برای تیم‌های امنیتی نوشته شده و درباره محصول خودمان به همان اندازه که درباره هر محصول دیگری است.
مقدمه
این مقاله در وبلاگ یک نمایشگر آنلاین رایگان اسناد منتشر شده است. ذکر این در خط اول ارزش دارد، زیرا ژانری که به آن تعلق دارد — «خطرات پنهان ابزارهای رایگان PDF» — معمولاً یک تبلیغ فروش با پوشش آزمایشگاهی است و شما باید این مقاله را با این ذهنیت بخوانید.
بنابراین اینجا اعلامیه را در ابتدا می‌گذاریم. Doconut.app یک نمایشگر میزبانی‌شده رایگان است. وقتی از آن استفاده می‌کنید، PDF شما به سرورهای ما بارگذاری می‌شود، در آنجا رندر می‌شود و وقتی جلسه مشاهده شما پایان می‌یابد حذف می‌شود. تمام مطالب زیر درباره خطرات ساختاری بارگذاری یک سند به زیرساخت شخص دیگری نیز برای ما صادق است. ما قصد نداریم خلاف این را استدلال کنیم؛ ما به‌طور مشخص درباره آنچه انجام می‌دهیم و انجام نمی‌دهیم توضیح خواهیم داد و به شما اجازه می‌دهیم تصمیم بگیرید کدام اسناد اینجا جای دارند.
1. خطر ساختاری است، نه عجیب
خطرات جالب، روزهای صفر نیستند. آنها پیامدهای عادی فایل بودن در جایی است که شما آن را کنترل نمی‌کنید.
بارگذاری واقعی است. یک نمایشگر میزبانی‌شده باید سند را دریافت کند تا بتواند آن را رندر کند. هر کسی که ادعا می‌کند سرویس میزبانی‌شده‌ای دارد که «فایل هرگز از دستگاه شما خارج نمی‌شود» یا توصیف می‌کند که ابزار صرفاً سمت‑کلاینت است یا به‌درستی توصیف نمی‌کند. در Doconut.app بارگذاری از طریق HTTPS انجام می‌شود که در انتقال آن را محافظت می‌کند — و سپس فایل روی سرورهای ما قرار می‌گیرد، چون این لازم است.
نگهداری یک وعده است، نه مکانیزمی که بتوانید بررسی کنید. ما می‌گوییم فایل وقتی جلسه پایان می‌یابد حذف می‌شود. این درست است و شما نمی‌توانید از بیرون آن را تأیید کنید. این هستهٔ مشکل با هر نمایشگر رایگان است، از جمله این نمایشگر: شما به سازمانی که هیچ قراردادی با آن ندارید، اعتماد می‌کنید.
زیرساخت مشترک، مشترک است. یک سرویس عمومی رایگان اسناد بسیاری از مشتریان را روی زیرساخت مشترک پردازش می‌کند. این وضعیت ریسک متفاوتی نسبت به نرم‌افزاری دارد که داخل شبکهٔ خودتان اجرا می‌شود، صرف‌نظر از اینکه چقدر با دقت اداره شود.
بدون توافق، پایهٔ قانونی نیست. اگر داده‌های شخصی را تحت GDPR یا PHI تحت HIPAA مدیریت می‌کنید، انتقال فایلی به پردازشگری بدون توافق‌نامهٔ پردازش داده (DPA) یا توافق‌نامهٔ شریک تجاری (BAA) در لحظهٔ بارگذاری مشکل‌ساز است — چه نقضی رخ دهد یا نه. Doconut.app هیچ DPA و هیچ BAA با شما ندارد. برای مطالب تنظیم‌شده، این تمام پاسخ است و هیچ مقدار رمزنگاری‌ای آن را تغییر نمی‌دهد.
2. آنچه ما انجام نمی‌دهیم
ژانری که این مقاله به آن تعلق دارد تمایل دارد همه چیز را وعده بدهد. از آنجا که هدف اینجا تنظیم دقیق است، فهرست مفیدتر آنچه غایب است، می‌باشد:
- بدون گواهی‌های امنیتی. هیچ ISO 27001، هیچ SOC 2، هیچ تأییدیهٔ HIPAA، هیچ ارزیابی PCI DSS. نه برای سایت‌های رایگان، نه برای SDK. اگر پرسش‌نامهٔ فروشندهٔ شما درخواست گواهی می‌کند، ما گواهی نداریم.
- بدون لاگ حسابرسی. در Doconut.app حساب کاربری وجود ندارد، بنابراین چیزی برای نسبت دادن دسترسی و هیچ ردپایی برای ارائه به شما وجود ندارد.
- بدون حذف متادیتا. ما سند را همان‌طور که هست رندر می‌کنیم. نام نویسندگان، تاریخچهٔ بازنگری و نظرات در فایل باقی می‌مانند — که پیش از ارسال یک قرارداد دانستن آن ارزش دارد، هرچند این ریسک به سند تعلق دارد نه به ما.
- بدون رمزنگاری در حالت استراحت. ما ذخیره‌سازی رمزنگاری‌شده ارائه نمی‌کنیم، زیرا ذخیره‌سازی ارائه نمی‌کنیم. نگه‌نداشتن چیزی نیستنقضی قوی‌تر از رمزنگاری آن است، اما خاصیت متفاوتی است و فروشندگان این دو را با هم مخلوط می‌کنند.
- بدون تنظیمات نگهداری قابل پیکربندی. زمان‌بندی به عهدهٔ ماست. هیچ تنظیمی برای شما برای تغییر آن وجود ندارد.
3. کاری که انجام می‌دهیم
- بارگذاری از طریق HTTPS انجام می‌شود.
- سند در سرورهای ما رندر می‌شود و مرورگر صفحات را دریافت می‌کند نه فایل منبع.
- رندر کردن اجرای کد نیست: ماکروهای موجود در یک فایل Office اجرا نمی‌شوند و اقدامات PDF فعال نمی‌شوند. نمایشگر سند را می‌کشد.
- فایل زمانی که جلسه مشاهده پایان می‌یابد حذف می‌شود. بدون کتابخانه، بدون تاریخچه، بدون حساب کاربری.
- آپلودکننده مواردی که نمی‌تواند پردازش کند را رد می‌کند پیش از ارسال — فهرستی ثابت از بیش از ۷۰ پسوند، با سقف اندازه برای هر فرمت از ۵ مگابایت تا ۲۵ مگابایت.
- DICOM عمداً حذف شده است. پسوندهای
.dcmو.imaپذیرفته نمی‌شوند، دقیقاً به این دلیل که یک فایل DICOM شامل شناسه‌های بیمار همراه با تصویر است و نقطه انتهایی عمومی برای بارگذاری مکان مناسبی برای آن نیست.
4. آزمونی که می‌توانید بر روی هر نمایشگر رایگان، از جمله این، اعمال کنید
به‌جای فهرست تهدیدها، چهار سؤال که قابل استفاده بودن را از غیرقابل استفاده جدا می‌کند:
- آیا به‌وضوح می‌گوید که فایل بارگذاری شده است؟ اگر پاسخ مبهم باشد، فرض کنید که بارگذاری شده است.
- آیا دوره نگهداری را به‌صورت واضح بیان می‌کند؟ «زمانی که جلسه شما پایان می‌یابد حذف می‌شود» یا «پس از ۶۰ دقیقه حذف می‌شود» پاسخ‌های قابل قبول هستند. «فایل‌های شما در امان هستند» پاسخ نیست.
- آیا آماده امضای توافق‌نامه است؟ برای داده‌های تنظیم‌شده این تنها سؤال مهم است و سرویس‌های رایگان تقریباً هرگز این کار را نمی‌کنند. ما نیز این کار را انجام نمی‌دهیم.
- آیا گواهی‌نامه‌ای ادعا می‌کند؟ اگر بله، گواهی و دامنه آن را درخواست کنید. بسیاری از ادعاهای این دسته پس از درخواست، پابرجا نمی‌مانند.
در مورد Doconut.app: بله، فایل‌ها بارگذاری می‌شوند، بله، حذف در پایان جلسه انجام می‌شود، نه، ما توافق‌نامه DPA را امضا نمی‌کنیم، و نه، ما هیچ گواهی‌ای نداریم. این ترکیب برای بسیاری از اسناد مناسب است و برای برخی دیگر نامناسب. نکته این است که می‌توانید تشخیص دهید کدام کدام است.
5. وقتی یک نمایشگر میزبانی‌شده ابزار نامناسبی است
اگر سند تحت یک چارچوب انطباق باشد، تحت تعهد محرمانگی مشتری قرار داشته باشد، یا صرفاً چیزی باشد که در یک بررسی حادثه راحت توضیح ندهید، هیچ نمایشگر میزبانی‌شده رایگانی پاسخ صحیح نیست — حتی نمایشگر ما نیز. راه‌حل ساختاری این است که رندرینگ را درون شبکه خود نگه دارید.
این همان هدف Doconut SDK است: همان موتور رندر .NET که پشت این سایت است، در محیط خودتان نصب می‌شود. این موتور روی سرورهای شما رندر می‌کند و هیچ تماس خروجی به ما ندارد، بنابراین سند هرگز از مرزی که قبلاً ارزیابی نکرده‌اید عبور نمی‌کند.
به همان اندازه واضح باشید که SDK چه نیست. این SDK رمزنگاری در حالت استراحت، مدیریت کلید، یکپارچه‌سازی ارائه‌دهنده هویت یا لاگ حسابرسی را ارائه نمی‌دهد و نمی‌تواند برنامه شما را با هیچ‌چیزی سازگار کند. این کنترل‌ها متعلق به شماست — که نکته اصلی است، زیرا اینها همان مواردی هستند که می‌توانید پیش از این شواهدشان را ارائه دهید. یک مؤلفه که درون شبکه شما اجرا می‌شود و به هیچ‌کس تماس نمی‌گیرد، یک استدلال معماری است و برای اکثر بررسی‌های امنیتی، مفیدتر از یک گواهی متعلق به شخص ثالث است.
نتیجه‌گیری
نمایشگرهای رایگان PDF واقعاً مفید هستند و اکثر اسنادی که مردم با آن کار می‌کنند حساس نیستند. مشکل استفاده از آنها نیست؛ مشکل استفاده از آنها بدون دانستن دسته‌بندی فایل شماست.
برای یک سند عادی که فقط یک بار نیاز به خواندن دارد، یک نمایشگر که هیچ‌چیزی نگه نمی‌دارد گزینه معقولی است — و ایمن‌تر از دانلود فایل و باز کردن آن در هر برنامه‌ای که نصب شده باشد. Doconut.app این کار را به‌صورت رایگان، بدون حساب کاربری انجام می‌دهد و پس از آن حذف می‌کند.
برای هر چیزی که تحت تعهدی باشد که باید از آن دفاع کنید، پردازش را بر روی سخت‌افزاری که کنترل می‌کنید نگه دارید.
اقدامات فوری
- بازرسی جریان‌های کاری PDF در سازمان خود انجام دهید و ابزارهای رایگان موجود را فهرست کنید — معمولاً بیشتر از آنچه انتظار می‌رود وجود دارد.
- دسته‌بندی کنید که کدام انواع سند می‌توانند به‌صورت کلی به سرویس میزبانی‌شده بروند. این تصمیمی سیاستی است، نه فنی.
- بقیه را درون سازمان منتقل کنید، چه با Doconut SDK یا معادل آن، و شواهدی که حسابرسان شما درخواست می‌کنند را نگه دارید.