اعتماد و امنیت
تأیید هویتی که به شما کنترلها و شواهد می‌دهد، نه گواهیای که نتوانیم از آن پشتیبانی کنیم.
نه نشان، نه گواهیای که نداریم — شرحی ساده از اینکه دادههای متقاضیان شما کجا قرار دارد، چه چیزی را نگه می‌داریم، تا چه مدت، چه کسی میتواند آن را ببیند و چگونه می‌توانید پاسخ ما را با سوابق ثبت‌شده بسنجید.
دادههای شما کجاست
روی سرورهای خودمان، بر زیرساختی که زیر کنترل ماست، میزبانی میشود.
تصاویر مدارک، فیلدهای استخراج‌شده و نتایج تأیید هویت روی زیرساختی که Crown Stack Systems کنترل میکند، در کانادا پردازش و ذخیره میشوند. دادههای متقاضیان شما برای رسیدن به آنجا از مرز عبور میکند؛ ما این را صریح میگوییم و میزبانی در ایالات متحده را القا نمیکنیم.
یک پراکسی معکوس واحد همهٔ اتصال‌ها را در لبهٔ شبکه با TLS، HSTS و مجموعه‌ای سخت‌گیرانه از هدرهای امنیتی خاتمه می‌دهد. این تنها چیزی است که به اینترنت منتشر میشود.
پایگاه داده، حافظهٔ نهان، مخزن رمزها و مخزن اشیایی که تصاویر مدارک را نگه می‌دارد، پشت آن پراکسی و در یک شبکهٔ خصوصی قرار دارند. هیچ‌یک مستقیماً از اینترنت قابل دسترسی نیستند.
امروز امکان انتخاب منطقه را ارائه نمیکنیم. یک مجموعه، یک مکان؛ صریح بیان‌شده، نه اینکه با یک آیکن پرچم القا شود.
صفحهٔ کامل اقامت دادهها را بخوانید →چه چیزی ذخیره میشود و تا چه مدت
آنچه تصمیم‌گیری نیاز دارد را استخراج می‌کنیم، سپس زمان‌سنج را شروع می‌کنیم.
هر تأیید هویت یک نتیجه و، جداگانه، یک جفت تصویر تولید میکند. با این دو عمداً به‌شکل متفاوتی رفتار میشود.
- تصاویر مدرک هویتی و سلفی
- با AES-256-GCM در حالت ذخیره رمزگذاری میشود. طبق یک زمان‌سنج کوتاه، بهطور پیشفرض هفت روز، بهصورت خودکار پاک میشود؛ هر ساعت و پس از هر راهاندازی مجدد نیز بررسی میشود.
- تاریخ تولد
- در هر جایی که نگهداری شود، رمزگذاری‌شده ذخیره میشود، نه بهصورت متن ساده.
- سابقهٔ تأیید هویت
- از تصاویر بیشتر میماند: مدت‌ها پس از حذف عکس‌ها نیز نشان می‌دهد که یک بررسی انجام شده و چگونه پایان یافته است.
- بازه‌های نگهداری برای هر حساب
- بهزودی. امروز پیشفرض هفت‌روزه برای همهٔ حساب‌ها اعمال میشود.
چه کسی میتواند آن را ببیند
تا حد امکان تعداد کمی از افراد، و هر یک پاسخ‌گو.
کنترل دسترسی ترکیبی است از آنچه نرم‌افزار اعمال میکند و آنچه برای دسترسی به خود دادهها لازم است.
ورود دومرحله‌ای — بهزودی
پورتال میتواند پس از تنظیم کد TOTP روی یک حساب، آن را الزامی کند، اما ثبت‌نام خودخدمت هنوز در دسترس نیست.
بقیه را شبکه انجام می‌دهد
فضای ذخیرهسازی و پایگاه‌های داده نشانی عمومی ندارند. دسترسی به آن‌ها یعنی عبور از برنامه، و برنامه در سوابق ثبت میشود.
خود دسترسی به شواهد هم ثبت میشود
جزئیات شبکه و دستگاه پشت هر ورودی دفتر ثبت، پیش از آنکه کسی — از جمله ما — بتواند آن را بخواند، نیازمند دلیل کتبی است.
چگونه ثابت کنید
حرف ما را باور نکنید. دفتر ثبت را بخوانید.
هر ورود، مشاهدهٔ مدرک، نتیجهٔ تأیید هویت و خروجیگیری در یک «دفتر فعالیت» فقطافزودنی ثبت میشود که خود پایگاه داده آن را اعمال میکند: ورودی‌ها را می‌توان افزود، اما هرگز ویرایش یا حذف کرد. به این ترتیب بدون پرسیدن از ما می‌توانید به پرسش «چه کسی این را دیده است؟» پاسخ دهید.
جزئیات را بخوانید
شش صفحه، یکی برای هر کنترل.
هر ادعا در این مرکز به صفحه‌ای پیوند دارد که پشتوانه آن است.
اقامت داده
میزبانی‌شده روی سرورهای خودمان در کانادا، روی زیرساختی که خودمان کنترل می‌کنیم. دادههای شما برای رسیدن به آنجا از مرز عبور میکند. هرگز ابر عمومی، هرگز میزبانی در ایالات متحده.
اقامت داده →رمزنگاری
TLS در حین انتقال، تصاویر مدارک و تاریخ تولد در حالت ذخیره رمزگذاری‌شده، و رمزها در یک گاوصندوق اختصاصی.
رمزنگاری →نگهداری و حذف
تصاویر مدارک بهصورت خودکار پاک میشوند، بهطور پیشفرض هفت روز. سابقه میماند. عکس‌ها نه.
نگهداری و حذف →انطباق
قوانین حریم خصوصی و زیستسنجشی ایالتی، و آنچه برای پشتیبانی از آن‌ها در اختیار شما می‌گذاریم. هیچ گواهیای که شایسته‌اش نشده باشیم.
انطباق →دفتر فعالیت‌ها
سابقه‌ای فقطافزودنی از اینکه چه کسی چه کاری کرده، که پایگاه داده آن را اعمال میکند، نه صرفاً سیاست.
دفتر فعالیت‌ها →افشای مسئولانه
آسیب‌پذیری پیدا کرده‌اید؟ این است دقیقاً چگونگی اطلاع‌دادن به ما، و اینکه چه پاسخی می‌توانید انتظار داشته باشید.
افشای مسئولانه →آنچه ادعا نمیکنیم
صراحت هم یک کنترل است.
صنعت تأیید هویت ردیف نشان‌ها چاپ میکند. ما ترجیح می‌دهیم بگوییم امروز چه چیزی درست است و چه چیزی در راه است.
- فاقد SOC 2، ISO 27001 یا گواهی مشابه. هنوز آن را نداریم و نشانی که به دست نیاورده‌ایم چاپ نخواهیم کرد. وقتی داشته باشیم، تاریخ صدور و دامنهٔ مشخص خواهد داشت.
- نه مرکز دادهٔ مشخصی و نه شهری نام برده میشود. ما میگوییم «سرورهای خودمان، روی زیرساختی که خودمان کنترل می‌کنیم»، نه نام ارائهدهنده، تأسیسات یا مکان، زیرا این صادقانه‌ترین سطح جزئیاتی است که امروز می‌توانیم پشت آن بایستیم.
- بدون پشتیبان‌گیری با افزونگی جغرافیایی. نسخه‌های پشتیبان رمزگذاری میشوند و از یک روال مستند بازیابی پیروی می‌کنند، اما در حال حاضر از ساختمان خارج نمی‌شوند.
- ادعایی مبنی بر مشاوره حقوقی بودن این صفحه وجود ندارد. این صفحه آنچه پلتفرم انجام می‌دهد را شرح می‌دهد. اینکه آیا این موارد تعهدات سازمان شما را بر اساس قانون حریم خصوصی ایالتی، قانون حریم خصوصی زیستسنجشی مانند BIPA ایلینوی، مقرره‌ای صنفی مانند برنامه شناسایی مشتری (Customer Identification Program) یک وام‌دهنده، یا هر رژیم دیگری برآورده میکند، پرسشی است برای مشاور حقوقی خودتان.
پرسش‌ها
پاسخ‌های صریح درباره اعتماد و امنیت.
پرسش‌هایی که اینجا پاسخ نداده‌ایم
پیش از ساختن بر پایهٔ ShieldID با ما صحبت کنید.
پرسشنامهٔ امنیتی، کنترل خاصی که برای آن شواهد لازم دارید، یا پرسشی که این صفحه پاسخ نداده — مستقیم از ما بپرسید.