Kaip saugome tai, ką parduodame

Raktai lieka įrenginyje

Naudotojui užsiregistruojant raktų pora sukuriama telefono saugos luste. Privatusis raktas niekada nepalieka įrenginio, todėl jo negalima nukopijuoti, eksportuoti, pasisavinti apkeitus SIM kortelę ar panaudoti pakartotinai. Kiekvienas užregistruotas įrenginys identifikuojamas savo X.509 sertifikatu.

Patvirtinimas yra skaitmeninis užklausos parašas su laiko žyma, pagrįstas sertifikatu. Jūsų sistemos jį patikrina kriptografiškai ir saugo kaip audito įrodymą. Notakey niekada nesaugo naudotojų duomenų centralizuotai.

Push pranešimas tėra durų skambutis

Push pranešime nėra jokio sprendimo. Programėlė per HTTPS parsisiunčia patvirtinimo kortelę iš serviso domeno, kuriame buvo užregistruota, o serverį galima sukonfigūruoti taip, kad kortelėje būtų rodomas užklausos IP adresas, serviso pavadinimas ar URL. Užklausos turi ribotą galiojimo laiką, o integruotas ribotuvas nustato, kaip dažnai jas galima inicijuoti.

Būtent tai ir įveikia push užtvindymą: kiekvienoje užklausoje matyti, kas tvirtinama, o užklausą, kurios niekas nepradėjo, lengva atmesti.

Ko neteigiame

Patvirtinimas telefone pašalina slaptažodį kaip prisijungimo būdą ir SMS kodą kaip antrąjį veiksnį. Tačiau pats savaime jis nesustabdo tarpininko atakos, kai užpuoliko tarpinis serveris persiunčia tikrą prisijungimą, o naudotojas netikroje svetainėje patvirtina savo paties sesiją. Užklausos kilmė, parodyta patvirtinimo kortelėje, leidžia atidžiam naudotojui tokį tarpininką pastebėti, bet atakos neįmanomos nepadaro.

CISA atspariais sukčiavimui laiko tik FIDO/WebAuthn ir PKI pagrįstus metodus, o patvirtinimo push pranešimu tame sąraše nėra. Tai sakome savo pačių puslapiuose, užuot pasisavinę šią etiketę.

Veikia ten, kur yra jūsų duomenys

Notakey įrenginys veikia kaip virtuali mašina jūsų pačių infrastruktūroje arba mūsų debesyje. Naudojant įrenginį savo infrastruktūroje, autentifikacijos serveris ir jo duomenys lieka pas jus, o atnaujinimus ir dubliavimą valdote patys. Naudotojai registruojasi pagal jūsų jau naudojamą katalogą (Active Directory, LDAP ar RADIUS), o įrenginys palaiko RADIUS, SAML ir OAuth, todėl jūsų VPN ir programos toliau veikia be pakeitimų.

Atitiktis

Platforma sukurta griežtam kliento autentiškumo patvirtinimui pagal PSD2, pažangiesiems ir kvalifikuotiems elektroniniams parašams pagal eIDAS ir duomenų kiekio mažinimui pagal BDAR: naudotojo raktai lieka jo paties įrenginyje. Mūsų duomenų tvarkymo sutartis skelbiama šioje svetainėje.

Ši svetainė

Ši svetainė yra statinis HTML be turinio valdymo sistemos, todėl nėra nei administratoriaus prisijungimo, kurį būtų galima atakuoti, nei TVS, kurią reikėtų atnaujinti. Kontaktų formos duomenys siunčiami vienai beserverei (serverless) funkcijai. Šriftai talpinami mūsų pačių serveryje, o lankomumo statistika renkama be slapukų ir anonimiškai, todėl sutikimo juostos nėra. Privatumo politikoje tiksliai aprašyta, kas renkama.