Navegadores autônomos

info

Este recurso está disponível a partir da versão 4.42.3 do Redtrust.

Visão geral

O modo navegadores autônomos permite que sistemas automatizados (automações e robôs) usem certificados do Redtrust em navegadores da web sem que o agente rastreie a URL ativa. Ele remove a extensão do navegador do fluxo de assinatura, que é o principal gargalo em ambientes autônomos de alta concorrência.

Normalmente, quando um navegador usa um certificado do Redtrust para acessar um site, o agente intercepta a operação criptográfica, detecta que o processo solicitante é um navegador e consulta a URL ativa na extensão do navegador. O agente envia essa URL ao servidor, que valida por política se a operação é permitida para essa URL e esse certificado.

Em ambientes autônomos onde muitas instâncias de navegador são executadas ao mesmo tempo, essa consulta de URL se torna um gargalo grave: a extensão não consegue lidar com a concorrência, o que degrada o desempenho e pode causar falhas. A migração do Manifest V2 para o V3 agravou essa situação e deixou inoperantes alguns ambientes de automação existentes. O modo navegadores autônomos remove completamente a consulta de URL, de modo que as operações criptográficas são processadas de forma direta e concorrente sem a extensão.

info

Este modo é destinado a ambientes autônomos e automatizados. Ele não altera o fluxo dos usuários atendidos: as operações deles no navegador continuam exigindo a validação de URL normalmente.

Como funciona

O comportamento do agente e a decisão do servidor são independentes entre si.

• Agente: quando você instala o agente do Windows com o parâmetro UNATTENDED_BROWSERS="1", o instalador ignora todos os componentes da extensão do navegador (chaves de registro, host de mensagens nativas, arquivo XPI do Firefox, entre outros). Durante uma operação de assinatura no navegador, o agente ignora a consulta de URL e envia a operação ao servidor sem URL, incluindo a linha de comando do processo solicitante.
• Servidor: quando o servidor recebe uma operação sem URL, ele verifica a política do usuário. Se a política tiver a opção Navegadores autônomos ativada, o servidor ignora a URL ausente e autoriza a operação. Se a opção estiver desativada, o servidor rejeita a operação.

Quando o servidor recebe uma URL (por exemplo, de um agente instalado no modo padrão), ele a avalia com o comportamento padrão, independentemente da opção.

Comportamento dos certificados

No modelo do Redtrust, um usuário pode ter dois tipos de certificados: certificados pessoais (atribuídos à pessoa) e certificados corporativos (certificados da organização nos quais o usuário é o proprietário registrado).

No modo navegadores autônomos, ambos os tipos se comportam da mesma forma que de costume: o usuário pode usá-los em operações de assinatura no navegador sem validação de URL. Como isso também se aplica aos certificados corporativos, que têm autoridade organizacional, é responsabilidade do administrador atribuir aos ambientes autônomos apenas os usuários adequados.

Auditoria

Cada operação de assinatura gera um evento de uso de certificado que inclui o usuário, o ID do agente, o certificado, o navegador e a política aplicada. No modo navegadores autônomos:

• O evento registra a Linha de comando do processo que iniciou a operação. Esse valor é apenas para fins de auditoria e nunca afeta a avaliação de política ou a autorização.
• Como nenhuma URL é capturada, a URL não aparece no evento. Quando um alerta de uso de certificado é enviado sem URL, ele se refere ao site de forma genérica como "um portal de governo eletrônico" em vez de um endereço específico.

Requisitos

Para usar esse modo, você precisa dos dois itens a seguir:

• O agente do Windows instalado com UNATTENDED_BROWSERS="1". Consulte Parâmetros de instalação do agente.
• Uma política com a opção Navegadores autônomos ativada, aplicada ao usuário autônomo. Consulte Políticas.

Para obter instruções passo a passo, consulte Configurar navegadores autônomos.

aviso

No modo navegadores autônomos, o Redtrust não pode validar o site onde um certificado é usado, e a URL não aparece nos eventos de auditoria. Ative esse modo apenas para usuários dedicados a ambientes autônomos e certifique-se de que os administradores responsáveis aceitam a perda do controle de URL como condição desse modo de uso.