao giờ được lưu trữ trong ứng dụng khách.
MFA và TOTP
Xác thực đa yếu tố khả dụng qua TOTP (mật khẩu dùng một lần dựa trên thời gian — tương thích với bất kỳ ứng dụng xác thực RFC 6238 nào). Quản trị viên nhóm có thể yêu cầu MFA cho tất cả thành viên nhóm; người dùng không thể từ chối chính sách MFA do nhóm thực thi.
Đăng nhập Google & Microsoft
Các nhóm có thể đăng nhập bằng Google hoặc Microsoft. Liên kết thư mục Azure AD / OIDC doanh nghiệp có sẵn theo yêu cầu cho các tổ chức cần nó.
Cách cổng gateway được xây dựng và vận hành
Cổng gateway chạy trên cơ sở hạ tầng serverless được quản lý — không có máy ảo cố định, không có quyền truy cập SSH, không có bí mật dài hạn trong môi trường.
Google Cloud Run
Cổng proxy Reach chạy trên Cloud Run — nền tảng container serverless được quản lý của Google. Cloud Run tự động mở rộng, áp dụng bảo mật cơ sở hạ tầng cơ bản của Google và có nghĩa là không có máy ảo cố định nào để chúng tôi vá hoặc để kẻ tấn công tồn tại giữa các lần triển khai.
Không có quyền truy cập SSH vào môi trường sản xuất
Không có quyền truy cập SSH hoặc shell vào cổng gateway đang chạy. Tất cả các lần triển khai đều đi qua đường ống triển khai của Google Cloud. Việc khôi phục được thực hiện thông qua triển khai lại, không phải quyền truy cập bảng điều khiển.
GCP Secret Manager
Thông tin nhạy cảm — khóa API, mã thông báo dịch vụ, chuỗi kết nối cơ sở dữ liệu — được lưu trữ trong GCP Secret Manager, không phải trong tệp biến môi trường hoặc mã. Cổng gateway truy xuất bí mật khi khởi động qua API nội bộ đã được xác thực.
Tự động vá lỗi nền tảng
Cloud Run xử lý việc vá lỗi hệ điều hành và thời gian chạy tự động. Chúng tôi duy trì lớp ứng dụng; Google duy trì nền tảng. Không có bề mặt máy ảo chưa được vá lỗi.
Tìm thấy lỗ hổng bảo mật?
Nếu bạn đã tìm thấy vấn đề trong TYO Reach, chúng tôi muốn biết về nó trước khi nó được tiết lộ công khai.
Gửi mô tả về vấn đề đến [email protected]. Vui lòng bao gồm:
- Mô tả rõ ràng về lỗ hổng và tác động tiềm ẩn của nó.
- Các bước để tái tạo (bằng chứng khái niệm giúp chúng tôi phân loại nhanh hơn).
- Ảnh chụp màn hình, nhật ký hoặc bất kỳ bằng chứng hỗ trợ nào.
Chúng tôi đặt mục tiêu xác nhận tất cả các báo cáo bảo mật trong vòng một ngày làm việc và cung cấp mốc thời gian giải quyết trong vòng ba ngày làm việc kể từ khi xác nhận vấn đề. Vui lòng cho chúng tôi thời gian hợp lý để khắc phục vấn đề trước khi tiết lộ công khai.
Chúng tôi yêu cầu bạn:
- Không truy cập hoặc sửa đổi dữ liệu thuộc về người dùng khác.
- Không thực hiện kiểm tra từ chối dịch vụ đối với các hệ thống sản xuất.
- Hành động với thiện chí.
Hiện tại chúng tôi không chạy chương trình tiền thưởng lỗi có trả phí, nhưng chúng tôi sẽ ghi nhận các nhà nghiên cứu trong ghi chú phát hành với sự cho phép của họ.
Reach có nhìn thấy mật khẩu của tôi không?
Không. Nếu bạn đang đăng nhập vào một trang web qua HTTPS — mà hầu như tất cả các trang đăng nhập đều sử dụng — phiên TLS của bạn chạy đầu-cuối-tới-đầu-cuối giữa trình duyệt và trang web đích thông qua đường hầm của Reach; Reach chỉ chuyển tiếp các byte đã mã hóa và không bao giờ giải mã chúng. Về mặt cấu trúc, nó không thể nhìn thấy nội dung của biểu mẫu đăng nhập, bao gồm cả mật khẩu của bạn. Theo nguyên tắc chung: tránh gửi thông tin đăng nhập qua HTTP không mã hóa trên bất kỳ mạng nào.
Reach có thể đọc nội dung duyệt web HTTPS của tôi không?
Đối với HTTPS — hầu như toàn bộ hoạt động duyệt web hiện đại — không. Reach không chặn cũng không giải mã lưu lượng HTTPS — nó chỉ chuyển tiếp lưu lượng đã được mã hóa sẵn của bạn qua một đường hầm, và phiên TLS của bạn đến trang web đích theo kiểu đầu-cuối-tới-đầu-cuối. Cổng gateway biết tên máy chủ đích (ví dụ: example.com) chỉ vì trình duyệt của bạn cho proxy biết cần kết nối tới đâu (đích CONNECT tiêu chuẩn), chứ không phải bằng cách phân tích bất kỳ thứ gì bên trong quá trình bắt tay đã mã hóa — và nó không bao giờ thấy đường dẫn URL, chuỗi truy vấn hoặc nội dung trang. Đây là một đảm bảo về mặt cấu trúc của thiết kế đường hầm đối với HTTPS, không chỉ đơn thuần là một chính sách ghi nhật ký. Theo mặc định, chúng tôi hoàn toàn không ghi nhật ký tên máy chủ; chúng chỉ được ghi lại nếu bạn hoặc tổ chức của bạn bật nhật ký kết nối tùy chọn (chỉ tên máy chủ và thời điểm kết nối, được lưu giữ trong 30 ngày). Đối với một thiểu số nhỏ lưu lượng truy cập HTTP không mã hóa vẫn tồn tại trên internet, đảm bảo về mặt cấu trúc này không áp dụng — proxy cục bộ về mặt kỹ thuật có khả năng đọc yêu cầu, giống như bất kỳ proxy chuyển tiếp văn bản thuần túy nào khác, nhưng chúng tôi không kiểm tra hoặc lưu trữ nội dung của nó.
Dữ liệu của tôi được lưu trữ ở đâu?
Dữ liệu tài khoản, hồ sơ đo lường và bất kỳ nhật ký nào được lưu trữ trong Google Cloud tại khu vực Sydney. Chúng tôi không sao chép dữ liệu cá nhân sang các khu vực pháp lý bên ngoài Úc trừ khi được yêu cầu bởi các hoạt động cơ sở hạ tầng tiêu chuẩn của Google. Xem Chính sách quyền riêng tư của chúng tôi để biết chi tiết đầy đủ.
Làm thế nào để tôi báo cáo lỗ hổng bảo mật?
Gửi email đến [email protected] với mô tả về vấn đề, các bước để tái tạo và bất kỳ tài liệu hỗ trợ nào. Chúng tôi đặt mục tiêu xác nhận tất cả các báo cáo trong vòng một ngày làm việc. Vui lòng cho chúng tôi thời gian để giải quyết vấn đề trước khi tiết lộ công khai.