Uma ligação partilhada pode expor mais do que pretendia? Lista de verificação para partilha pública em aplicações autoalojadas

Considere a ligação uma permissão, não apenas um URL

Uma ligação de partilha pode conceder acesso para além do limite habitual de início de sessão da aplicação. Antes de a enviar, determine o que o destinatário pode ver ou fazer e se o acesso depende apenas do URL ou de outro requisito documentado.

A Box alerta que qualquer pessoa que adivinhe corretamente uma ligação pública personalizada pode aceder ao respetivo conteúdo. Esta descrição aplica-se ao contexto de partilha da Box, não a todas as aplicações autoalojadas; consulte a documentação e verifique o comportamento da aplicação que utiliza. [Leia as orientações da Box sobre como proteger ligações partilhadas](https://docs.box.com/en/box-fundamentals/for-users/collaborating/using-shared-links/securing-shared-links).

O simples facto de alojar a aplicação por conta própria não garante que a partilha externa seja privada. Os controlos da aplicação, a sua configuração e as escolhas dos utilizadores são todos importantes.

• Identifique o que a ligação autoriza: visualização, transferência, edição, comentários ou outra ação.
• Determine se o acesso é público, autenticado, protegido por palavra-passe ou limitado de outra forma documentada.
• Registe o destinatário pretendido e a finalidade antes de criar uma ligação.

Defina o âmbito da ligação

Uma ligação para um ficheiro, registo, pasta ou página pode expor apenas esse objeto ou também permitir o acesso a material relacionado. O comportamento exato depende da aplicação. Consulte a documentação e teste se é possível aceder a anexos, comentários, histórico de atividades, registos relacionados, conteúdo incorporado ou itens principais e subordinados.

No caso de uma coleção ou pasta, determine se os itens adicionados posteriormente ficam acessíveis através de uma ligação já existente. Use o âmbito mais restrito que satisfaça a necessidade de partilha. A Esri alerta que disponibilizar todos os itens a qualquer pessoa pode aumentar a probabilidade de exposição inadvertida de informações sensíveis ou proprietárias. [Leia as boas práticas de partilha da Esri](https://enterprise.arcgis.com/en/portal/11.3/use/best-practices-share.htm).

• Faça uma lista do item de destino e dos objetos relacionados que poderão ficar visíveis a partir dele.
• Teste se o destinatário consegue navegar para registos adjacentes, pastas principais ou outros itens.
• Verifique se o conteúdo adicionado posteriormente fica visível através da ligação existente.

Teste quem consegue abrir a ligação e o que pode fazer

Verifique se o destinatário tem de iniciar sessão, introduzir uma credencial adicional, pertencer a uma conta ou grupo específico, ou se basta ter o URL. Os requisitos variam consoante a aplicação e a configuração; a presença ou ausência de um ecrã de início de sessão não explica, por si só, todo o modelo de acesso.

Teste a ligação numa sessão de navegador limpa, sem sessão iniciada. Se a aplicação oferecer uma credencial adicional ou uma restrição de destinatários, teste também essa opção. A ligação pode comportar-se de forma diferente para alguém que já tenha uma conta, uma sessão ou permissões.

Inspecione o que o destinatário vê antes de abrir o conteúdo principal, incluindo pré-visualizações, miniaturas, títulos de páginas, nomes de ficheiros, descrições e comentários. Teste as ações disponíveis, como transferir, imprimir, copiar ou exportar. Verifique o comportamento de indexação documentado para a sua aplicação, em vez de presumir que uma determinada configuração torna a ligação privada.

• Experimente a ligação numa sessão de navegador limpa, sem sessão iniciada, e através do percurso de autenticação previsto para o destinatário.
• Analise as pré-visualizações e os metadados à procura de informações que não pretende partilhar.
• Teste as ações disponíveis para o destinatário e confirme na documentação da aplicação o comportamento de indexação relevante.

Verifique a expiração e a revogação usando a ligação original

Verifique se a aplicação documenta um controlo de expiração e como funciona, incluindo eventuais regras de temporização. Não presuma que esse controlo existe só porque outra aplicação o oferece.

Teste a revogação com uma ligação que já tenha sido copiada ou enviada: desative a partilha através do procedimento documentado e, em seguida, abra o URL original numa sessão limpa. Se continuar a funcionar, investigue se a revogação ficou incompleta, se existe outra forma de aceder ao conteúdo ou se esse comportamento está documentado.

Apagar a mensagem ou o e-mail que continha a ligação não é um teste de revogação. A questão é saber se o URL já emitido continua a conceder acesso.

• Confirme se a expiração é suportada e que comportamento deve esperar quando entrar em vigor.
• Revogue uma ligação de teste e, em seguida, volte a abrir o URL original numa sessão limpa.
• Verifique se a alteração de permissões, a mudança de localização do conteúdo ou a desativação de um utilizador afeta as ligações existentes.

Verifique o que os administradores podem consultar

Descubra que evidências a aplicação regista quando uma ligação é criada, alterada, acedida, expirada ou revogada. Os registos e o respetivo nível de detalhe variam consoante a aplicação e a configuração; não presuma que todos os visitantes ou ações ficam registados.

Verifique quem pode consultar as evidências, como podem ser exportadas e durante quanto tempo são conservadas. Teste se os eventos necessários para uma investigação aparecem efetivamente nos registos disponíveis ou noutras evidências documentadas. Registe as lacunas relevantes para a sua organização.

• Procure registos da criação da ligação, de alterações ao âmbito, do acesso e da revogação.
• Verifique o que cada evento identifica, quem pode aceder aos registos e durante quanto tempo as evidências são conservadas.
• Documente quaisquer lacunas que possam afetar uma investigação ou um requisito de conformidade.

Torne o teste repetível e atribua responsabilidades

Utilize conteúdo de exemplo sem informações sensíveis para reproduzir o fluxo de trabalho que um funcionário provavelmente seguirá. Teste o âmbito da ligação, o acesso do destinatário, as ações disponíveis, a expiração ou revogação quando forem suportadas e as evidências que os administradores podem consultar sobre esses eventos.

Registe a aplicação e a configuração testadas, os passos realizados, os resultados esperados e o que aconteceu efetivamente. Repita o teste após alterações às definições de partilha ou à configuração da aplicação que possam afetar o acesso.

Decida quem pode criar partilhas externas, quem aprova as partilhas sensíveis e quem é responsável por rever ou terminar o acesso. Disponibilize uma alternativa testada — como um método de partilha autenticado e documentado ou outro processo de transferência aprovado — quando as proteções de uma ligação pública forem insuficientes ou pouco claras.

A Airbip gere a infraestrutura de instâncias de aplicações autoalojadas, incluindo a implementação como cargas de trabalho Docker nos seus servidores cloud, o encaminhamento e os certificados TLS, as verificações de DNS, a gestão do ciclo de vida dos serviços e as cópias de segurança configuráveis. Estes serviços de infraestrutura não determinam que controlos de partilha uma aplicação específica oferece, nem eliminam a necessidade de definir políticas de acesso e tratamento de dados.

• Use conteúdo de exemplo representativo e uma sessão de navegador limpa, sem sessão iniciada.
• Registe os passos do teste, os resultados esperados e efetivos e a configuração relevante.
• Identifique o responsável pela partilha e defina uma data para a revisão ou o fim do acesso.
• Defina quem pode criar ligações, quando é necessária aprovação e como comunicar situações de acesso inesperado.