Lokalisering Hotmodell

Att lägga ut översättningsuppdrag på entreprenad eller crowdsourcing till tredje part medför ytterligare säkerhets- och integritetsrisker. Till skillnad från interna utvecklingsteam kan översättare ha begränsade förtroenderelationer med organisationen och kan verka från olika jurisdiktioner. Denna modell identifierar och klassificerar hot som är förknippade med externa översättningsleverantörer.

Viktiga antaganden

  • Översättare kan vara uppdragstagare, volontärer eller byråer med olika nivåer av granskning.

  • Översättare behöver tillgång till Weblate.

  • Översättningssträngar kan innehålla känsligt innehåll, såsom icke släppta funktioner, juridiska termer eller säkerhetsmeddelanden.

  • Organisationen har begränsad kontroll över översättarnas lokala miljöer.

Hotkategorier (STRIDE)

1. Spoofing

  • S1. Falska översättarkonton som utger sig för att vara legitima bidragsgivare.

2. Manipulering

  • T1. Skadliga översättningar som innehåller skadliga payloads.

    • Risk: Injektion av JavaScript, HTML eller formatsträngattacker om översättningar inte är korrekt skyddade.

    • Åtgärder:

      • Tillämpa strikt validering av inmatningar i Weblate. Det kan vara till hjälp att genomföra kvalitetskontroller som Osäker HTML. Se Kvalitetskontroller och Tvingande kontroller.

      • Använd automatiserad säkerhetsskanning för översättningsfiler i din CI.

      • Begränsa användningen av farliga markeringar från översättningsfiler. Beroende på vilket lokaliseringsramverk som används kan detta vara implicit, valfritt eller kräva ett tredjepartsbibliotek.

  • T2. Infogande av vilseledande översättningar.

    • Risk: Användare vilseleds om programmets beteende (t.ex. felöversatta samtyckesdialoger).

    • Åtgärder:

3. Förkastande

  • R1. Tvister om skadliga eller dåliga översättningar.

    • Risk: Översättare avsäger sig ansvar för infogade problem.

    • Åtgärder:

      • Alla ändringar i Weblate loggas.

      • Använd Weblate med versionskontroll för oföränderlig historik.

4. Informationsutlämnande

  • I1. Läckage av icke offentliggjorda produktdetaljer.

    • Risk: Översättare får tidig tillgång till icke släppta funktioner eller konfidentiell terminologi.

    • Åtgärder:

      • Segmentera projekt för att begränsa åtkomsten till känsliga strängar.

      • Tillämpa sekretessavtal med externa organ.

      • Fördröj översättningen av mycket konfidentiella strängar tills de offentliggörs.

  • I2. Exponering av personuppgifter i strängar.

    • Risk: Översättare kan komma åt eller missbruka inbäddade användardata.

    • Åtgärder:

      • Undvik att exponera verkliga användardata i källsträngar.

      • Använd platshållare för känsliga fält.

5. Förnekande av tjänst

  • D1. Massinlämning av skräpöversättningar.

    • Risk: Överbelastade granskningsköer; störningar i tidsplanen för lanseringar.

    • Åtgärder:

      • Välj ett arbetsflöde som passar ditt teams kapacitet. Anpassning av arbetsflöde gör det möjligt att anpassa detta utifrån språket.

      • Konfigurera automatiska kvalitetskontroller för översättningar; se Kvalitetskontroller.

6. Höjning av privilegier

  • E1. Översättaren får obehöriga projektomfattande eller administrativa rättigheter.

    • Risk: Eskalering som leder till manipulering eller dataläckage.

    • Åtgärder:

      • Tillämpa principen om minsta möjliga behörighet.

      • Granska regelbundet åtkomsträttigheter och gruppmedlemskap.

Tillgångsinventering

  • Källsträngar: Kan innehålla icke släppta produktfunktioner eller juridisk text.

  • Översatta strängar: Utmatning som presenteras direkt för slutanvändarna.

  • Platshållare för användardata: Namn, e-postadresser eller ID-nummer som refereras till i strängar.

  • Åtkomstuppgifter: Konton för översättare, byråer eller bots.

Förtroendegränser

  • Organisation ↔ Översättare: Autentisering och rollbaserad åtkomst måste tillämpas.

  • Översättningsplattform ↔ Källkontroll: Synkronisering kräver säkra tokens/nycklar.

  • Översättare ↔ Översättningsplattform: All inmatning måste saneras innan den integreras i byggnader.

  • Plattform ↔ Slutanvändare: Översättningar måste valideras för att förhindra kodinjektion.

Sammanfattning av begränsningsåtgärder

Slutsats

Externa översättare medför unika risker jämfört med interna medarbetare. Med lämpliga tekniska, organisatoriska och avtalsmässiga kontroller kan organisationer minska dessa risker och på ett säkert sätt integrera externa översättningstjänster samtidigt som produktintegriteten och efterlevnaden upprätthålls.