Regras e registo Brevemente
Regras para toda a empresa e um registo que diz o que sabe de facto
Quem gere a segurança quer duas coisas: subir a fasquia para todos e poder reconstruir o que aconteceu. O Kamzan Pass dá ambas e diz com precisão até onde chegam.
Uma regra escrita num documento não trava ninguém
Na Studio Morelli a política dizia «palavras-passe longas, vault bloqueado ao levantar-se». Agora esses valores estão na página «Regras»: definem-se uma vez e valem em cada dispositivo. As regras de palavra-passe mestra, bloqueio e exportação são aplicadas pelo cliente de cada pessoa, porque o servidor não vê a palavra-passe mestra: um servidor comprometido poderia afrouxá-las, mas nunca abaixo dos mínimos fixos.
Como funciona
-
Define as regras
Na página «Regras», cinco grupos: Palavra-passe mestra, Bloqueio e sessão, Partilha, Conservação e esperas, Exportação. Sob cada campo lê o intervalo admitido.
-
Os dispositivos aplicam-nas
Cada dispositivo lê as regras e usa só as mais severas do que os mínimos. As durações, como a conservação do registo, são aplicadas pelo servidor.
-
O registo conta
Cada linha leva uma marca: «atestado» se passou pelo servidor, «declarado» se foi um dispositivo a relatá-la. Filtros por tipo, proveniência e pessoa.
O registo diz quem podia ver e quem declarou ter aberto. Não finge saber mais.
O que pode fazer
-
Uma palavra-passe mestra à altura
O mínimo são 12 caracteres, com a pontuação mais alta do estimador de robustez: só pode subi-lo. Vale ao criar e ao alterar, sem bloquear quem já tem uma mais curta.
-
O vault bloqueia-se sozinho
Bloqueio após 15 minutos de inatividade, 30 no máximo se a empresa escolher, e em qualquer caso 8 horas após o desbloqueio. Depende do relógio e do navegador: um computador em hibernação enfraquece-o.
-
Reduzir nunca é imediato
Encurtar uma espera ou uma conservação só vale depois do período antigo: sob o campo lê a data. Aumentar vale logo. Assim ninguém encurta os prazos para esconder um gesto.
-
Atestado ou declarado, sempre indicado
Um item criado ou um membro adicionado são atestados pelo servidor. «Item aberto» ou «Palavra-passe copiada» são declarados pelo dispositivo: úteis, não uma prova, e um cliente modificado pode calar-se.
-
Identificadores, não segredos
O registo só contém identificadores. Os nomes de itens e vaults só aparecem onde é membro: quem o lê sem pertencer ao vault vê «um item do vault 7f3a…».
-
Alguns eventos ficam
Os outros seguem a conservação escolhida, de 180 dias a 5 anos. Os de recuperação, privilégios, regras e desativações não são apagados: ficam enquanto a empresa existir.
Perguntas frequentes
O registo diz-me quem olhou para uma palavra-passe?
Não, e nenhum registo pode dizê-lo. Diz quem era membro do vault, atestado pelo servidor, e quem declarou ter aberto o item, segundo o seu dispositivo. Uma palavra-passe pode ser conhecida sem declarações, por exemplo por quem exportou o vault.
As regras valem mesmo para todos?
São aplicadas pelo programa no dispositivo de cada pessoa, não pelo servidor, que não vê as palavras-passe mestras. «Todos cumprem a regra» é, portanto, uma declaração dos dispositivos. Um servidor comprometido poderia afrouxá-las, até aos mínimos fixos e não além.
Posso proibir a exportação em claro?
Sim: desligada a regra, os programas deixam de a oferecer. Mas não impede quem tem os itens à frente de os copiar: é uma regra dos dispositivos, como as outras.
A recuperação de contas é uma regra?
Não. Ligá-la, desligá-la ou passar a duas chaves é um ato assinado pelos custódios, a partir da página «Recuperação». A página «Regras» só decide quanto se espera antes de uma reposição.
As outras funcionalidades do Kamzan Pass
Quer vê-lo antes de chegar?
Mostramos-lhe o Kamzan Pass num vault de teste: como se partilha uma palavra-passe, o que acontece quando alguém sai da empresa e o que o servidor não vê. Meia hora, sem compromisso.
Alex