Bezpečnost
Jak chráníme to, co prodáváme
Notakey je produkt pro ověřování, takže jeho vlastní bezpečnost je samotným produktem. Na této stránce se dozvíte, co chrání klíče a schválení vašich uživatelů, co záměrně netvrdíme, jak je postaven tento web a jak nám nahlásit zranitelnost.
Klíče zůstávají v zařízení
Při registraci uživatele vznikne pár klíčů přímo v zabezpečeném hardwaru telefonu. Soukromý klíč zařízení nikdy neopustí, takže ho nelze zkopírovat, exportovat, získat výměnou SIM karty ani znovu přehrát. Každé zaregistrované zařízení se prokazuje vlastním certifikátem X.509.
Schválení je digitální podpis požadavku, opatřený časovým razítkem a podložený certifikátem. Vaše systémy ho ověří kryptograficky a uchovají jako auditní důkaz. Notakey neukládá uživatelská data centrálně.
Push notifikace je jen zvonek u dveří
Samotná push notifikace o ničem nerozhoduje. Aplikace si schvalovací kartu stáhne přes HTTPS z domény služby, u které byla zaregistrována, a server lze nastavit tak, aby na kartě zobrazoval IP adresu, ze které požadavek přichází, název služby nebo URL. Požadavky mají omezenou platnost a vestavěný limit omezuje, jak často je lze vyvolat.
Právě to zastaví push-bombing: u každého požadavku je vidět, co se schvaluje, a výzvu, kterou nikdo nevyvolal, uživatel snadno odmítne.
Co netvrdíme
Schválení na telefonu odstraní heslo jako způsob přihlášení a SMS kód jako druhý faktor. Samo o sobě ale nezastaví útok adversary-in-the-middle, při kterém proxy přeposílá skutečné přihlášení a uživatel schválí vlastní relaci na podvržené stránce. Pokud schvalovací karta ukazuje, odkud požadavek přišel, pozorný uživatel takovou proxy odhalí; útok to ale neznemožní.
Americká agentura CISA považuje za odolné vůči phishingu pouze metody FIDO/WebAuthn a metody založené na PKI. Schvalování push notifikací na tomto seznamu není. Říkáme to otevřeně i na vlastních stránkách, místo abychom si toto označení vypůjčovali.
Běží tam, kde jsou vaše data
Zařízení Notakey běží jako virtuální stroj ve vaší vlastní infrastruktuře nebo v našem cloudu. U on-premise zařízení běží ověřovací server i jeho data ve vaší infrastruktuře a aktualizace i redundanci máte pod kontrolou vy. Uživatelé se registrují vůči adresáři, který už provozujete (Active Directory, LDAP nebo RADIUS), a zařízení komunikuje přes RADIUS, SAML a OAuth, takže vaše VPN i aplikace fungují dál beze změny.
Soulad s předpisy
Platforma je navržena pro silné ověření klienta podle PSD2, pro zaručené a kvalifikované elektronické podpisy podle eIDAS a pro minimalizaci údajů podle GDPR: klíčový materiál uživatele zůstává v jeho zařízení. Naše smlouva o zpracování osobních údajů je zveřejněna na tomto webu.
Tento web
Tento web tvoří statické HTML bez redakčního systému, takže tu není žádné administrátorské přihlášení, na které by šlo útočit, ani CMS, které by bylo třeba záplatovat. Kontaktní formulář odesílá data jediné serverless funkci. Písma hostujeme sami a analytika je anonymní a obejde se bez cookies, proto tu nenajdete žádnou lištu se souhlasem. Zásady ochrany osobních údajů přesně popisují, co se shromažďuje.
Nahlášení zranitelnosti
Pokud se domníváte, že jste našli bezpečnostní problém v produktu Notakey, v zařízení, v mobilní aplikaci nebo na tomto webu, dejte nám prosím vědět dřív než komukoli jinému. Napište na níže uvedenou adresu včetně postupu, jak problém reprodukovat. Přijetí hlášení potvrdíme, během opravy vás budeme průběžně informovat, a budete-li si to přát, uvedeme vás jako autora nálezu.
Před zveřejněním nám prosím dejte přiměřený čas na opravu a při testování nepřistupujte k datům, která vám nepatří, neupravujte je ani nemažte.
Nahlásit e-mailemsupport@notakey.com