Szyfrowanie
Gdzie stosowane jest szyfrowanie, a gdzie jeszcze nie.
Szyfrowanie chroni weryfikację w kilku odrębnych punktach: połączenie, obraz, sekret, kopię zapasową, hasło. Wolimy rzetelnie wymienić każdy z nich, niż raz napisać „zaszyfrowane” i pozwolić Państwu założyć, że obejmuje to wszystko.
W transmisji
TLS na brzegu sieci i wymuszany w bazie danych księgi.
Każde żądanie do ShieldID jest szyfrowane, zanim dotrze do aplikacji.
- Publiczny brzeg sieci kończy TLS dla każdego połączenia, z HSTS i zaostrzonym zestawem nagłówków bezpieczeństwa, dzięki czemu żądanie jest szyfrowane, zanim dotrze do czegokolwiek za nim.
- Główna baza danych księgi wymusza TLS dla każdego przyjmowanego połączenia. Połączenie w postaci niezaszyfrowanej jest odrzucane, a nie tylko odradzane przez konfigurację.
- Aplikacja weryfikuje certyfikat bazy danych względem przypiętego urzędu certyfikacji i sprawdza nazwę hosta, zamiast ufać pierwszemu napotkanemu certyfikatowi.
W spoczynku
Zdjęcia dokumentów i daty urodzenia są szyfrowane. Precyzyjnie wskazujemy, co jeszcze nie jest.
Sformułowanie „szyfrowane w spoczynku” często odnosi się do całej platformy jednym tchem. Oto, co faktycznie obejmuje ono obecnie.
- Zdjęcia dokumentów i selfie
- Szyfrowane algorytmem AES-256-GCM podczas przechowywania, przed automatycznym usunięciem, które je kasuje.
- Data urodzenia
- Przechowywane w postaci zaszyfrowanej, nigdy jawnym tekstem, w każdym miejscu zapisu weryfikacji, w którym występują.
- Sekrety (klucze API, dane uwierzytelniające bazy danych, klucze podpisujące)
- Przechowywane w dedykowanym sejfie sekretów, a nie w konfiguracji aplikacji ani w kodzie źródłowym.
- Pozostała część bazy danych i ogólne woluminy pamięci masowej
- Obecnie nieszyfrowane na poziomie dysku ani bazy danych. Mówimy o tym wprost, zamiast sugerować pełne pokrycie.
Sekrety
Jeden sejf, dostęp przez token, rotacja udokumentowana.
Dane uwierzytelniające aplikacji nie są rozproszone po plikach konfiguracyjnych.
Scentralizowane
Klucze API, dane uwierzytelniające bazy danych i sekrety webhooków są przechowywane w dedykowanym systemie zarządzania sekretami, odczytywane i zapisywane wyłącznie przez uwierzytelnione API chronione tokenem.
Rotacja jest audytowana
Dedykowany proces rotacji rejestruje każdą zmianę danych uwierzytelniających i każdą odrzuconą próbę w dzienniku odpornym na manipulacje, który przechowuje wyłącznie odciski wartości, nigdy same wartości.
Nigdy w kodzie ani konfiguracji
Sekrety są odczytywane z sejfu przy uruchomieniu, a nie zapisywane w kodzie źródłowym ani pozostawiane w pliku środowiskowym dołączanym do wdrożenia.
Kopie zapasowe
Szyfrowane, zanim opuszczą pamięć, wraz z próbnym odtwarzaniem, które można wykonać bez ingerencji w produkcję.
Kopia zapasowa obejmuje aplikację, jej konfigurację i bazę danych.
- Szyfrowane algorytmem AES-256 kluczem przechowywanym w sejfie sekretów. Jeśli klucz jest niedostępny, skrypt kopii zapasowej odmawia zapisania niezaszyfrowanego pliku, zamiast po cichu przechodzić na inne rozwiązanie.
- Istnieje udokumentowana, skryptowa procedura odtwarzania, która obsługuje tryb próbny do tymczasowej lokalizacji, dzięki czemu proces można przetestować bez ingerencji w dane produkcyjne.
- Kopie zapasowe pozostają obecnie w tej samej lokalizacji. Nie oferujemy kopii zapasowych z redundancją geograficzną ani osobnego ośrodka awaryjnego i mówimy o tym nie tylko tutaj, ale także na stronach o rezydencji danych i zgodności.
Hasła, sesje i klucze API
Nic, co Państwa uwierzytelnia, nie jest przechowywane w formie, którą ktoś mógłby odczytać i ponownie wykorzystać.
Trzy różne rodzaje sekretów, trzy różne sposoby postępowania, wszystkie jednokierunkowe.
- Hasła
- Haszowane, nigdy nie przechowywane ani nie zapisywane w dziennikach jawnym tekstem.
- Tokeny sesji
- Token w pliku cookie sesji przeglądarki to losowa 32-bajtowa wartość ustawiona jako plik cookie HttpOnly.
- Klucze API
- Przechowywane jako skróty SHA-256. Jawnie zachowywany jest tylko krótki prefiks, dzięki czemu można rozpoznać klucz na liście, a pełna wartość nigdy nie może zostać ponownie odzyskana.
Czego ta strona nie twierdzi
Brak ochrony DDoS, brak WAF, brak redundancji geograficznej.
Obecnie nie działamy za siecią dostarczania treści (CDN) ani zaporą aplikacji internetowych i nie twierdzimy, że każdy przechowywany bajt jest szyfrowany na poziomie dysku lub bazy danych. Podstawowe ograniczanie liczby żądań chroni logowanie i inne kosztowne punkty końcowe, ale nie jest jeszcze wzmocnioną, trwałą warstwą ochrony przed nadużyciami. Jeśli konkretna kontrola ma znaczenie dla wewnętrznej oceny Państwa organizacji, prosimy zapytać nas bezpośrednio, zamiast zakładać, że obejmuje ją ogólne sformułowanie.
Pytania
Konkretne odpowiedzi o szyfrowaniu.
Więcej informacji
Proszę przeczytać, jak retencja danych i ich lokalizacja się uzupełniają.
Szyfrowanie to jedna z kilku kontroli. Proszę zobaczyć, co jest usuwane, kiedy i gdzie dane się znajdują, dopóki istnieją.