Lira RDP Security

ДОКУМЕНТАЦІЯ ПРОДУКТУ · ПЛАТФОРМА

Оновлення платформи Lira RDP

Хронологія вдосконалень безпеки, надійності та експлуатації порталу й сервісної платформи Lira. Випуски Windows-агента документуються окремо.

Останнє оновлення платформиЗакритий технічний preview Lira Agent 3 і Lira Access

Історія оновлень платформи

Безпека та надійністьОстаннє оновлення платформи

Закритий технічний preview Lira Agent 3 і Lira Access

  • Нова архітектура Agent 3 розділяє нагляд, збір подій, транспорт, локальний захист, оновлення та MFA. Поточна збірка розробки проходить 660 керованих контрактних і безпекових перевірок; це інженерне підтвердження, а не заява про загальну доступність.
  • Ідентичність пристрою Lira Access пройшла реальну перевірку під звичайним користувачем у Windows 10 і Windows 11. Закритий ключ ECDSA P-256 створюється локально у Windows CNG, не експортується та доступний лише SYSTEM і власнику Windows.
  • Запрошення пристроїв у межах організації, схвалення адміністратором, відкликання та ротація ідентичності з двома ключами реалізовані за вимкненим feature flag. Портал не може використовувати цей канал для виконання довільних shell- або PowerShell-команд на пристрої.
  • Lira Access залишається закритим технічним preview без публічного інсталятора. Наскрізна перевірка клієнта й тунелю, публічний цифровий підпис, стабілізаційний прогін точного бінарного пакета та незалежний аудит безпеки залишаються умовами релізу. Заявки на пілот приймаємо на [email protected].
Безпека та надійність

Інженерний анонс Lira Agent v3

  • Розпочато розробку нової архітектури Windows-агента для Windows Server і Windows 10/11. Нагляд, збір подій, транспорт, локальний захист, оновлення та MFA розділяються, щоб збій однієї інтеграції не міг непомітно зупинити весь агент.
  • Канал керування v3 використовує прив’язану до реєстрації ідентичність пристрою, суворі контракти повідомлень і захист від повторного відтворення. Локальний захист має продовжувати роботу за недоступності control plane; портал не може виконувати довільні shell-команди на endpoints.
  • Портал уже розпізнає протокол v3 і блокує активацію MFA до завершення підписаного provisioning та матриці перевірок входу Windows. Agent v3 є інженерною попередньою версією, ще не доступний для загального використання і пройде лабораторний, пілотний та обмежений production-етапи.
Безпека та надійність

Безпечніше встановлення Server та Endpoint

  • Розділ «Пристрої» тепер відокремлює сервери, кінцеві пристрої та спільний список. Діалог встановлення має окремі шляхи Server і Endpoint з відповідним MSI та командою PowerShell.
  • Нові інсталяції використовують короткочасний Install ID і не розміщують секрети реєстрації в командному рядку служби Windows. Стан агента та каталоги оновлення доступні лише SYSTEM і адміністраторам, а широкі винятки Defender більше не створюються.
  • Пакети Server і Endpoint мають окремі ідентичності продукту та відхиляють неправильний клас пристрою Windows. Lira Endpoint працює з обмеженим профілем спостереження, а використання його ліцензій відображається окремо.
  • Графічний MSI підтримує англійську, українську, російську, німецьку, іспанську та французьку мови. Перехід до вибору каталогу виправлено, щоб усунути помилку Windows Installer 2819.
  • Підписані метадані початкового встановлення пов’язують канал, версію, розмір пакета та SHA-256. Операційні сповіщення стали зрозумілими, збої центрального брандмауера відновлюються автоматично, а локальні блокування агента отримують визначений строк. Публічна версія агента залишається 2.7.39.
Безпека та надійність

Видалення Windows і надійність підписаних оновлень

  • Агенти, встановлені скриптом порталу, тепер реєструють штатні команди видалення Windows, що прибирають службу, watchdog, Credential Provider/Filter і локальний стан реєстрації.
  • Профіль маніфеста RSA-PSS виправлено для сумісності з .NET, довірені origin залишилися вузько дозволеними, а конкуруючі шляхи оновлення серіалізовано.
  • Глобальна ціль — 2.7.39. 22 з 25 активних агентів оновилися автоматично; три залишилися онлайн на 2.7.34 без кореня довіри. Усі шість артефактів пройшли Authenticode; backend: 552 passed, 1 skipped.
Безпека та надійність

Виправлення сумісності збирання подій агента

  • Під час поетапного розгортання heartbeat продовжував надходити, хоча помилка контракту відповіді переривала збирання подій Security.
  • Серверне виправлення відновило всі перевірені збирачі 2.7.33 зі збережених checkpoint без очищення журналів Windows.
  • Агент 2.7.34 ізолює помилки перевірки оновлень від збирання. 22 із 25 активних агентів уже працюють на 2.7.34 і пройшли підписані read-only перевірки. Глобальна ціль — 2.7.34; три безпечно залишаються на 2.7.31 до незалежного встановлення кореня підпису. Повний backend regression: 549 passed, 1 skipped.
Безпека та надійність

Посилення безпеки та поетапне розгортання агента

  • Команди агента тепер використовують окремі для кожного агента підписані конверти зі строком дії, локальним списком дозволених дій і стійким захистом від повторного виконання; застарілу спільну токен-автентифікацію вилучено.
  • Для MFA тепер явно задокументовано й реалізовано поведінку fail-open або fail-closed через Windows Credential Provider Filter, тоді як перевірку облікових даних виконує Windows LSA.
  • Ланцюжок довіри підписаних оновлень, розділене за організаціями зберігання TOTP, обмеження щодо фішингу, результати тестів і залишкові межі довіри описано в публічному інженерному звіті.
  • Агент 2.7.33 пройшов контрольовані canary-оновлення на Windows Server 2016 і 2022. Глобальною цільовою версією залишається 2.7.31 до незалежного розповсюдження кореня довіри та завершення решти live-тестів.
Безпека та надійність

Надійність підключення агентів

  • Виправлено серверну маршрутизацію основного каналу агентів у реальному часі для інсталяцій, які перейшли на резервне опитування.
  • Наявні агенти повертаються на основний канал у межах звичайного циклу автоматичних повторних спроб; перевстановлення або нова версія Windows-агента не потрібні.
  • Резервне опитування залишається доступним у разі переривання каналу реального часу, тому стан агентів і доставлення команд можуть відновитися без повторної ручної реєстрації.
Безпека та надійність

Виправлення французької локалізації порталу та документації

  • Французькі показники пілота тепер відображають або опубліковані рядки країн і повідомлення про поріг конфіденційності, або повідомлення про недостатність даних, але ніколи обидва стани одночасно. Загальна кількість залишається відокремленою від опублікованого переліку.
  • Французька Політика конфіденційності тепер містить розділ про обробку даних ШІ, який розрізняє детермінований інженерний асистент і необов’язковий асистент підтримки та пояснює, які операційні або секретні дані не додаються автоматично.
  • На французькій сторінці Інженерії безпеки бренд, результат, область перевірки та дата тепер відображаються окремими семантичними елементами. Також виправлено формулювання про облікові дані порталу в посібнику з безпечного початку роботи.
  • Завершено професійне редакційне опрацювання французькою мовою відступів і текстів демонстрації на головній сторінці, описів продуктів і послуг, а також посібників з RDP MFA та встановлення агента.
Безпека та надійність

Німецька локалізація порталу та документації

  • Повністю переглянуто німецьку версію порталу, зокрема захищені екрани, повідомлення перевірки, сповіщення та транзакційні листи, для професійної експлуатації інфраструктури в регіоні DACH.
  • Німецькі сторінки входу, реєстрації та відновлення пароля тепер локалізовані вже в початковому HTML, а вибрана мова зберігається в посиланнях автентифікації та юридичних документах.
  • Термінологію для парку серверів, реєстрації агентів, сигналів стану, списків дозволів, відновлення, MFA, Windows Update, Microsoft Defender і сертифікатів RDP уніфіковано.
  • Публічні показники пілота тепер чітко розрізняють загальну кількість зафіксованих країн-джерел і менший перелік, опублікований після застосування порога конфіденційності.
Безпека та надійність

Безперервність підписки та доступу

  • Портал тепер попереджає адміністраторів за п’ять днів до завершення підписки та чітко показує подальший період відновлення.
  • Наявні інсталяції можуть повторно підключитися протягом десяти днів після завершення підписки, що дає змогу відновити сервіс після оплати без перевстановлення агента.
  • Якщо захист призупинено, збережена політика MFA не видаляється та автоматично відновлюється після поновлення підписки.
  • Сторінки агентів тепер розрізняють активний канал керування й резервне опитування та не допускають небезпечного видалення, доки примусова MFA ще активна.
  • Інсталяція оновлень Windows тепер одразу переходить у стан виконання без короткого повторення помилки з попередньої спроби.
Безпека та надійність

Оновлення надійності сесії порталу

  • Вкладки порталу, залишені відкритими після завершення сесії, тепер під час наступної дії переходять до входу замість нескінченного очікування оновлення панелі. Для продовження достатньо увійти знову.
Безпека та надійність

Оновлення безпеки та надійності

  • Портал тепер надає авторизованим адміністраторам покрокову допомогу з перевірки готовності сервера та відновлення доступу.
  • Надійність реєстрації покращено для періодів з кількома одночасними новими відвідуваннями.
  • Захист браузерної частини посилено, щоб зменшити ризик виконання неавторизованого вмісту сторінки.