Seguridad
Cómo protegemos lo que vendemos
Notakey es un producto de autenticación: su propia seguridad es el producto. Esta página explica qué protege las claves y las aprobaciones de sus usuarios, qué es lo que deliberadamente no afirmamos, cómo está construido este sitio web y cómo contactarnos si encuentra una vulnerabilidad.
Las claves no salen del dispositivo
Cuando un usuario registra su teléfono, se genera un par de claves dentro del hardware seguro del dispositivo. La clave privada nunca sale de él, de modo que no se puede copiar, exportar, robar mediante un SIM swap ni reutilizar. Cada dispositivo registrado se identifica con su propio certificado X.509.
Una aprobación es una firma digital sobre la solicitud, con marca de tiempo y respaldada por un certificado. Sus sistemas la verifican criptográficamente y la conservan como prueba de auditoría. Notakey nunca almacena datos de usuarios de forma centralizada.
Una notificación push no es más que un timbre
La notificación push no contiene ninguna decisión. La aplicación obtiene la tarjeta de aprobación por HTTPS del dominio de servicio en el que se registró, y el servidor puede configurarse para que esa tarjeta muestre la dirección IP de origen, el nombre del servicio o la URL. Las solicitudes caducan, y un limitador integrado restringe la frecuencia con la que pueden generarse.
Eso es lo que neutraliza el push-bombing: cada solicitud muestra qué se está aprobando, y una solicitud que nadie ha iniciado es fácil de rechazar.
Lo que no afirmamos
La aprobación en el teléfono elimina la contraseña como forma de iniciar sesión y el código SMS como segundo factor. Por sí sola, no detiene un ataque de retransmisión adversary-in-the-middle, en el que un proxy reenvía un inicio de sesión real y el usuario aprueba su propia sesión en el sitio equivocado. Mostrar en la tarjeta de aprobación desde dónde llega la solicitud hace que ese proxy sea visible para un usuario atento; no hace imposible el ataque.
La CISA solo considera resistentes al phishing los métodos FIDO/WebAuthn y los basados en PKI, y la aprobación por notificación push no figura en esa lista. Lo decimos en nuestras propias páginas en lugar de apropiarnos de la etiqueta.
Funciona donde están sus datos
El appliance de Notakey se ejecuta como máquina virtual en su propia infraestructura o en nuestra nube. Con el appliance on-premise, el servidor de autenticación y sus datos permanecen en su infraestructura, y usted controla las actualizaciones y la redundancia. Los usuarios se registran contra el directorio que ya utiliza (Active Directory, LDAP o RADIUS), y el appliance habla RADIUS, SAML y OAuth, de modo que su VPN y sus aplicaciones siguen funcionando sin cambios.
Cumplimiento normativo
La plataforma está diseñada para la autenticación reforzada de clientes según PSD2, para las firmas electrónicas avanzadas y cualificadas según eIDAS y para la minimización de datos según el RGPD: el material de claves del usuario permanece en su propio dispositivo. Nuestro contrato de encargo del tratamiento está publicado en este sitio.
Este sitio web
Este sitio es HTML estático sin sistema de gestión de contenidos: no hay ningún acceso de administración que atacar ni ningún CMS que parchear. El formulario de contacto envía los datos a una única función sin servidor. Las fuentes se alojan en nuestro propio dominio y la analítica es anónima y no usa cookies, por eso no hay banner de consentimiento. La política de privacidad describe con exactitud qué datos se recogen.
Notificar una vulnerabilidad
Si cree haber encontrado un problema de seguridad en un producto de Notakey, en el appliance, en la aplicación móvil o en este sitio web, le rogamos que nos lo comunique antes que a nadie. Escriba a la dirección indicada abajo con los pasos para reproducirlo: acusaremos recibo, le mantendremos informado mientras lo corregimos y, si así lo desea, reconoceremos públicamente su aportación.
Le pedimos que nos conceda un plazo razonable para corregir el problema antes de hacerlo público y que, durante sus pruebas, no acceda a datos ajenos ni los modifique o elimine.
Notificar por correo electrónicosupport@notakey.com