Как Keeper защищает ваши данные? Безопасность и прозрачность.

Модель шифрования с нулевым доверием и нулевым разглашением Keeper Security гарантирует, что даже в худшем случае все содержимое хранилища Keeper vault будет защищено несколькими уровнями защиты и шифрования. Keeper уже более десяти лет выполняет свои обязательства по защите ваших самых ценных данных, используя лучшую в своем классе модель безопасности и прозрачный подход к обмену данными с общественностью.

Принципы защиты информации пользователей Keeper существенно отличаются от конкурентов. Утечки данных LastPass поставили под сомнение степень защищенности хранимой в хранилище информации в случае утечки данных Хотя Keeper принимает расширенные меры безопасности для предотвращения утечек, клиенты справедливо хотят понимать принцип действия нашей защиты в случае взлома. На этой странице представлен очень подробный документ с описанием модели шифрования Keeper. В этом сообщении в блоге будут изложены основные меры защиты, которые защитят пользователей в случае утечки данных.

Шифрование данных хранилища

Keeper создан с помощью многоуровневой системы шифрования на основе сгенерированных клиентом ключей шифрования. 256-разрядные ключи шифрования AES на уровне записей и на уровне папок генерируются на клиентском устройстве, которое шифрует каждую сохраненную запись хранилища. Все содержимое хранилища шифруется, включая имена входа в систему, файловые вложения, коды TOTP, платежную информацию, URL-адреса и настраиваемые поля.

Ключи шифрования генерируются локально на устройстве для сохранения нулевого разглашения и поддержки таких расширенных функций, как обмен записями и папками. Нулевое разглашение означает, что каждый пользователь имеет полный контроль над шифрованием и дешифрованием всей личной информации в хранилище Keeper vault, и хранимые данные не будут доступны никому, даже сотрудникам Keeper.

Ключи записей и ключи папок обертываются другим ключом, которым является 256-разрядный ключ данных AES.

На устройстве пользователя генерируется еще один 256-разрядный клиентский ключ AES для шифрования локального автономного кэша (если ваш администратор разрешает автономный доступ). Наконец, 256-разрядный ключ данных AES шифруется другим ключом, описанным в следующем разделе.

Защита ключа данных

Расшифровка хранилища пользователя требует расшифровки ключа данных.

Для пользователей, которые входят в систему с помощью мастер-пароля: ключ для расшифровки и шифрования ключа данных выводится из мастер-пароля пользователя с помощью функции получения ключа на основе паролей (PBKDF2) с использованием по умолчанию до 1 000 000 итераций. После того как пользователь введет свой мастер-пароль, ключ выводится локально, а затем раскрывает ключ данных. После расшифровки ключа данных он используется для распаковки отдельных ключей записей и ключей папок. Затем ключ записи дешифрует содержимое каждой из сохраненных записей локально.

Для пользователей, которые входят в систему с помощью технологии SSO или без пароля: для шифрования и расшифровки данных на уровне устройства используется криптография эллиптических кривых. Локальный закрытый ключ ECC-256 (secp256r1) используется для расшифровки ключа данных. После расшифровки ключа данных он используется для распаковки отдельных ключей записей и ключей папок. Затем ключ записи расшифровывает содержимое каждой из сохраненных записей. Зашифрованный ключ данных передается между устройствами пользователя через push-систему или службу обмена ключами, называемую подтверждением устройства, которая управляется клиентом для сохранения нулевого разглашения.

Ключевые аспекты:

• Для клиентов, которые используют мастер-пароль для входа в систему, решающее значение имеет надежный и уникальный мастер-пароль, а также обеспечение использования 1 000 000 итераций PBKDF2. С помощью Keeper Admin Console администраторы Keeper могут легко применять правила сложности мастер-паролей для конечных пользователей и использовать итерации в политиках правоприменения на основе ролей Keeper.
• Для клиентов, которые развертывают Keeper с помощью продуктов единого входа (SSO), например Azure, Okta, Ping, ADFS или другого поставщика удостоверений, необходимость в мастер-пароле отпадает, и вектора угрозы, связанного с получением ключа мастер-пароля, не существует. В этой модели все шифрование данных использует ключи эллиптических кривых. Защита данных с помощью Keeper SSO Connect полностью задокументирована и запатентована. Общий обзор этой функции доступен здесь.
• Подробное описание и математическое доказательство прочности хранилищ, зашифрованных парольными ключами, по сравнению с ключами эллиптических кривых (EC), приведено в документации к модели шифрования Keeper. Стоит отметить, что блокчейн биткойнов использует ECC-256. Это фактически устанавливает вознаграждение в 300 миллиардов долларов за прочность 256-разрядных эллиптических кривых.

Для предприятий, которые хотят внедрить безопасный менеджер паролей для пользователей, Keeper SSO Connect обеспечивает высочайший уровень защиты данных и плавную интеграцию с текущим стеком удостоверений. Поскольку мастер-пароль не используется, вектор угрозы атаки методом подбора на сохраненные данные исключается.

Шифрование при передаче

Keeper — это платформа SaaS, на которой хранятся зашифрованные данные в нескольких географических регионах с помощью Amazon Web Services (AWS). Клиенты могут арендовать Keeper в любом предпочтительном основном регионе. Данные клиента (сохраненный шифротекст) и доступ к платформе будут ограничены конкретным регионом на выбор клиента.

Все зашифрованные полезные данные, отправляемые на серверы Keeper, шифруются 256-разрядным ключом передачи AES и TLS для защиты от атак типа «человек посередине». Ключ передачи генерируется на клиентском устройстве и передается на сервер с помощью шифрования ECIES через открытый ключ EC сервера.

Это шифрование ключа передачи обеспечивает дополнительный уровень 256-разрядного шифрования в дополнение к шифрованию данных, уже включенному в полезную нагрузку. Туннели для шифрования передачи данных проходят непосредственно от устройства пользователя к серверам приложений в среде Keeper.

Облачная защита

Компания Keeper создала передовую модель облачной аутентификации и сетевых коммуникаций, обеспечивающую высочайший уровень конфиденциальности, безопасности и доверия.

Для пользователей, которые входят в систему с помощью мастер-пароля: второй ключ PBKDF2 генерируется локально с использованием до 1 000 000 итераций, а затем хэшируется с помощью HMAC_SHA256 для получения токена аутентификации.

Для пользователей, которые входят в систему с помощью единого входа или технологии без пароля: пользователь может пройти аутентификацию через своего поставщика удостоверений SSO, а затем расшифровать зашифрованный текст своего хранилища локально на своем устройстве. Каждое устройство имеет свою собственную пару открытых/закрытых ключей эллиптической криптографии (EC) и зашифрованный ключ данных. Чтобы войти на новое устройство, пользователь должен использовать существующие устройства для подтверждения нового устройства, или администратор с соответствующими полномочиями может подтвердить новое устройство.

В облачном хранилище Keeper (размещенном в AWS) мы храним каждое хранилище пользователя в виде зашифрованного шифротекста, который был зашифрован локально на устройстве пользователя. Помимо шифрования полезной нагрузки и шифрования передачи, Keeper также супершифрует хранимые зашифрованные ключи данных с помощью аппаратных модулей безопасности в среде AWS.

Сертификаты и соответствие

Keeper — это самая безопасная, сертифицированная, протестированная и проверенная платформа для защиты паролей в мире. Keeper имеет самую давнюю в отрасли сертификацию SOC 2 и ISO 27001. Keeper соответствует требованиям GDPR, CCPA, FedRAMP, StateRAMP и сертифицирован TrustArc для обеспечения конфиденциальности в Интернете. Keeper сертифицирован по стандарту PCI DSS.

Ключевые аспекты:

• Keeper не хранит такие секреты, как ключи доступа к облачной инфраструктуре, в исходном коде. Мы регулярно сканируем исходный код на предмет секретной информации.
• Хотя исходный код Keeper и хранится в частном порядке на GitHub Enterprise, он не предоставляет информацию, необходимую для доступа к хранилищу пользователя. Шифрование данных происходит на локальном уровне устройства, и большая часть этого исходного кода опубликована в нашем общедоступном репозитории GitHub как часть продуктов Keeper Commander и Keeper Secrets Manager.
• Keeper не использует сторонних поставщиков, таких как Twilio, для 2FA. Поставщики Keeper не были объектом утечки данных.
• Keeper не предоставляет третьим лицам управление или доступ к нашим центрам обработки данных AWS. Все управление инфраструктурой осуществляется штатными сотрудниками Keeper Security и гражданами США, находящимися в США.
• Keeper имеет наибольшее количество сертификатов безопасности в отрасли. Keeper сертифицирован по SOC2, FedRamp, StateRamp и ISO27001.

Наше обязательство по обеспечению прозрачности

Keeper не просто заботится о безопасности, мы относимся к этому фанатично. Вот почему мы делаем каждую деталь нашей модели шифрования доступной для общественности. Мы считаем, что наши клиенты заслуживают того, чтобы знать о каждом шаге, который мы предпринимаем для обеспечения безопасности их данных в условиях постоянно меняющейся среды кибербезопасности.

Модель Keeper шифрования с нулевым доверием и нулевым разглашением данных гарантирует, что даже в худшем случае ваше хранилище Keeper будет защищено, и мы постоянно проводим тесты безопасности, чтобы гарантировать, что мы остаемся лучшим решением для защиты наиболее ценных ваших данных.

Keeper проводит ежеквартальное тестирование всех наших продуктов и систем на возможность проникновения с помощью сторонних тестеров на проникновение, включая NCC Group и Cybertest. К ним относятся тесты на проникновение команды «красных» как внутренних, так и внешних систем с полным доступом к исходному коду.

Keeper также сотрудничает с Bugcrowd в рамках программы с вознаграждением за обнаружение ошибок и раскрытие уязвимостей (VDP). Программу Keeper Security VDP можно найти по ссылке bugcrowd.com/keepersecurity.

Для повышения прозрачности Keeper публикует подробные примечания к выпускам на всех платформах. Если у вас есть какие-либо вопросы, напишите на security@keepersecurity.com.