A Sunset Docs célja, hogy csökkentse a felesleges dokumentummásolatok számát, és korlátozza, meddig maradnak elérhetők az aktív fájlok. Ez az oldal bemutatja az általunk alkalmazott védelmi intézkedéseket és azok gyakorlati korlátait. Nem tanúsítvány, és nem garantálja, hogy minden fenyegetés megelőzhető.
1. Megosztott felelősség
A Sunset Docs védi a szolgáltatást és az általa kezelt adatokat. Az ügyfél felelőssége, hogy minden dokumentum bekérésére jogszerű oka legyen, megfelelő törlési dátumot válasszon, kézben tartsa a munkaterület tagságát, és védje a szolgáltatásból letöltött vagy azon kívül őrzött másolatokat.
A Sunset Docs használata önmagában nem teszi az ügyfelet a GDPR-nak vagy más jogi vagy ágazati követelménynek megfelelővé.
2. Fiókok és hozzáférés a munkaterülethez
Minden dokumentumkérést összevetünk a bejelentkezett felhasználó munkaterület-tagságával. A munkaterület tulajdonosa szabályozza a tagok hozzáférését és az eredeti fájlok letöltésére vonatkozó jogosultságokat. A kétlépcsős azonosítás minden fiókhoz elérhető, és bekapcsolása után a bejelentkezéskor kötelező.
A jelszavakat Argon2id eljárással tároljuk hashelve. A munkamenetek hét nap után lejárnak, és Secure, SameSite sütiket, CSRF-védelmet és szerveroldali visszavonást használnak. A jelszó visszaállítása visszavonja a meglévő munkameneteket.
3. Titkosítás és tárolás
Az eredeti dokumentumokat, az előnézeteket és a generált másolatokat az alkalmazás AES-256-GCM titkosítással látja el tárolás előtt. Minden dokumentumnak saját adatkulcsa van, amelyet külön a szolgáltatás mesterkulcsával csomagolunk be.
Az aktív titkosított objektumokat privát Hetzner-infrastruktúrán tároljuk, és egy privát Cloudflare R2 tárolóba tükrözzük. Nyilvános objektum-URL-eket nem használunk, és a tárolási útvonalak nem tartalmazzák az ügyfelek fájlneveit. Az adatokat továbbítás közben TLS védi.
4. Fájlfogadás és kártevő-ellenőrzés
A támogatott fájlokat tartalmuk alapján ellenőrizzük, karanténba helyezzük és átvizsgáljuk, mielőtt elérhetővé válnának. A jelszóval védett, hibás, nem támogatott vagy gyanús fájlokat elutasítjuk. A karanténban lévő fájlokat a webalkalmazás nem szolgálja ki.
A kártevő-ellenőrzés és a validálás csökkenti a kockázatot, de nem képes minden ártalmas fájlt felismerni. A sikeres ellenőrzés nem bizonyítja, hogy egy fájl biztonságos vagy hiteles.
5. A megtekintés és a letöltés határai
Csak megtekintés módban a rendszer generált oldalképeket szolgál ki az eredeti fájl helyett. Az oldal-, nyomtatási és eredetifájl-kérések rövid ideig érvényes, aláírt engedélyt és szigorú gyorsítótár-fejléceket használnak. A megtekintő vízjelei azonosítják a bejelentkezett felhasználót és az időpontot.
Aki lát egy dokumentumot, az lefényképezheti vagy rögzítheti a képernyőt. A nyomtatás újabb másolatot hoz létre: a munkaterület tulajdonosa dönti el, hogy a nyomtatott példányokon legyen-e vízjel, és minden nyomtatás bekerül a tevékenységnaplóba. A munkaterület tulajdonosa külön engedélyezheti az eredeti fájlok letöltését.
6. Ütemezett és kézi törlés
Minden dokumentumnak van törlési dátuma. Az ütemezett vagy jogosult személy által indított kézi törlés eltávolítja a helyi tárolóból és az R2-ből az aktív eredeti fájlokat, az előnézeteket, az ideiglenes nyomtatási kimenetet, a becsomagolt kulcsokat, a fájlneveket, a feladó adatait és az egyéb érzékeny metaadatokat.
Egy minimális, tartalmat nem tartalmazó nyilvántartási bejegyzés 12 hónapig megmarad. Ez rögzíti, hogy a törlés megtörtént, de nem őrzi meg a dokumentumot, a fájlnevet vagy a feladó személyét.
7. Biztonsági mentések és helyreállítás
A titkosított adatbázis-mentések el vannak különítve a szokásos alkalmazás-hozzáféréstől, és 30 napon belül lejárnak. Ha törölt adat védett mentésmaradványként megmarad, azt nem állítjuk vissza a szokásos ügyfél-hozzáféréshez, és az adott mentéssel együtt jár le.
Az R2 objektum-életciklus biztonsági határként szolgál. Az egyes dokumentumok pontos törlési dátumának betartásáért az alkalmazás törlési feladata felel.
8. Üzemeltetési intézkedések
Az alkalmazás fordított proxy mögött fut, a dokumentumtároló a nyilvános webes gyökérkönyvtáron kívül helyezkedik el, és a dokumentumokkal kapcsolatos lényeges műveleteket naplózzuk. Az éles környezethez csak azok férhetnek hozzá, akiknek erre a szolgáltatás működtetéséhez vagy védelméhez szükségük van, és titoktartási kötelezettség terheli őket.
A tranzakciós e-mailek nem tartalmaznak dokumentumcsatolmányt, fájlnevet, előnézetet, feladói azonosítót vagy dokumentum-hozzáférést biztosító linket. A beérkező dokumentum-e-maileket közvetlenül a Sunset Docs fogadja, a csatolmányokat pedig a fogadás után eltávolítjuk a levélfeldolgozásból.
9. Biztonsági incidensek
Kivizsgáljuk a feltételezett incidenseket, elhárítjuk a megerősített problémákat, megőrizzük a vizsgálathoz szükséges bizonyítékokat, és indokolatlan késedelem nélkül értesítjük az érintett ügyfeleket, ha az ügyfelek személyes adatai is érintettek. Ha még nem áll rendelkezésre minden részlet, az információkat szakaszosan adjuk meg.
10. Korlátok a Sunset Docson kívül
Az e-mailes fogadás nem tudja eltávolítani azokat a másolatokat, amelyek már a feladó Elküldött mappájában, levelezőszerverén, mentésében vagy más külső rendszerben vannak. Ha egy dokumentumot töröl a Sunset Docsból, az nem törli azokat a másolatokat, amelyeket egy ügyfél vagy más személy letöltött, kinyomtatott, lefényképezett vagy máshol tárolt.
11. Sebezhetőség bejelentése
Biztonsági bejelentéseit a [email protected] címre küldje. Ne csatoljon személyes dokumentumokat vagy ügyféladatokat. Ne férjen hozzá olyan adatokhoz, amelyek nem az Önéi, ne zavarja a szolgáltatás működését, és ne alkalmazzon social engineeringet. Ha ügyféladatokkal találkozik, álljon meg, és csak a vizsgálathoz feltétlenül szükséges információkat jelentse.