Jak Keeper chroni Twoje dane? Bezpieczeństwo i przejrzystość.

Model szyfrowania Zero-Trust i Zero-Knowledge Keeper Security gwarantuje, że nawet w najgorszym przypadku cała zawartość Keeper Vault będzie chroniona za pomocą wielu warstw zabezpieczeń i szyfrowania. Keeper od ponad dekady wywiązuje się ze zobowiązania do ochrony najcenniejszych danych za pomocą naszego najlepszego w klasie modelu bezpieczeństwa i przejrzystego podejścia do udostępniania ich publicznie.

Istnieje wiele różnic między tym, jak Keeper chroni informacje o klientach jak robią to nasi konkurenci. Naruszenia danych LastPass spowodowały zakwestionowanie tego, jak dane przechowywane w magazynie są chronione w przypadku naruszenia danych. Chociaż Keeper stosuje kompleksowe zabezpieczenia, aby zapobiegać naruszeniom, klienci słusznie chcą zrozumieć nasze zabezpieczenia na wypadek naruszenia. Bardzo szczegółowy dokument opisujący model szyfrowania Keeper jest dostępny na tej stronie. Ten wpis na blogu przedstawia kluczowe zabezpieczenia chroniące użytkowników w przypadku naruszenia danych.

Szyfrowanie danych w magazynie

Keeper jest zbudowany w oparciu o wielowarstwowy system szyfrowania oparty na kluczach szyfrowania generowanych przez klienta. 256-bitowe klucze na poziomie rekordów AES i klucze na poziomie folderów są generowane na urządzeniu klienckim, które szyfruje każdy rekord zapisany w magazynie. Cała zawartość magazynu jest szyfrowana, w tym loginy, załączniki, kody TOTP, dane płatności, adresy URL i pola niestandardowe.

Klucze są generowane lokalnie na urządzeniu działającym na zasadzie Zero-Knowledge i obsługujące zaawansowane funkcje, takie jak udostępnianie rekordów i folderów. Zero-Knowledge oznacza, że każdy użytkownik ma pełną kontrolę nad szyfrowaniem i deszyfrowaniem wszystkich danych osobowych w Keeper Vault i żadne z przechowywanych informacji nie są dostępne dla nikogo innego, nawet dla pracowników Keeper.

Klucze rekordów i klucze folderów są zabezpieczone innym kluczem, którym jest 256-bitowy klucz danych AES.

Na urządzeniu użytkownika generowany jest inny 256-bitowy klucz klienta AES w celu zaszyfrowania lokalnej pamięci podręcznej offline (jeśli administrator zezwala na dostęp w trybie offline). Wreszcie 256-bitowy klucz danych AES jest szyfrowany przy użyciu innego klucza, opisanego w następnej sekcji.

Ochrona klucza danych

Odszyfrowanie magazynu użytkownika wymaga odszyfrowania klucza danych.

Dotyczy użytkowników, którzy logują się przy użyciu hasła głównego: klucz do odszyfrowania i zaszyfrowania klucza danych pozyskuje się z głównego hasła użytkownika przy użyciu funkcji pozyskiwania kluczy opartych na hasłach (PBKDF2), która domyślnie obejmuje nawet 1000000 iteracji. Po wpisaniu przez użytkownika hasła głównego lokalnie pozyskiwany jest klucz, który następnie odkrywa klucz danych. Po odszyfrowaniu klucza danych jest on używany do odkrycia poszczególnych kluczy rekordów i kluczy folderów. Następnie klucz rekordu odszyfrowuje lokalnie każdą zapisaną zawartość rekordu.

Dotyczy użytkowników, którzy logują się przy użyciu technologii SSO lub technologii bezhasłowej: do szyfrowania i odszyfrowania danych na poziomie urządzenia stosowana jest kryptografia krzywej eliptycznej. Lokalny klucz prywatny ECC-256 (secp256r1) jest używany do odszyfrowania klucza danych. Po odszyfrowaniu klucza danych jest on używany do odkrycia poszczególnych kluczy rekordów i kluczy folderów. Następnie klucz rekordu odszyfrowuje każdą zapisaną zawartość rekordu. Zaszyfrowany klucz danych jest przesyłany między urządzeniami użytkownika za pośrednictwem systemu push lub usługi wymiany kluczy, którą nazywamy Zatwierdzaniem urządzenia, którą zarządza klient w celu zachowania zgodności z metodą Zero-Knowledge.

Najważniejsze punkty:

• W przypadku klientów, którzy używają hasła głównego do logowania, silne i unikalne hasło główne jest kluczowe, wraz z egzekwowaniem 1000000 iteracji PBKDF2. Korzystając z Keeper Admin Console, administratorzy Keeper mogą łatwo egzekwować reguły złożoności haseł głównych od użytkowników końcowych oraz iteracji w ramach zasad egzekwowania Keeper, opartych na rolach.
• W przypadku klientów, którzy wdrażają Keeper za pośrednictwem logowania jednokrotnego (SSO) Azure, Okta, Ping, ADFS lub od innego dostawcy tożsamości usług autoryzacji tożsamości, nie ma hasła głównego, którym należy się zająć, a wektor zagrożenia dla pozyskiwania klucza głównego hasła nie istnieje. W tym modelu całe szyfrowanie danych wykorzystuje klucze krzywej eliptycznej. Ochrona danych przy użyciu Keeper SSO Connect jest w pełni udokumentowana i opatentowana. Ogólny przegląd funkcji jest dostępny tutaj.
• Szczegółowy opis i matematyczny dowód siły magazynów zaszyfrowanych kluczami pochodzącymi od haseł w porównaniu z kluczami krzywej eliptycznej (EC) jest opisany w dokumentacji modelu szyfrowania Keeper. Warto zauważyć, że łańcuch bloków Bitcoin wykorzystuje ECC-256. Tworzy to de facto nagrodę w wysokości 300 mld USD dzięki sile 256-bitowych krzywych eliptycznych.

Przedsiębiorstwom, które chcą wdrożyć bezpieczny menedżer haseł wśród użytkowników, Keeper SSO Connect zapewnia najwyższy poziom ochrony danych oraz płynną integrację z bieżącym stosem tożsamości. Ponieważ nie używa się hasła głównego, wektor zagrożenia w postaci ataków siłowych na przechowywane dane jest eliminowany.

Szyfrowanie podczas przesyłania

Keeper to platforma SaaS, która obsługuje zaszyfrowane dane w wielu regionach geograficznych za pomocą Amazon Web Services (AWS). Klienci mogą hostować swoją dzierżawę Keeper w preferowanym regionie głównym. Dane klientów (zapisany tekst zaszyfrowany) i dostęp do platformy są izolowane dla określonego regionu wybranego przez klienta.

Wszystkie zaszyfrowane ładunki wysyłane do serwerów Keeper są pakowane 256-bitowym kluczem transmisji AES oraz Transport Layer Security (TLS), co zapewnia ochronę przed atakami typu man-in-the-middle. Klucz transmisji jest generowany na urządzeniu klienckim i przesyłany na serwer przy użyciu szyfrowania ECIES za pośrednictwem klucza publicznego EC serwera.

To szyfrowanie klucza transmisji zapewnia dodatkową warstwę 256-bitowego szyfrowania oprócz szyfrowania danych już upakowanego w ładunku. Szyfrowanie transmisji drąży tunel bezpośrednio z urządzenia użytkownika do serwerów aplikacji w środowisku Keeper.

Ochrona w chmurze

Keeper stworzył zaawansowany model uwierzytelniania w chmurze i komunikacji sieciowej stworzony dla najwyższych poziomów prywatności, bezpieczeństwa i zaufania.

Dotyczy użytkowników, którzy logują się przy użyciu hasła głównego: drugi klucz PBKDF2 jest generowany lokalnie z maksymalnie 1000000 iteracji, a następnie haszowany przy użyciu HMAC_SHA256 w celu uzyskania tokena uwierzytelniania.

Dotyczy użytkowników, którzy logują się przy użyciu SSO lub technologii bezhasłowej: użytkownik może uwierzytelnić się za pośrednictwem swojego dostawcy usług weryfikacji tożsamości SSO, a następnie odszyfrować tekst zaszyfrowany swojego magazynu lokalnie na swoim urządzeniu. Każde urządzenie ma własną parę kluczy publiczny/prywatny EC (krzywą eliptyczną) i zaszyfrowany klucz danych. Aby zalogować się na nowe urządzenie, użytkownik musi wykorzystać istniejące urządzenia do przeprowadzenia zatwierdzenia lub administrator z odpowiednimi uprawnieniami może zatwierdzić nowe urządzenie.

W magazynie Keeper w chmurze (hostowanym przez AWS) przechowujemy magazyn każdego użytkownika jako tekst, który został zaszyfrowany lokalnie na urządzeniu użytkownika. Oprócz szyfrowania ładunku i transmisji Keeper superszyfruje również przechowywane zaszyfrowane klucze danych za pomocą sprzętowych modułów bezpieczeństwa w środowisku AWS.

Certyfikaty i zgodność

Keeper jest najbezpieczniejszą oraz najlepiej certyfikowaną, testowaną i kontrolowaną platformą bezpieczeństwa haseł na świecie. Keeper posiada certyfikaty SOC 2 i ISO 27001 najdłużej z wszystkich firm z branży. Keeper jest zgodny z wymogami RODO i CCPA, a także posiada autoryzację FedRAMP High, autoryzację StateRAMP i certyfikat TrustArc dotyczący prywatności w Internecie. Keeper posiada certyfikat PCI DSS.

Najważniejsze punkty:

• Keeper nie przechowuje wpisów tajnych, takich jak klucze dostępu do infrastruktury chmury w kodzie źródłowym. Regularnie skanujemy kod źródłowy w poszukiwaniu poufnych informacji.
• Kod źródłowy Keeper, przechowywany prywatnie w Github Enterprise, nie zawiera informacji wymaganych do uzyskania dostępu do magazynu użytkownika. Szyfrowanie danych odbywa się na poziomie urządzenia lokalnego, a znaczna część tego kodu źródłowego jest publikowana w naszym publicznym repozytorium Github w ramach produktów Keeper Commander i Keeper Secrets Manager.
• Keeper nie korzysta z dostawców zewnętrznych, takich jak Twilio, do uwierzytelniania 2FA. Dostawcy Keeper nie padli ofiarą żadnych naruszeń danych.
• Keeper nie umożliwia stronom trzecim zarządzania ani dostępu do naszych centrów danych AWS. Całe zarządzanie infrastrukturą jest wykonywane przez pełnoetatowych pracowników Keeper Security, którzy dodatkowo są obywatelami USA mieszkającymi w USA.
• Keeper posiada najwięcej certyfikatów bezpieczeństwa w branży. Keeper posiada certyfikat SOC2, autoryzację FedRAMP High, autoryzację StateRAMP oraz certyfikat ISO27001.

Nasza obietnica dotycząca przejrzystości

Keeper jest nie tylko zaangażowany w bezpieczeństwo, ale wręcz fanatycznie do niego przywiązany. Dlatego każdy szczegół naszego modelu szyfrowania jest publicznie dostępny. Wierzymy, że nasi klienci zasługują na informacje o każdym kroku, który podejmujemy, aby zapewnić bezpieczeństwo ich danych w obliczu ciągle zmieniającego się krajobrazu cyberbezpieczeństwa.

Model szyfrowania Zero-Trust i Zero-Knowledge gwarantuje, że nawet w najgorszym przypadku Keeper Vault jest chroniony, a my nieustannie przeprowadzamy testy bezpieczeństwa, aby mieć pewność, że pozostajemy najlepszym rozwiązaniem do ochrony najcenniejszych danych.

Keeper przeprowadza kwartalne testy penetracyjne wszystkich produktów i systemów wraz z zewnętrznymi testerami penetracyjnymi, w tym NCC Group i Cybertest. Obejmują one testy penetracyjne zarówno wewnętrznych, jak i zewnętrznych systemów z pełnym dostępem do kodu źródłowego.

Keeper nawiązał również współpracę z Bugcrowd w zakresie zarządzania naszym programem Bug Bounty i ujawniania błędów w zabezpieczeniach (VDP). Program VDP Keeper Security można znaleźć na stronie https://bugcrowd.com/keepersecurity.

Aby zwiększyć przejrzystość, Keeper publikuje szczegółowe informacje o wersji na każdej platformie. Jeśli masz jakiekolwiek pytania, wyślij wiadomość e-mail na adres security@keepersecurity.com.