Segurança desde a conceção, não por lista de verificação

É tentador tratar a segurança como uma fase: construir o produto e depois reforçá-lo. Achamos que essa ordem está ao contrário. Quando se vai à procura das falhas, a arquitetura já decidiu onde elas estão. Por isso, na Vexaro, as propriedades de segurança vêm primeiro e as funcionalidades adaptam-se a elas, e não o contrário.

Sem confiança implícita, por predefinição

Na Vexaro, nada é considerado de confiança por causa do sítio onde está na rede. Cada sessão precisa do consentimento no ecrã do anfitrião ou da sua palavra-passe de acesso não assistido, cada dispositivo tem as suas próprias regras sobre quem se pode ligar e com que permissões, e o acesso não assistido pode ser limitado a uma lista de IDs Vexaro permitidos. É isto que torna o resto gerível: quando cada sessão passa pelas mesmas verificações, nos termos do anfitrião, é possível raciocinar sobre quem chega a quê sem desenhar um mapa da rede.

Cifragem que não é preciso ativar

As sessões diretas são cifradas ponta a ponta: a fronteira da cifragem são as duas máquinas, não a nossa infraestrutura. Quando uma rede obriga a uma ligação retransmitida, o tráfego mantém-se cifrado em trânsito através de relays operados pela Vexaro. Em qualquer dos casos, não há nenhum interruptor para ligar: a cifragem é a forma como uma sessão funciona.

Privilégio mínimo e um registo de auditoria a sério

• As funções concedem o acesso mais restrito que chega para a tarefa, e cada dispositivo tem as suas próprias regras sobre quem se pode ligar a ele sem supervisão e com que permissões.
• As ações administrativas, as sessões e os eventos de acesso ficam registados num registo de auditoria que, nos planos pagos, pode exportar e rever segundo os seus próprios critérios.
• A gravação de sessões, que um administrador ativa para toda a organização a partir do plano Team, dá-lhe um relato do que aconteceu durante uma ligação, e não só a indicação de que ela existiu.

Afirmar que o acesso é controlado vale tanto quanto a sua capacidade de o verificar depois. Por isso, o registo é uma parte de pleno direito do produto e não uma exportação acrescentada mais tarde.

Onde estamos hoje

A segurança desde a conceção é um trabalho contínuo, e estamos em acesso antecipado. Não vamos reclamar certificações que não obtivemos nem publicar um número de clientes para parecermos maiores do que somos. O que vamos fazer é dizer claramente o que é verdade hoje, trabalhar para obter uma certificação internacional reconhecida e publicar o ponto da situação à medida que alcançamos cada marco. Se está a fazer uma avaliação de fornecedores, a nossa equipa pode apresentar-lhe a visão geral atual da segurança e os detalhes que a sustentam.

Uma afirmação de segurança vale tanto quanto o registo de auditoria capaz de a verificar.

Conceber a pensar na segurança desde o primeiro commit não tem nada de glamoroso e raramente aparece numa demonstração. Mas é a diferença entre um produto que é seguro porque alguém se lembrou de verificar e outro que é seguro porque dificilmente poderia ser de outra forma. É essa a versão que queremos operar, e a que queremos que opere também.