Comment Keeper protège-t-il vos données ? Sécurité et transparence.

Le modèle de chiffrement zero-Trust et Zero-Knowledge de Keeper Security garantit que, même dans le pire des cas, tout le contenu de votre Keeper vault sera protégé par de multiples couches de protection et de chiffrement. Depuis plus de dix ans, Keeper s’engage à protéger vos données les plus précieuses, grâce à son modèle de sécurité de premier ordre et à son approche transparente du partage de ces données avec le public.

La façon dont Keeper protège les informations des clients se différencie de celle de ses concurrents par de nombreux éléments. Les violations des données de LastPass ont remis en question la manière dont les informations stockées dans le coffre sont protégées lorsque survient une violation de données. Keeper prend certes d’importantes mesures de sécurité pour prévenir les violations, mais les clients veulent comprendre les mesures de protection que nous mettons en place dans l’éventualité d’une violation, ce qui est tout à fait normal. Un document très détaillé décrivant le modèle de chiffrement Keeper est disponible sur cette page. Ce blog présente les principales mesures de protection qui permettraient d’assurer la sécurité des utilisateurs en cas de violation de données.

Chiffrement des données du coffre

Keeper est doté d’un système de chiffrement multicouche basé sur des clés de chiffrement générées par le client. Des clés de niveau d’enregistrement AES 256 bits et des clés de niveau de dossier sont générées sur l’appareil du client, ce qui chiffre chaque archive stockée dans le coffre. Tous les éléments du coffre, notamment les logins, les fichiers joints, les codes TOTP, les informations de paiement, les URL et les champs personnalisés sont chiffrés.

Les clés de chiffrement sont générées localement sur l’appareil afin de préserver l’anonymat et prendre en charge des fonctionnalités avancées telles que le partage d’archives et de dossiers. Zero Knowledge signifie que chaque utilisateur a un contrôle total sur le chiffrement et le déchiffrement de toutes les informations contenues dans son Keeper vault, et qu’aucune de ses informations stockées n’est accessible par quelqu’un d’autre, pas même par les employés de Keeper.

Les clés d’enregistrement et les clés de dossier sont enveloppées par une autre clé, qui est la clé de données AES 256 bits.

Sur l’appareil de l’utilisateur, une autre clé client AES 256 bits est générée pour chiffrer un cache local hors ligne (si votre administrateur autorise l’accès hors ligne). Enfin, la clé de données AES 256 bits est chiffrée avec une autre clé, décrite dans la section suivante.

Protection de la clé de données

Le déchiffrement du coffre d’un utilisateur nécessite le déchiffrement de la clé de données.

Pour les utilisateurs qui se connectent avec un mot de passe maître : la clé pour déchiffrer et chiffrer la clé de données est dérivée du mot de passe maître de l’utilisateur à l’aide de la fonction de dérivation de clé basée sur le mot de passe (PBKDF2), avec jusqu’à 1 000 000 d’itérations par défaut. Lorsque l’utilisateur saisit son mot de passe maître, la clé est dérivée localement et ouvre ensuite la clé de données. Une fois la clé de données déchiffrée, elle est utilisée pour déballer les clés d’enregistrement individuelles et de dossiers. La clé d’enregistrement déchiffre ensuite chacun des contenus d’archive stockés.

Pour les utilisateurs qui se connectent avec la technologie SSO ou sans mot de passe : la cryptographie à courbe elliptique est utilisée pour chiffrer et déchiffrer les données au niveau de l’appareil. Une clé privée locale ECC-256 (secp256r1) est utilisée pour déchiffrer la clé de données. Une fois la clé de données déchiffrée, elle est utilisée pour déballer les clés d’enregistrement individuelles et de dossiers. La clé d’enregistrement déchiffre ensuite chacun des contenus d’enregistrement stockés. La clé des données chiffrées est transmise entre les appareils de l’utilisateur par le biais d’un système push ou d’un service d’échange de clés que nous appelons Approbation d’appareil, qui est géré par le client afin de préserver l’architecture zero-knowledge.

Points clés :

• Pour les clients qui utilisent un mot de passe maître pour se connecter, un mot de passe maître fort et unique est essentiel, ainsi que l’application de 1 000 000 d’itérations PBKDF2. En utilisant Keeper Admin Console, les administrateurs de Keeper peuvent facilement appliquer les règles de complexité du mot de passe maître aux utilisateurs finaux et aux itérations des politiques d’application basées sur les rôles de Keeper.
• Pour les clients qui déploient Keeper par le biais d’un produit d’authentification unique (SSO) tel que Azure, Okta, Ping, ADFS ou un autre fournisseur d’identité, il n’y a pas de mot de passe maître à prendre en compte, et le vecteur de menace de la dérivation de la clé du mot de passe maître n’existe pas. Dans ce modèle, tout le chiffrement des données utilise des clés à courbe elliptique. La protection des données avec Keeper SSO Connect est entièrement documentée et brevetée. Un aperçu de haut niveau de la fonctionnalité est disponible ici.
• Une description détaillée et une preuve mathématique de la force des coffres chiffrés avec des clés dérivées de mots de passe par rapport aux clés à courbe elliptique (EC) sont décrites dans la documentation du modèle de chiffrement de Keeper. Il est intéressant de noter que la blockchain Bitcoin utilise le chiffrement ECC-256. Cela crée de facto une prime de 300 milliards de dollars sur la force des courbes elliptiques de 256 bits.

Pour les entreprises qui cherchent à déployer un gestionnaire de mot de passe sécurisé pour les utilisateurs, Keeper SSO Connect fournit les plus hauts niveaux de protection des données en plus d’une intégration transparente à votre pile d’identité actuelle. Comme aucun mot de passe maître n’est utilisé, le vecteur de menace des attaques par force brute sur les données stockées est éliminé.

Chiffrement en transit

Keeper est une plateforme SaaS qui héberge des données chiffrées dans plusieurs zones géographiques avec Amazon Web Services (AWS). Les clients peuvent héberger leur serveur Keeper dans la région primaire de leur choix. Les données du client (texte chiffré stocké) et l’accès à la plateforme sont isolés dans la région spécifique choisie par le client.

Toutes les données utiles chiffrées envoyées aux serveurs Keeper sont enveloppées par une clé de transmission AES de 256 bits, en plus de la sécurité de la couche de transport (TLS), afin de se protéger contre les attaques de type man-in-the-middle. La clé de transmission est générée sur le dispositif client et transférée au serveur en utilisant le chiffrement ECIES via la clé publique EC du serveur.

Ce chiffrement par clé de transmission fournit une couche supplémentaire de chiffrement 256 bits en plus du chiffrement des données déjà intégré dans la charge. Le chiffrement de la transmission passe directement de l’appareil de l’utilisateur aux serveurs d’application dans l’environnement de Keeper.

Protection du Cloud

Keeper a créé un modèle avancé d’authentification Cloud et de communication en réseau, conçu pour offrir les plus hauts niveaux de confidentialité, de sécurité et de confiance.

Pour les utilisateurs qui se connectent avec un mot de passe maître : une deuxième clé PBKDF2 est générée localement avec un maximum de 1 000 000 d’itérations, puis hachée avec HMAC_SHA256 pour obtenir un jeton d’authentification.

Pour les utilisateurs qui se connectent avec une technologie SSO ou sans mot de passe : l’utilisateur peut s’authentifier via son fournisseur d’identité SSO, puis déchiffrer le texte chiffré de son coffre localement sur son appareil. Chaque appareil possède sa propre paire de clés publiques/privées EC (Elliptic Curve) et sa propre clé de données chiffrées. Pour se connecter à un nouvel appareil, l’utilisateur doit utiliser les appareils existants pour effectuer une approbation ou un administrateur ayant le privilège peut approuver un nouvel appareil.

Dans le coffre Cloud de Keeper (hébergé par AWS), nous stockons le coffre de chaque utilisateur sous forme de texte chiffré, qui a été chiffré localement sur l’appareil de l’utilisateur. En plus du chiffrement de la charge utile et du chiffrement de la transmission, Keeper superchiffre également les clés de données chiffrées stockées à l’aide de modules de sécurité matériels dans l’environnement AWS.

Certifications et conformité

Keeper est la plateforme de sécurité des mots de passe la plus sûre, certifiée, testée et auditée au monde. Keeper détient les plus anciennes certifications SOC 2 et ISO 27001 du secteur. Keeper est conforme au RGPD, conforme au CCPA, autorisé par FedRAMP, autorisé par StateRAMP, et certifié par TrustArc pour la confidentialité en ligne. Keeper est certifié PCI DSS.

Points clés :

• Keeper ne stocke pas de secrets tels que les clés d’accès à l’infrastructure du cloud dans son code source. Nous analysons régulièrement le code source à la recherche d’informations secrètes.
• Le code source de Keeper, bien qu’il soit conservé de manière privée dans Github Enterprise, ne fournit pas les informations nécessaires pour accéder au coffre d’un utilisateur. Le chiffrement des données se fait au niveau de l’appareil local, et une grande partie de ce code source est publiée dans notre référentiel public GitHub en tant que produit Commander et Secrets Manager de Keeper.
• Keeper n’utilise pas de fournisseurs tiers tels que Twilio pour la 2FA. Les fournisseurs de Keeper n’ont fait l’objet d’aucune violation de données.
• Keeper ne fournit à aucun tiers la gestion ou l’accès à nos centres de données AWS. Toute la gestion de l’infrastructure est effectuée par des employés à temps plein de Keeper Security, qui sont des citoyens américains, basés aux États-Unis.
• Keeper possède le plus grand nombre de certifications de sécurité du secteur. Keeper est certifié SOC2, autorisé par FedRamp, autorisé par StateRamp et certifié ISO27001.

Notre engagement en faveur de la transparence

Chez Keeper, la sécurité n’est pas seulement une question d’engagement, c’est une passion. C’est pourquoi nous mettons à la disposition du public tous les détails de notre modèle de chiffrement. Nous pensons que nos clients méritent de connaître toutes les mesures que nous prenons pour garantir la sécurité de leurs données dans un contexte de cyber sécurité en constante évolution.

Le modèle de chiffrement zero-trust et zero-knowledge de Keeper garantit que même dans le pire des scénarios, votre coffre Keeper est protégé. Nous effectuons continuellement des tests de sécurité pour nous assurer que nous restons la meilleure solution pour protéger vos données les plus précieuses.

Keeper effectue des tests trimestriels de pénétration des applications de tous ses produits et systèmes avec des testeurs de pénétration tiers, comme NCC Group et Cybertest. Il s’agit notamment de tests de pénétration de type équipe rouge sur des systèmes internes et externes exposés, avec accès complet au code source.

Keeper s’est également associé à Bugcrowd pour gérer son programme de primes de bugs et de divulgation de vulnérabilités (VDP). Le VDP de Keeper Security est disponible à l’adresse bugcrowd.com/keepersecurity.

Dans un souci de transparence, Keeper publie des notes de version détaillées sur toutes les plateformes. Si vous avez des questions, veuillez envoyer un e-mail à security@keepersecurity.com.