Napsáno pro bezpečnostní týmy a o našem vlastním produktu stejně jako o jakémkoli jiném.

Úvod

Tento článek je publikován na blogu bezplatného online prohlížeče dokumentů. Stojí za to to uvést v první větě, protože žánr, do kterého patří — „skrytá nebezpečí bezplatných PDF nástrojů“ — je obvykle prodejní řeč v laboratorním plášti, a měli byste tento článek číst s tímto vědomím.

Takže zde je odhalení hned na začátku. Doconut.app je bezplatný hostovaný prohlížeč. Když jej použijete, váš PDF se nahraje na naše servery, tam se vykreslí a po skončení vaší relace prohlížení se smaže. Vše, co je níže uvedeno o strukturálních rizicích nahrávání dokumentu do infrastruktury někoho jiného, se vztahuje i na nás. Nebudeme tvrdit něco jiného; budeme konkrétní ohledně toho, co děláme a neděláme, a necháme vás rozhodnout, které dokumenty sem patří.

1. Riziko je strukturální, ne exotické

Zajímavá rizika nejsou zero-day útoky. Jedná se o běžné důsledky toho, že soubor je někde, kde nemáte kontrolu.

Nahrávání je skutečné. Hostovaný prohlížeč musí dokument přijmout, aby jej mohl vykreslit. Každý, kdo tvrdí, že hostovaná služba „soubor nikdy neopustí váš počítač“, buď popisuje čistě klientský nástroj, nebo něco nepřesně popisuje. Na Doconut.app probíhá nahrávání přes HTTPS, což ho chrání během přenosu — a poté je soubor na našich serverech, protože tak musí být.

Uchovávání je slib, ne mechanismus, který můžete zkontrolovat. Říkáme, že soubor je smazán po skončení relace. To je pravda a zvenčí to nemůžete ověřit. To je jádro problému u každého bezplatného prohlížeče, včetně tohoto: rozšiřujete důvěru na organizaci, se kterou nemáte žádnou smlouvu.

Sdílená infrastruktura je sdílená. Bezplatná veřejná služba zpracovává dokumenty mnoha zákazníků na společné infrastruktuře. To představuje odlišný rizikový postoj než software běžící ve vaší vlastní síti, bez ohledu na to, jak pečlivě je provozován.

Žádná dohoda neznamená žádný právní základ. Pokud zpracováváte osobní údaje podle GDPR nebo PHI podle HIPAA, přesunutí souboru k zpracovateli bez smlouvy o zpracování údajů (Data Processing Agreement) nebo smlouvy o obchodním partnerství (Business Associate Agreement) představuje problém v okamžiku nahrání — ať už dojde k jakémukoli narušení, nebo ne. Doconut.app nemá s vámi žádnou DPA ani BAA. Pro regulovaný materiál je to celé odpověď a žádné množství šifrování to nezmění.

2. Co neděláme

Žánr, do kterého tento článek patří, má tendenci slibovat vše. Protože zde jde o kalibraci, užitečnější je seznam toho, co chybí:

Žádné bezpečnostní certifikace. Žádné ISO 27001, žádné SOC 2, žádná attestace HIPAA, žádné hodnocení PCI DSS. Ne pro bezplatné stránky, ani pro SDK. Pokud váš dotazník dodavatele požaduje certifikát, my jej nemáme.
Žádný auditní záznam. Na Doconut.app neexistují žádné účty, takže není co přiřadit k přístupu a není žádná stopa, kterou bychom vám mohli předat.
Žádné odstraňování metadat. Dokument vykreslujeme tak, jak je. Jména autorů, historie revizí a komentáře v souboru zůstávají v souboru — což je dobré vědět před odesláním smlouvy, i když toto riziko patří spíše dokumentu než nám.
Žádné šifrování v klidu, o kterém by se dalo mluvit. Neposkytujeme šifrované úložiště, protože neumožňujeme úložiště. Neponechání něčeho je silnější vlastnost než jeho šifrování, ale je to jiná vlastnost a dodavatelé ji často zaměňují.
Žádné konfigurovatelné uchovávání. Časování je naše. Neexistuje žádné nastavení, které byste mohli upravit.

3. Co děláme

Nahrávání probíhá přes HTTPS.
Dokument je vykreslován na našich serverech, a prohlížeč dostává stránky místo zdrojového souboru.
Vykreslování není vykonávání: makra v souboru Office se nespouští, a akce PDF nejsou aktivovány. Prohlížeč dokument jen vykreslí.
Soubor je smazán po ukončení relace prohlížení. Žádná knihovna, žádná historie, žádný účet.
Nahrávač odmítá, co nedokáže zpracovat před odesláním – pevný seznam více než 70 přípon, s maximální velikostí pro každý formát od 5 MB do 25 MB.
DICOM je úmyslně vyloučen. .dcm a .ima nejsou akceptovány, právě proto, že soubor DICOM obsahuje identifikátory pacienta spolu s obrázkem a veřejný nahrávací endpoint není pro to vhodný.

4. Test, který můžete použít na jakýkoli bezplatný prohlížeč, včetně tohoto

Místo inventáře hrozeb čtyři otázky, které oddělují použitelné od nepoužitelných:

Říká jasně, zda je soubor nahrán? Pokud je odpověď nejasná, předpokládejte, že je nahrán.
Uvádí konkrétní dobu uchování? „Smazáno po ukončení vaší relace“ nebo „odstraněno po 60 minutách“ jsou odpovědi. „Vaše soubory jsou u nás v bezpečí“ není.
Podepíše smlouvu? Pro regulovaná data je to jediná podstatná otázka a bezplatné služby to téměř nikdy neudělají. My ne.
Tvrdí, že má certifikace? Pokud ano, požádejte o certifikát a jeho rozsah. Mnoho takových tvrzení v této kategorii nevyjde při požadavku.

Uplatněno na Doconut.app: ano, nahrává, ano, smazání je po ukončení relace, ne, nepodepíšeme DPA, a ne, nemáme žádné certifikace. Tato kombinace vyhovuje mnoha dokumentům, ale pro některé je diskvalifikační. Podstatou je, že můžete rozpoznat, co je co.

5. Kdy je hostovaný prohlížeč špatný nástroj

Pokud je dokument podřízen režimu souladu, podléhá povinnosti zachování důvěrnosti klienta nebo je to něco, co byste nechtěli vysvětlovat při revizi incidentu, žádný bezplatný hostovaný prohlížeč není správná volba – včetně našeho. Strukturální řešení je udržet vykreslování uvnitř vaší vlastní sítě.

K tomu slouží Doconut SDK: stejný .NET vykreslovací engine jako na tomto webu, nainstalovaný ve vašem prostředí. Vykresluje na vašich serverech a nevolá k nám, takže dokument nikdy nepřekročí hranici, kterou jste již neohodnotili.

Buďte stejně jasní ohledně toho, co SDK není. Neposkytuje šifrování v klidu, správu klíčů, integraci poskytovatele identity ani auditní log a nemůže učinit vaši aplikaci v souladu s čímkoli. Tyto kontroly jsou vaše – to je podstatné, protože jsou to také ty, které můžete již doložit. Komponenta běžící ve vaší síti a nevolající nikam je architektonický argument a pro většinu bezpečnostních revizí je užitečnější než certifikát třetí strany.

Závěr

Bezplatné PDF prohlížeče jsou skutečně užitečné a většina dokumentů, se kterými lidé pracují, není citlivá. Selhání není v jejich používání; selhání je v používání bez vědomí, do jaké kategorie váš soubor patří.

Pro běžný dokument, který potřebujete přečíst jednou, je rozumnou volbou prohlížeč, který nic neukládá – a je bezpečnější než stáhnout soubor a otevřít jej v libovolném nainstalovaném programu. Doconut.app to udělá, zdarma, bez účtu a po skončení soubor smaže.

U všeho, co podléhá povinnosti, kterou musíte obhájit, zachovejte zpracování na hardware, který ovládáte.

Okamžité kroky

Auditujte PDF workflow ve vaší organizaci a katalogizujte již používané bezplatné nástroje – obvykle jich je více, než si kdo představuje.
Klasifikujte, které typy dokumentů mohou vůbec jít na hostovanou službu. Jedná se o rozhodnutí politiky, ne technické.
Přesuňte zbytek interně, ať už pomocí Doconut SDK nebo ekvivalentu, a uchovejte důkazy, o které vaši auditoři požádají.