Wie schützt Keeper Ihre Daten? Sicherheit und Transparenz.

Das Zero-Trust- und Zero-Knowledge-Verschlüsselungsmodell von Keeper Security stellt sicher, dass selbst im schlimmsten Fall alle Inhalte Ihres Keeper-Tresors durch mehrere Sicherheits- und Verschlüsselungsebenen geschützt sind. Keeper hat sich seit mehr als einem Jahrzehnt dem Schutz Ihrer wertvollsten Daten verschrieben. Grundlage dafür sind unser erstklassiges Sicherheitsmodell und unser transparenter Ansatz bei der Weitergabe von Daten an die Öffentlichkeit.

Der Schutz von Kundendaten durch Keeper unterscheidet sich in vielerlei Hinsicht von dem unserer Mitbewerber. Die Datenschutzverletzungen von LastPass haben die Frage aufgeworfen, wie die im Tresor gespeicherten Informationen im Falle eines Datendiebstahls geschützt sind. Obwohl Keeper umfangreiche Sicherheitsvorkehrungen trifft, um Verstöße zu verhindern, möchten die Kunden zu Recht wissen, welche Schutzmaßnahmen wir ergreifen, falls es doch zu einem Verstoß kommt. Ein sehr ausführliches Dokument, das das Keeper-Verschlüsselungsmodell beschreibt, steht auf dieser Seite zur Verfügung. In diesem Blogbeitrag werden die wichtigsten Schutzmaßnahmen erläutert, die die Nutzer im Falle eines Datenlecks absichern würden.

Verschlüsselung von Tresordaten

Keeper ist mit einem mehrschichtigen Verschlüsselungssystem ausgestattet, das auf vom Client generierten Verschlüsselungsschlüsseln basiert. Auf dem Client-Gerät werden 256-Bit-AES-Schlüssel auf Datensatzebene und Schlüssel auf Ordnerebene generiert, die jeden gespeicherten Tresordatensatz verschlüsseln. Alle Inhalte des Tresors werden verschlüsselt, einschließlich Anmeldungen, Dateianhänge, TOTP-Codes, Zahlungsinformationen, URLs und benutzerdefinierte Felder.

Die Verschlüsselungscodes werden lokal auf dem Gerät generiert, um Zero Knowledge zu schützen und erweiterte Funktionen wie die Freigabe von Datensätzen und Ordnern zu unterstützen. „Zero Knowledge“ bedeutet, dass jeder Nutzer die vollständige Kontrolle über die Ver- und Entschlüsselung aller persönlichen Daten in seinem Keeper Vault hat. Keine seiner gespeicherten Informationen sind für andere Personen zugänglich, nicht einmal für Mitarbeiter von Keeper.

Datensatz- und Ordnerschlüssel werden von einem weiteren Schlüssel umhüllt, dem 256-Bit-AES-Datenschlüssel.

Auf dem Gerät des Benutzers wird ein weiterer 256-Bit-AES-Client-Schlüssel für die Verschlüsselung eines lokalen Offline-Caches generiert (wenn Ihr Administrator den Offline-Zugriff erlaubt). Schließlich wird der 256-Bit-AES-Datenschlüssel mit einem anderen Schlüssel verschlüsselt, der im nächsten Abschnitt beschrieben wird.

Schutz des Datenschlüssels

Die Entschlüsselung des Tresors eines Benutzers erfordert die Entschlüsselung des Datenschlüssels.

Für Benutzer, die sich mit einem Master-Passwort anmelden: Der Schlüssel zum Ent- und Verschlüsseln des Datenschlüssels wird aus dem Master-Kennwort des Benutzers mithilfe der passwortbasierten Schlüsselableitungsfunktion (PBKDF2) abgeleitet, wobei standardmäßig bis zu 1.000.000 Iterationen durchgeführt werden. Nachdem der Benutzer sein Master-Passwort eingegeben hat, wird der Schlüssel lokal abgeleitet und dann der Datenschlüssel entpackt. Nachdem der Datenschlüssel entschlüsselt wurde, wird er verwendet, um die einzelnen Datensatz- und Ordnerschlüssel zu entschlüsseln. Der Datensatzschlüssel entschlüsselt dann jeden der gespeicherten Datensatzinhalte lokal.

Für Benutzer, die sich mit SSO oder passwortloser Technologie anmelden: Die Elliptische-Kurven-Kryptografie wird verwendet, um Daten auf Geräteebene zu verschlüsseln und zu entschlüsseln. Zur Entschlüsselung des Datenschlüssels wird ein lokaler privater ECC-256 (secp256r1)-Schlüssel verwendet. Nachdem der Datenschlüssel entschlüsselt wurde, wird er verwendet, um die einzelnen Datensatz- und Ordnerschlüssel zu entschlüsseln. Der Datensatzschlüssel entschlüsselt dann jeden der gespeicherten Datensatzinhalte. Der verschlüsselte Datenschlüssel wird zwischen den Geräten des Benutzers über ein Push-System oder einen Schlüsselaustauschdienst, den wir Gerätezulassung nennen, übertragen. Dieser Dienst wird vom Kunden verwaltet, um Zero Knowledge zu bewahren.

Wichtige Punkte:

• Für Kunden, die sich mit einem Master-Passwort anmelden, ist ein starkes und eindeutiges Master-Passwort von entscheidender Bedeutung, ebenso wie die Durchsetzung von 1.000.000 PBKDF2-Iterationen. Administratoren von Keeper können über die Keeper Admin Console ganz einfach Regeln zur Komplexität des Master-Passworts für Endbenutzer und Iterationen in den rollenbasierten Durchsetzungsrichtlinien von Keeper durchsetzen.
• Für Kunden, die Keeper über ein Single Sign-On-Produkt (SSO) wie Azure, Okta, Ping, ADFS oder einen anderen Identitätsanbieter bereitstellen, gibt es kein Master-Passwort, mit dem sie sich befassen müssen, und der Bedrohungsvektor der Ableitung des Master-Passworts existiert nicht. Bei diesem Modell werden zur Verschlüsselung der Daten ausschließlich Elliptische-Kurven-Schlüssel verwendet. Der Schutz der Daten mit Keeper SSO Connect ist vollständig dokumentiert und patentiert. Eine umfassende Übersicht über die Funktion finden Sie hier.
• Eine detaillierte Beschreibung und ein mathematischer Beweis der Stärke von Tresoren, die mit passwortbasierten Schlüsseln im Vergleich zu Elliptischen-Kurven (CE)-Schlüsseln verschlüsselt sind, finden Sie in der Dokumentation des Keeper-Verschlüsselungsmodells. Es ist erwähnenswert, dass die Bitcoin-Blockchain ECC-256 verwendet. Dadurch wird de facto ein Kopfgeld von 300 Milliarden USD auf die Leistungsfähigkeit von elliptischen Kurven mit 256 Bit ausgesetzt.

Für Unternehmen, die einen sicheren Password Manager für Benutzer bereitstellen möchten, bietet Keeper SSO Connect neben der nahtlosen Integration mit Ihrem aktuellen Identitätsstack höchstes Datenschutzniveau. Da kein Master-Passwort verwendet wird, wird der Bedrohungsvektor von Brute-Force-Angriffen, der auf gespeicherte Daten zielt, eliminiert.

Verschlüsselung während der Übertragung

Keeper ist eine SaaS-Plattform, die verschlüsselte Daten in mehreren geografischen Regionen bei Amazon Web Services (AWS) hostet. Kunden können ihren Keeper-Mandanten in ihrer bevorzugten primären Region hosten. Die Kundendaten (gespeicherter Chiffretext) und der Zugriff auf die Plattform sind auf die vom Kunden gewählte Region isoliert.

Alle verschlüsselten Nutzldaten, die an die Keeper-Server gesendet werden, werden neben der Transport Layer Security (TLS) mit einem 256-Bit-AES-Übertragungsschlüssel umhüllt, um vor Man-in-the-Middle-Angriffen geschützt zu sein. Der Übertragungsschlüssel wird auf dem Client-Gerät generiert und mittels ECIES-Verschlüsselung über den öffentlichen EC-Schlüssel des Servers an den Server übertragen.

Diese Verschlüsselung des Übertragungsschlüssels bietet eine zusätzliche 256-Bit-Verschlüsselungsebene zusätzlich zu der bereits in den Nutzdaten enthaltenen Datenverschlüsselung. Die Verschlüsselung der Übertragung tunnelt direkt vom Gerät des Nutzers zu den Anwendungsservern in der Umgebung von Keeper.

Cloud-Schutz

Keeper hat ein fortschrittliches Cloud-Authentifizierungs- und Netzwerkkommunikationsmodell entwickelt, das ein Höchstmaß an Datenschutz, Sicherheit und Vertrauen gewährleistet.

Für Benutzer, die sich mit einem Master-Passwort anmelden: Ein zweiter PBKDF2-Schlüssel wird lokal mit bis zu 1.000.000 Iterationen generiert und dann mit HMAC_SHA256 gehasht, um ein Authentifizierungstoken abzuleiten.

Für Benutzer, die sich mit SSO oder passwortloser Technologie anmelden: Der Benutzer kann sich über seinen SSO-Identitätsanbieter authentifizieren und dann den Chiffretext seines Tresors lokal auf seinem Gerät entschlüsseln. Jedes Gerät verfügt über ein eigenes öffentliches/privates EC-Schlüsselpaar (Elliptische Kurve) und einen verschlüsselten Datenschlüssel. Um sich bei einem neuen Gerät anzumelden, muss der Benutzer vorhandene Geräte verwenden, um eine Genehmigung durchzuführen, oder ein Administrator mit den entsprechenden Rechten kann ein neues Gerät genehmigen.

Im Cloud-Tresor von Keeper (gehostet von AWS) speichern wir den Tresor eines jeden Benutzers als verschlüsselten Chiffretext, der lokal auf dem Gerät des Benutzers verschlüsselt wurde. Zusätzlich zur Verschlüsselung der Nutzdaten und der Verschlüsselung der Übertragung sorgt Keeper auch für Verschlüsselung der gespeicherten Datenschlüssel mit Hardware-Sicherheitsmodulen in der AWS-Umgebung.

Zertifizierungen und Compliance

Keeper ist die sicherste, zertifizierteste, am meisten getestete und geprüfte Passwort-Sicherheitsplattform der Welt. Keeper verfügt über die am längsten bestehenden SOC 2- und ISO 27001-Zertifizierungen in der Branche. Keeper ist DSGVO-konform, CCPA-konform, FedRAMP-autorisiert, StateRAMP-autorisiert und von TrustArc für den Online-Datenschutz zertifiziert. Keeper ist PCI-DSS-zertifiziert.

Wichtige Punkte:

• Keeper speichert keine Geheimnisse wie z. B. Zugriffsschlüssel der Cloud-Infrastruktur in seinem Quellcode. Wir scannen den Quellcode regelmäßig auf geheime Informationen.
• Der Quellcode von Keeper wird zwar privat in Github Enterprise aufbewahrt, enthält aber keine Informationen, die für den Zugriff auf den Tresor eines Benutzers erforderlich sind. Die Verschlüsselung der Daten erfolgt auf lokaler Geräteebene, und ein Großteil dieses Quellcodes ist in unserem öffentlichen Github-Repository als Teil der Keeper-Produkte Commander und Secrets Manager veröffentlicht.
• Keeper verwendet für die 2FA keine Drittanbieter wie Twilio. Bei den Anbietern von Keeper gab es bisher keine Datenschutzverletzungen.
• Keeper stellt Dritten weder die Verwaltung noch den Zugriff auf unsere AWS-Rechenzentren zur Verfügung. Die gesamte Verwaltung der Infrastruktur wird von Vollzeitmitarbeitern von Keeper Security durchgeführt, die US-Bürger sind und ihren Sitz in den USA haben.
• Keeper verfügt über die meisten Sicherheitszertifizierungen der Branche. Keeper ist SOC2-zertifiziert, FedRamp-autorisiert, StateRamp-autorisiert und ISO27001-zertifiziert.

Unser Transparenzversprechen

Keeper hat sich nicht nur der Sicherheit verpflichtet, sondern wir sind geradezu fanatisch in diesem Bereich. Deshalb machen wir jedes Detail unseres Verschlüsselungsmodells der Öffentlichkeit zugänglich. Wir sind davon überzeugt, dass unsere Kunden es verdienen, über jeden unserer Schritte informiert zu werden, um die Sicherheit ihrer Daten angesichts der sich ständig verändernden Cybersicherheitslandschaft zu gewährleisten.

Das Zero-Trust– und Zero-Knowledge-Verschlüsselungsmodell von Keeper stellt sicher, dass Ihr Keeper-Tresor auch im schlimmsten Fall geschützt ist. Durch kontinuierliche Sicherheitstests stellen wir sicher, dass wir auch weiterhin die beste Lösung zum Schutz Ihrer wertvollsten Daten sind.

Keeper führt vierteljährlich Penetrationstests für alle unsere Produkte und Systeme mit Drittanbietern durch, darunter NCC Group und Cybertest. Dazu gehören Penetrationstests im Stil eines Red-Teams, bei denen sowohl interne als auch externe Systeme mit vollem Zugriff auf den Quellcode geprüft werden.

Keeper ist auch eine Partnerschaft mit Bugcrowd eingegangen, um sein Bug Bounty und Vulnerability Disclosure Program (VDP) zu verwalten. Das VDP von Keeper Security finden Sie unter bugcrowd.com/keepersecurity.

Um die Transparenz zu erhöhen, veröffentlicht Keeper detaillierte Versionshinweise auf jeder Plattform. Wenn Sie Fragen haben, senden Sie bitte eine E-Mail an security@keepersecurity.com.