In che modo Keeper protegge i tuoi dati? Sicurezza e trasparenza.

Il modello di crittografia zero-trust e zero-knowledge di Keeper Security garantisce che, anche nel peggiore dei casi, tutti i contenuti del tuo cassaforte Keeper siano protetti da molteplici livelli di salvaguardia e crittografia. Da oltre un decennio Keeper si impegna a proteggere i tuoi dati più preziosi, grazie a un modello di sicurezza all’avanguardia e a un approccio trasparente alla condivisione con il pubblico.

Ci sono molte differenze tra il modo in cui Keeper protegge le informazioni dei clienti rispetto ai nostri concorrenti. Le violazioni dei dati di LastPass hanno messo in discussione le modalità di protezione delle informazioni memorizzate nella cassaforte in caso di violazione dei dati. Sebbene Keeper metta in atto ampie misure di sicurezza per prevenire le violazioni, i clienti desiderano giustamente conoscere le nostre protezioni nel caso in cui si verifichi una violazione. Un documento molto dettagliato che descrive il modello di crittografia di Keeper è disponibile a questa pagina. Questo blog illustra le principali protezioni che tutelano gli utenti in caso di violazione dei dati.

Crittografia dei dati della cassaforte

Keeper è costruito con un sistema di crittografia a più livelli basato su chiavi di crittografia generate dal cliente. Sul dispositivo client vengono generate chiavi AES a livello di record a 256 bit e chiavi a livello di cartella che criptano ogni record del Vault memorizzato. Tutti i contenuti della cassaforte sono crittografati, compresi i login, gli allegati ai file, i codici TOTP, le informazioni di pagamento, gli URL e i campi personalizzati.

Le chiavi di crittografia vengono generate localmente sul dispositivo per preservare la zero-knowldge e per supportare funzioni avanzate come la condivisione di record e cartelle. Zero knowledge significa che ogni utente ha il controllo completo sulla crittografia e sulla decrittografia di tutte le informazioni personali contenute nel suo Keeper Vault e che nessuna delle sue informazioni archiviate è accessibile a terzi, nemmeno ai dipendenti Keeper.

Le chiavi dei record e le chiavi delle cartelle sono avvolte da un’altra chiave, che è la chiave dati AES a 256 bit.

Sul dispositivo dell’utente viene generata un’altra chiave client AES a 256 bit per crittografare la cache offline locale (se l’amministratore consente l’accesso offline). Infine, la chiave dati AES a 256 bit viene crittografata con un’altra chiave, descritta nella prossima sezione.

Protezione della chiave dati

Decifrare la cassaforte di un utente richiede la decrittografia della chiave dati.

Per gli utenti che effettuano il login con una Master Password: la chiave per decifrare e criptare la Data Key viene derivata dalla Master Password dell’utente utilizzando la Password-Based Key Derivation Function (PBKDF2), con un massimo di 1.000.000 di iterazioni per impostazione predefinita. Dopo che l’utente ha digitato la sua Master Password, la chiave viene ricavata localmente e quindi scarta la chiave dati. Dopo aver decriptato la chiave dati, questa viene utilizzata per aprire le chiavi dei singoli record e le chiavi delle cartelle. La chiave del record decifra quindi ogni contenuto del record memorizzato a livello locale.

Per gli utenti che accedono con la tecnologia SSO o senza password, viene utilizzata la crittografia a curva ellittica per criptare e decriptare i dati a livello di dispositivo. Una chiave privata ECC-256 (secp256r1) locale viene utilizzata per decifrare la chiave dati. Dopo aver decriptato la chiave dati, questa viene utilizzata per aprire le chiavi dei singoli record e le chiavi delle cartelle. La chiave del record decifra quindi il contenuto di ciascun record memorizzato. La chiave dei dati crittografati viene trasmessa tra i dispositivi dell’utente attraverso un sistema push o un servizio di scambio di chiavi che chiamiamo Device Approval, gestito dal cliente per preservare la conoscenza zero.

Punti chiave:

• Per i clienti che utilizzano una Master Password per accedere, una master password sicura e unica è fondamentale, insieme all’applicazione di 1.000.000 di iterazioni PBKDF2. Utilizzando la Keeper Admin Console, gli amministratori di Keeper possono facilmente applicare le regole di complessità della Master Password agli utenti finali e alle iterazioni delle politiche di applicazione basate sui ruoli di Keeper.
• Per i clienti che implementano Keeper attraverso un prodotto Single Sign-On (SSO) come Azure, Okta, Ping, ADFS o altri identity provider, non c’è alcuna Master Password di cui preoccuparsi e il vettore di minaccia della derivazione della chiave della Master Password non esiste. In questo modello, tutta la crittografia dei dati utilizza le chiavi a curva ellittica. La protezione dei dati utilizzando Keeper SSO Connect è completamente documentata e brevettata. Una panoramica di alto livello della funzionalità è disponibile qui.
• Una descrizione dettagliata e una prova matematica della forza delle cassaforti crittografate con chiavi derivate da password rispetto alle chiavi a curva ellittica (EC) sono descritte nella documentazione del modello di crittografia di Keeper. Vale la pena notare che la blockchain di Bitcoin utilizza l’ECC-256. Ciò crea di fatto una taglia di 300 miliardi di dollari grazie alle curve ellittiche a 256 bit.

Per le aziende che desiderano distribuire agli utenti un Password Manager sicuro, Keeper SSO Connect offre i massimi livelli di protezione dei dati oltre a una perfetta integrazione con il tuo attuale stack di identità. Poiché non viene utilizzata alcuna master password, il vettore di minaccia degli attacchi di forza bruta contro i dati memorizzati viene eliminato.

Crittografia in transito

Keeper è una piattaforma SaaS che ospita dati criptati in più regioni geografiche con Amazon Web Services (AWS). I clienti possono ospitare il loro tenant Keeper nella regione primaria che preferiscono. I dati del cliente (testo cifrato memorizzato) e l’accesso alla piattaforma sono isolati nella regione specifica scelta dal cliente.

Tutti i payload crittografati inviati ai server Keeper sono avvolti da una chiave di trasmissione AES a 256 bit oltre che dal Transport Layer Security (TLS), per proteggersi dagli attacchi man-in-the-middle. La chiave di trasmissione viene generata sul dispositivo client e trasferita al server utilizzando la crittografia ECIES tramite la chiave pubblica EC del server.

La crittografia della chiave di trasmissione fornisce un ulteriore livello di crittografia a 256 bit oltre alla crittografia dei dati già contenuta nel payload. La crittografia della trasmissione passa direttamente dal dispositivo dell’utente ai server delle applicazioni nell’ambiente di Keeper.

Protezione del cloud

Keeper ha creato un modello avanzato di autenticazione nel cloud e di comunicazione in rete costruito per garantire i massimi livelli di privacy, sicurezza e affidabilità.

Per gli utenti che accedono con una Master Password: una seconda chiave PBKDF2 viene generata localmente con un massimo di 1.000.000 di iterazioni e poi sottoposta a hash con HMAC_SHA256 per ottenere un token di autenticazione.

Per gli utenti che accedono con la tecnologia SSO o senza password: l’utente può autenticarsi tramite il proprio provider di identità SSO e poi decifrare il testo cifrato del proprio cassaforte in locale sul proprio dispositivo. Ogni dispositivo ha la propria coppia di chiavi pubbliche/private EC (Elliptic Curve) e la chiave dei dati crittografati. Per accedere a un nuovo dispositivo, l’utente deve utilizzare i dispositivi esistenti per eseguire un’approvazione oppure un amministratore con i privilegi necessari può approvare un nuovo dispositivo.

Nella cassaforte cloud di Keeper (ospitata da AWS), memorizziamo la cassaforte di ogni utente come testo cifrato, che è stato crittografato localmente sul dispositivo dell’utente. Oltre alla crittografia del paylod e della trasmissione, Keeper esegue anche la super-crittografia delle chiavi di dati crittografate memorizzate con moduli di sicurezza hardware nell’ambiente AWS.

Certificazioni e conformità

Keeper è la piattaforma di sicurezza delle password più sicura, certificata, testata e controllata al mondo. Keeper detiene la più lunga certificazione SOC 2 e ISO 27001 del settore. Keeper è conforme al GDPR, al CCPA, autorizzato FedRAMP High, autorizzato StateRAMP ed è certificato da TrustArc per la privacy online. Keeper è certificato PCI DSS.

Punti chiave:

• Keeper non memorizza nel codice sorgente i segreti come le chiavi di accesso dell’infrastruttura cloud. Scansioniamo regolarmente il codice sorgente alla ricerca di informazioni segrete.
• Il codice sorgente di Keeper, sebbene detenuto privatamente in Github Enterprise, non fornisce le informazioni necessarie per accedere alla cassaforte di un utente. La crittografia dei dati avviene a livello di dispositivo locale e gran parte di tale codice sorgente viene pubblicato nel nostro repository Github pubblico come parte dei prodotti Commander e Secrets Manager di Keeper.
• Keeper non utilizza fornitori di terze parti come Twilio per la 2FA. I fornitori di Keeper non sono stati soggetti a violazioni dei dati.
• Keeper non fornisce a terzi la gestione o l’accesso ai propri centri dati AWS. Tutta la gestione dell’infrastruttura viene eseguita da dipendenti a tempo pieno di Keeper Security, i quali sono cittadini statunitensi residenti negli Stati Uniti.
• Keeper ha il maggior numero di certificazioni sulla sicurezza del settore. Keeper dispone di certificazione SOC2, autorizzazione FedRAMP High, autorizzazione StateRAMP e certificazione ISO27001.

Il nostro impegno per la trasparenza

Keeper non si impegna verso la sicurezza: ne è ossessionata. Ecco perché rendiamo disponibile al pubblico ogni dettaglio del nostro modello di crittografia. Crediamo che i nostri clienti meritino di conoscere ogni passo che stiamo facendo per garantire la sicurezza dei loro dati in un panorama di sicurezza informatica in continua evoluzione.

Il modello di crittografia “zero-trust” e “zero-knowledge” di Keeper garantisce che anche nel peggiore dei casi il tuo Keeper Vault sia protetto, e conduciamo continuamente test di sicurezza per assicurarci di rimanere la soluzione migliore per proteggere i tuoi dati più preziosi.

Keeper esegue test trimestrali di penetrazione delle applicazioni di tutti i suoi prodotti e sistemi con tester di penetrazione di terze parti, tra cui NCC Group e Cybertest. Questi includono test di penetrazione in stile red-team di sistemi interni ed esterni con codice sorgente completo.

Keeper ha collaborato inoltre con Bugcrowd per gestire il programma bug bounty e di divulgazione delle vulnerabilità (VDP). Il VDP di Keeper Security è disponibile all’indirizzo https://bugcrowd.com/keepersecurity.

Per aumentare la trasparenza, Keeper pubblica note di rilascio dettagliate per ogni piattaforma. Se hai domande, invia un’e-mail a security@keepersecurity.com.