เขียนสำหรับทีมความปลอดภัย และเกี่ยวกับผลิตภัณฑ์ของเราเท่ากับของใครก็ได้.

บทนำ

บทความนี้ถูกเผยแพร่บนบล็อกของโปรแกรมดูเอกสารออนไลน์ฟรี ซึ่งควรระบุไว้ในบรรทัดแรก เพราะประเภทที่มันอยู่ — “ความเสี่ยงที่ซ่อนอยู่ของเครื่องมือ PDF ฟรี” — มักจะเป็นการขายสินค้าใส่เสื้อโค้ทแลบ และคุณควรอ่านบทความนี้โดยคำนึงถึงสิ่งนั้น

ดังนั้นนี่คือการเปิดเผยข้อมูลตั้งแต่ต้น Doconut.app เป็นโปรแกรมดูที่โฮสต์ฟรี เมื่อคุณใช้มัน PDF ของคุณจะถูกอัปโหลดไปยังเซิร์ฟเวอร์ของเรา แสดงผลที่นั่น แล้วลบเมื่อเซสชันการดูของคุณสิ้นสุด ทุกอย่างด้านล่างเกี่ยวกับความเสี่ยงเชิงโครงสร้างของการอัปโหลดเอกสารไปยังโครงสร้างพื้นฐานของคนอื่นก็ใช้กับเราด้วย เราจะไม่โต้แย้งในทางอื่น; เราจะระบุอย่างชัดเจนว่าเราทำอะไรและไม่ได้ทำอะไร และให้คุณตัดสินใจว่าเอกสารใดควรอยู่ที่นี่

1. ความเสี่ยงเป็นโครงสร้าง ไม่ใช่ความแปลกใหม่

ความเสี่ยงที่น่าสนใจไม่ใช่ zero‑day แต่เป็นผลตามปกติของไฟล์ที่อยู่ในที่ที่คุณไม่ควบคุม

การอัปโหลดเป็นความจริง. โปรแกรมดูที่โฮสต์ต้องรับเอกสารเพื่อแสดงผล ใครก็ตามที่อ้างว่าเป็นบริการโฮสต์ที่ “ไฟล์ไม่เคยออกจากเครื่องของคุณ” จะต้องเป็นเครื่องมือที่ทำงานบนฝั่งไคลเอนต์เท่านั้นหรืออธิบายอย่างไม่แม่นยำ บน Doconut.app การอัปโหลดทำผ่าน HTTPS ซึ่งปกป้องการส่งข้อมูล — แล้วไฟล์ก็อยู่บนเซิร์ฟเวอร์ของเรา เพราะต้องอยู่ที่นั่น

การเก็บรักษาเป็นสัญญา ไม่ใช่กลไกที่คุณตรวจสอบได้. เราบอกว่าไฟล์จะถูกลบเมื่อเซสชันสิ้นสุด นั่นเป็นความจริง แต่คุณไม่สามารถตรวจสอบจากภายนอกได้ นี่คือหัวใจของปัญหากับ ทุก โปรแกรมดูฟรี รวมถึงโปรแกรมนี้: คุณกำลังขยายความไว้วางใจให้กับองค์กรที่คุณไม่มีสัญญา

โครงสร้างพื้นฐานที่ใช้ร่วมกันก็ใช้ร่วมกัน. บริการสาธารณะฟรีประมวลผลเอกสารของลูกค้าหลายรายบนโครงสร้างพื้นฐานเดียวกัน นั่นเป็นท่าทีความเสี่ยงที่แตกต่างจากซอฟต์แวร์ที่ทำงานภายในเครือข่ายของคุณเอง ไม่ว่าคุณจะจัดการอย่างระมัดระวังแค่ไหน

ไม่มีข้อตกลงหมายถึงไม่มีฐานทางกฎหมาย. หากคุณจัดการข้อมูลส่วนบุคคลภายใต้ GDPR หรือ PHI ภายใต้ HIPAA การย้ายไฟล์ไปยังผู้ประมวลผลที่ไม่มี Data Processing Agreement หรือ Business Associate Agreement เป็นปัญหาในขณะอัปโหลด — ไม่ว่าอะไรจะถูกละเมิดหรือไม่ก็ตาม Doconut.app มีไม่มี DPA และไม่มี BAA กับคุณ. สำหรับข้อมูลที่ต้องควบคุม นั่นคือคำตอบทั้งหมด และการเข้ารหัสใด ๆ ก็ไม่เปลี่ยนแปลงสิ่งนั้น

2. สิ่งที่เราไม่ได้ทำ

ประเภทของบทความนี้มักสัญญาว่าจะทำทุกอย่าง เนื่องจากจุดประสงค์ที่นี่คือการปรับระดับ รายการที่มีประโยชน์ที่สุดคือสิ่งที่ไม่มีอยู่:

ไม่มีการรับรองความปลอดภัย. ไม่มี ISO 27001, ไม่มี SOC 2, ไม่มีการรับรอง HIPAA, ไม่มีการประเมิน PCI DSS ไม่ได้สำหรับไซต์ฟรีและไม่สำหรับ SDK หากแบบสอบถามผู้ขายของคุณถามถึงใบรับรอง เราไม่มีใบรับรอง
ไม่มีบันทึกการตรวจสอบ. ไม่มีบัญชีบน Doconut.app ดังนั้นจึงไม่มีอะไรให้ระบุการเข้าถึงและไม่มีร่องรอยให้คุณ
ไม่มีการลบเมตาดาต้า. เราแสดงเอกสารตามที่เป็น ชื่อผู้เขียน, ประวัติการแก้ไขและคอมเมนต์ในไฟล์ยังคงอยู่ในไฟล์ — ซึ่งควรทราบก่อนที่คุณจะส่งต่อสัญญา แม้ว่าความเสี่ยงนั้นจะเป็นของเอกสารมากกว่าของเรา
ไม่มีการเข้ารหัสที่พัก. เราไม่ได้ให้บริการจัดเก็บข้อมูลที่เข้ารหัส เพราะเราไม่ได้ให้บริการจัดเก็บ การไม่เก็บอะไรไว้เป็นคุณสมบัติที่แข็งแรงกว่าการเข้ารหัส แต่เป็นคุณสมบัติที่แตกต่างและผู้ขายมักผสมสองอย่างเข้าด้วยกัน
ไม่มีการกำหนดระยะเวลาการเก็บรักษาที่ปรับได้. เวลาเป็นของเรา ไม่มีการตั้งค่าสำหรับคุณให้ปรับได้

3. สิ่งที่เราทำ

การอัปโหลดทำงานผ่าน HTTPS.
เอกสารถูกเรนเดอร์ บนเซิร์ฟเวอร์ของเรา, และเบราว์เซอร์จะได้รับหน้าเว็บแทนไฟล์ต้นฉบับ.
การเรนเดอร์ไม่ใช่การดำเนินการ: แมโครในไฟล์ Office จะไม่ทำงาน, และการกระทำของ PDF จะไม่ถูกกระตุ้น. ตัวดูเอกสารจะวาดเอกสาร.
ไฟล์จะ ถูกลบเมื่อเซสชันการดูสิ้นสุด. ไม่มีห้องสมุด, ไม่มีประวัติ, ไม่มีบัญชี.
ตัวอัปโหลด ปฏิเสธสิ่งที่ไม่สามารถจัดการได้ ก่อนส่ง — รายการคงที่ของส่วนขยายกว่า 70 รายการ, พร้อมขีดจำกัดขนาดต่อรูปแบบตั้งแต่ 5 MB ถึง 25 MB.
DICOM ถูกละเว้นโดยเจตนา. .dcm และ .ima ไม่ได้รับการยอมรับ, เนื่องจากไฟล์ DICOM มีข้อมูลระบุตัวผู้ป่วยพร้อมกับภาพและจุดอัปโหลดสาธารณะไม่เหมาะสมสำหรับไฟล์นี้.

4. การทดสอบที่คุณสามารถใช้กับตัวดูฟรีใด ๆ รวมถึงตัวนี้

แทนที่จะเป็นรายการภัยคุกคาม, มีสี่คำถามที่แยกความใช้งานได้จากสิ่งที่ใช้งานไม่ได้:

มันบอกอย่างชัดเจนหรือไม่ว่าไฟล์ถูกอัปโหลด? หากคำตอบคลุมเครือ, ให้ถือว่าไฟล์ถูกอัปโหลด.
มันระบุระยะเวลาการเก็บรักษาอย่างชัดเจนหรือไม่? “ลบเมื่อเซสชันของคุณสิ้นสุด” หรือ “ลบหลังจาก 60 นาที” เป็นคำตอบ. “ไฟล์ของคุณปลอดภัยกับเรา” ไม่ใช่.
มันพร้อมลงนามในข้อตกลงหรือไม่? สำหรับข้อมูลที่ต้องควบคุม, นี่เป็นคำถามเดียวที่สำคัญ, และบริการฟรีแทบจะไม่มีการลงนาม. เราไม่ทำ.
มันอ้างว่ามีการรับรองหรือไม่? หากมี, ให้ขอใบรับรองและขอบเขตของมัน. คำอ้างหลายอย่างในหมวดนี้ไม่ผ่านการตรวจสอบเมื่อขอ.

นำไปใช้กับ Doconut.app: ใช่ มันอัปโหลด, ใช่ การลบทำเมื่อเซสชันสิ้นสุด, ไม่ เราจะไม่ลงนามใน DPA, และไม่ เราไม่มีการรับรองใด ๆ. การผสมผสานนี้เหมาะกับเอกสารจำนวนมากและทำให้บางเอกสารไม่ผ่าน. จุดสำคัญคือคุณสามารถบอกได้ว่าอะไรคืออะไร.

5. เมื่อผู้ดูที่โฮสต์เป็นเครื่องมือที่ไม่เหมาะสม

หากเอกสารถูกต้องตามระเบียบการปฏิบัติตาม, อยู่ภายใต้ภาระความลับของลูกค้า, หรือเป็นสิ่งที่คุณไม่สะดวกอธิบายในรายงานเหตุการณ์, ตัวดูแบบโฮสต์ฟรีใด ๆ ก็ไม่ใช่คำตอบที่ถูกต้อง — รวมถึงของเรา. วิธีแก้เชิงโครงสร้างคือการเก็บการเรนเดอร์ไว้ภายในเครือข่ายของคุณเอง.

นี่คือเหตุผลที่ SDK ของ Doconut มีไว้: เครื่องยนต์เรนเดอร์ .NET เดียวกันที่อยู่เบื้องหลังไซต์นี้, ติดตั้งในสภาพแวดล้อมของคุณเอง. มันเรนเดอร์บนเซิร์ฟเวอร์ของคุณและไม่เรียกไปยังเรา, ดังนั้นเอกสารจะไม่ข้ามขอบเขตที่คุณยังไม่ได้ประเมิน.

ต้องชัดเจนเท่าเดิมว่า SDK ไม่ได้เป็นอะไร. มันไม่ได้มาพร้อมการเข้ารหัสที่พัก, การจัดการคีย์, การบูรณาการผู้ให้บริการอัตลักษณ์หรือบันทึกการตรวจสอบ, และไม่สามารถทำให้แอปพลิเคชันของคุณเป็นไปตามข้อกำหนดใด ๆ. ควบคุมเหล่านั้นเป็นของคุณ — ซึ่งเป็นจุดสำคัญ, เพราะคุณสามารถแสดงหลักฐานได้แล้ว. ส่วนประกอบที่ทำงานภายในเครือข่ายของคุณและไม่เรียกใครเป็นข้อโต้แย้งเชิงสถาปัตยกรรม, และสำหรับการตรวจสอบความปลอดภัยส่วนใหญ่ มันเป็นข้อโต้แย้งที่มีประโยชน์กว่าการมีใบรับรองจากบุคคลที่สาม.

สรุป

ตัวดู PDF ฟรีเป็นประโยชน์อย่างแท้จริง, และเอกสารส่วนใหญ่ที่คนส่วนใหญ่จัดการไม่ได้เป็นข้อมูลที่อ่อนไหว. ความล้มเหลือไม่ได้อยู่ที่การใช้ตัวดู, แต่คือการใช้โดยไม่รู้ว่าข้อมูลของคุณอยู่ในหมวดใด.

สำหรับเอกสารทั่วไปที่คุณต้องอ่านเพียงครั้งเดียว, ตัวดูที่ไม่เก็บข้อมูลใด ๆ เป็นตัวเลือกที่สมเหตุสมผล — และปลอดภัยกว่าการดาวน์โหลดไฟล์และเปิดด้วยโปรแกรมที่ติดตั้งอยู่. Doconut.app จะทำเช่นนั้น, ฟรี, ไม่ต้องมีบัญชี, และลบไฟล์หลังจากนั้น.

สำหรับสิ่งใดที่อยู่ภายใต้ภาระผูกพันที่คุณต้องปกป้อง, ควรเก็บการประมวลผลไว้บนฮาร์ดแวร์ที่คุณควบคุม.

การดำเนินการทันที

ตรวจสอบ กระบวนการทำงานของ PDF ในองค์กรของคุณและบันทึกรายการเครื่องมือฟรีที่ใช้อยู่แล้ว — มักจะมีมากกว่าที่คาดคิด.
จัดประเภท ว่าเอกสารประเภทใดบ้างที่อาจใช้บริการโฮสต์ได้. นี่คือการตัดสินใจเชิงนโยบาย, ไม่ใช่เชิงเทคนิค.
ย้ายส่วนที่เหลือไปภายในองค์กร, ไม่ว่าจะใช้ SDK ของ Doconut หรือทางเลือกที่เทียบเท่า, และเก็บหลักฐานที่ผู้ตรวจสอบจะขอ.