För IT-avdelningen

Underlaget för den som ska godkänna DocMasker: kontrollsumma, installationsvägar, vad som skrivs, de två anrop som kan gå över nätet, och hur ni vitlistar filen i Defender, AppLocker eller Intune.

Det här är filen, och det här gör den.

DocMasker är ett lokalt Windows-program. Det läser dokument, tar bort personnummer ur dem och skriver en ny fil bredvid originalet. Ingenting av innehållet lämnar datorn. Sidan finns för att en IT-avdelning ska kunna avgöra det på egen hand, utan ett samtal först.

Fil: DocMasker-1.3.0-setup.exe, omkring 41 MB, byggd med Inno Setup.

System: Windows 10 eller senare, 64-bitars.

Kontrollsumma: SHA256 för exakt den här versionen ligger bredvid filen: DocMasker-1.3.0-setup.exe.sha256.

Signering: filen är inte kodsignerad i dag. Windows visar därför "okänd utgivare" och kan visa "Windows protected your PC" första gången. Det handlar om utgivarens rykte, inte om vad filen gör – kontrollsumman ovan är det som går att verifiera mot.

Lösenordsskyddade PDF:er: stöds. OCR av inskannade sidor kräver att Tesseract installeras separat; utan det vägrar programmet hellre än att skriva en fil som ser ren ut utan att vara det.

Installation, och vad som skrivs.

Installationsprogrammet kräver inga administratörsrättigheter och frågar inte om UAC som standard. Det lägger programmet i användarens egen programmapp, och då hamnar det utanför Program Files – vilket är rätt på en ohanterad dator och fel på en dator där AppLocker bara tillåter program i Program Files.

Per användare (standard): %LOCALAPPDATA%\Programs\DocMasker. Ingen UAC-fråga.

För alla användare: C:\Program Files\DocMasker, med växeln /ALLUSERS och en administratör som kör installationen.

Programmappen innehåller DocMasker.exe och _internal med Python-beroendena. Inget installationsprogram lämnas kvar i mappen, och ingenting hämtas vid första starten.

Användardata: %APPDATA%\DocMasker\license.json (licensen och de datum programmet senast såg) och %APPDATA%\DocMasker\update.json (inställningen för uppdateringsfrågan).

Blandade filer: den maskerade filen skrivs bredvid originalet med _rensad i namnet. Originalet lämnas orört.

Genvägar och avinstallation: Start-menyn, skrivbordet om det kryssas för, och en post under "Program och funktioner" – per användare eller per dator beroende på hur den installerades.

Det som inte installeras: ingen tjänst, ingen drivrutin, ingen schemalagd aktivitet, ingen autostartpost, inga brandväggsregler och inget webbläsartillägg.

Tyst installation för utrullning: DocMasker-1.3.0-setup.exe /VERYSILENT /ALLUSERS /SUPPRESSMSGBOXES /NORESTART. Vill ni paketera själva går installationsfilen att lägga i en .intunewin med Microsofts eget verktyg, med samma kommandorad.

Nätverket: två anrop, och inget av dem bär innehåll.

Det finns ingen kod i programmet som skickar filer, filnamn eller personnummer någonstans. Två saker kan ändå gå över nätet, och båda går att stänga av innan programmet startar första gången.

Frågan om en nyare version. En GET till api.github.com när programmet startar, och när någon trycker "Sök efter uppdatering". Svaret är en offentlig versionslista; ingenting om datorn, användaren eller filerna skickas. GitHub ser IP-adressen, som för vilken webbsida som helst. Stängs av i Inställningar, eller med DOCMASKER_UPDATE_CHECK=0 för hela datorn.

Provstartsräknaren. En POST till en räknare vi äger, en enda gång per installation, och bara om kunden kryssar i rutan när provperioden startar. Innehållet är programversionen: {"v": "1.3.0"}. Inget annat. Kryssrutan är inte förkryssad, och DOCMASKER_RAKNARE="" stänger av den helt.

Licensen kräver ingen aktivering och ingen server: den kontrolleras på datorn med en publik nyckel som ligger i programmet. Programmet fungerar alltså med nätverket avstängt helt – inklusive uppdateringsfrågan, som bara tiger om den inte får svar.

Vill ni verifiera det i stället för att läsa det: kör programmet med nätverkskabeln ur, eller med en brandväggsregel som nekar all utgående trafik från DocMasker.exe. Det ska bete sig likadant.

Vitlistning, om något stoppar filen.

Osignerade program möts ibland av en regel snarare än av en varning. Här är de tre som brukar slå till, och vad som krävs för vardera.

Microsoft Defender – hashindikator

Tillåt filen på dess SHA256, tagen ur .sha256-filen ovan: Säkerhetsefterlevnad → Indikatorer → Lägg till → Filhash → Tillåt i Defender-portalen, eller motsvarande i Intune. Regeln gäller exakt den versionen, alltså inte nästa uppdatering.

Defender ASR – regeln om okända filer

Regeln "Block executable files from running unless they meet a prevalence, age, or trusted list criterion" stoppar varje ny, osignerad binär. Undantaget är samma hashindikator, eller att regeln inte tillämpas på den här datorgruppen. Det är den regel som oftast ligger bakom att ett nedladdat program "inte startar alls".

AppLocker

En hashregel fungerar direkt men måste göras om för varje version. En publiceringsregel – som följer med uppdateringar – kräver att filen är kodsignerad. Det är den enda av de tre åtgärderna som inte går att lösa från er sida.

Behöver ni underlag i annan form, eller ett svar på en fråga som inte står här, mejla [email protected] med "IT" i ämnesraden. Vi svarar med det som efterfrågas, även om det är loggutdrag eller en beskrivning av hur licensen verifieras.

Vad vi behandlar av personuppgifter står i integritetspolicyn, och villkoren för användningen i licensavtalet.