Come proteggiamo ciò che vendiamo

Le chiavi restano sul dispositivo

Quando un utente si registra, viene generata una coppia di chiavi all’interno dell’hardware sicuro del telefono. La chiave privata non lascia mai il dispositivo: non può quindi essere copiata, esportata, sottratta con un SIM swap né riutilizzata. Ogni dispositivo registrato è identificato da un proprio certificato X.509.

Un’approvazione è una firma digitale sulla richiesta, con marca temporale e supportata da un certificato. I vostri sistemi la verificano crittograficamente e la conservano come prova di audit. Notakey non conserva mai i dati degli utenti in modo centralizzato.

La notifica push è solo un campanello

La notifica push non contiene alcuna decisione. L’app scarica la scheda di approvazione via HTTPS dal dominio di servizio presso cui è stata registrata, e il server può essere configurato per mostrare su quella scheda l’indirizzo IP di provenienza, il nome del servizio o l’URL. Le richieste scadono e un limitatore integrato pone un tetto alla frequenza con cui possono essere attivate.

È questo a sconfiggere il push-bombing: ogni richiesta mostra che cosa si sta approvando, e una richiesta che nessuno ha avviato è facile da rifiutare.

Ciò che non affermiamo

L’approvazione sul telefono elimina la password come metodo di accesso e il codice SMS come secondo fattore. Da sola, però, non ferma un attacco adversary-in-the-middle, in cui un proxy inoltra un accesso reale e l’utente approva la propria sessione sul sito sbagliato. Mostrare sulla scheda di approvazione da dove proviene la richiesta rende un simile proxy visibile a un utente attento, ma non rende l’attacco impossibile.

La CISA considera resistenti al phishing soltanto i metodi FIDO/WebAuthn e quelli basati su PKI, e l’approvazione push non rientra in quell’elenco. Lo dichiariamo sulle nostre stesse pagine, invece di appropriarci di quell’etichetta.

Funziona dove si trovano i vostri dati

L’appliance Notakey funziona come macchina virtuale sulla vostra infrastruttura oppure nel nostro cloud. Con l’appliance on-premise, il server di autenticazione e i suoi dati restano sulla vostra infrastruttura, e siete voi a controllare aggiornamenti e ridondanza. Gli utenti si registrano tramite la directory che già utilizzate (Active Directory, LDAP o RADIUS), e l’appliance parla RADIUS, SAML e OAuth: la vostra VPN e le vostre applicazioni continuano a funzionare senza modifiche.

Conformità

La piattaforma è progettata per l’autenticazione forte del cliente prevista dalla PSD2, per le firme elettroniche avanzate e qualificate previste da eIDAS e per la minimizzazione dei dati richiesta dal GDPR, poiché il materiale crittografico dell’utente resta sul suo dispositivo. Il nostro accordo sul trattamento dei dati è pubblicato su questo sito.

Questo sito

Questo sito è HTML statico, senza alcun sistema di gestione dei contenuti: non c’è un accesso amministrativo da attaccare né un CMS da aggiornare. Il modulo di contatto invia i dati a un’unica funzione serverless. I caratteri tipografici sono ospitati sui nostri server e le statistiche di utilizzo sono anonime e senza cookie, motivo per cui non c’è alcun banner di consenso. L’informativa sulla privacy descrive esattamente quali dati vengono raccolti.