Drošība
Kā mēs aizsargājam to, ko pārdodam
Notakey ir autentifikācijas produkts, tāpēc tā drošība ir pats produkts. Šajā lapā skaidrots, kas aizsargā jūsu lietotāju atslēgas un apstiprinājumus, ko mēs apzināti neapgalvojam, kā veidota šī tīmekļa vietne un kā ar mums sazināties par ievainojamību.
Atslēgas paliek ierīcē
Lietotājam reģistrējoties, tālruņa drošības mikroshēmā tiek izveidots atslēgu pāris. Privātā atslēga ierīci nekad nepamet, tāpēc to nevar nokopēt, eksportēt, pārņemt ar SIM kartes apmaiņu vai izmantot atkārtoti. Katru reģistrēto ierīci identificē tās X.509 sertifikāts.
Apstiprinājums ir digitāls paraksts uz konkrētā pieprasījuma ar laika zīmogu, ko apliecina ierīces sertifikāts. Jūsu sistēmas to pārbauda kriptogrāfiski un saglabā kā audita pierādījumu. Notakey lietotāju datus centralizēti neglabā.
Push paziņojums ir tikai durvju zvans
Push paziņojums pats nekādu lēmumu nesatur. Lietotne ielādē apstiprinājuma kartīti pa HTTPS no tā servisa domēna, kurā ierīce tika reģistrēta, un serveri var iestatīt tā, lai kartītē būtu redzama pieprasītāja IP adrese, servisa nosaukums vai URL. Pieprasījumiem ir derīguma termiņš, un iebūvēts ierobežotājs nosaka, cik bieži tos var izsaukt.
Tieši tas aptur push-bombing: katrā pieprasījumā redzams, ko lietotājs apstiprina, un pieprasījumu, ko neviens nav sācis, ir viegli noraidīt.
Ko mēs neapgalvojam
Apstiprinājums tālrunī atbrīvo no paroles kā pieteikšanās līdzekļa un no SMS koda kā otrā faktora. Pats par sevi tas neaptur starpnieka uzbrukumu (adversary-in-the-middle), kurā starpniekserveris pārsūta īstu pieteikšanos un lietotājs apstiprina pats savu sesiju nepareizajā vietnē. Ja kartītē redzams, no kurienes nāk pieprasījums, lietotājs, kurš ieskatās, šādu starpniekserveri pamanīs, taču uzbrukumu tas nepadara neiespējamu.
CISA par pret pikšķerēšanu noturīgām uzskata tikai FIDO/WebAuthn un uz PKI balstītas metodes, un apstiprinājums ar push paziņojumu šajā sarakstā nav. Mēs to pasakām paši savās lapās, nevis aizņemamies šo apzīmējumu.
Darbojas tur, kur ir jūsu dati
Notakey iekārta darbojas kā virtuālā mašīna jūsu infrastruktūrā vai mūsu mākonī. Ar lokālo iekārtu autentifikācijas serveris un tā dati atrodas jūsu infrastruktūrā, un atjauninājumus un dublēšanu kontrolējat jūs. Lietotāji reģistrējas, izmantojot direktoriju, kas jums jau ir (Active Directory, LDAP vai RADIUS), un iekārta atbalsta RADIUS, SAML un OAuth, tāpēc jūsu VPN un lietotnes turpina darboties bez izmaiņām.
Atbilstība prasībām
Platforma ir veidota stingrai klienta autentifikācijai atbilstoši PSD2, uzlabotajiem un kvalificētajiem elektroniskajiem parakstiem atbilstoši eIDAS un datu minimizēšanai atbilstoši GDPR: lietotāja atslēgas paliek viņa ierīcē. Mūsu datu apstrādes līgums ir publicēts šajā vietnē.
Šī tīmekļa vietne
Šī vietne ir statisks HTML bez satura pārvaldības sistēmas, tāpēc nav ne administratora pieteikšanās, kam uzbrukt, ne CMS, kam likt ielāpus. Saziņas forma sūta datus vienai bezservera funkcijai. Fontus mitinām paši, un analītika darbojas bez sīkdatnēm un anonīmi, tāpēc nav arī piekrišanas joslas. Privātuma politikā precīzi aprakstīts, kādi dati tiek vākti.
Ziņošana par ievainojamību
Ja uzskatāt, ka esat atraduši drošības problēmu kādā Notakey produktā, iekārtā, mobilajā lietotnē vai šajā vietnē, lūdzu, pastāstiet to vispirms mums. Rakstiet uz tālāk norādīto adresi un pievienojiet soļus problēmas atkārtošanai. Mēs apstiprināsim ziņojuma saņemšanu, informēsim jūs, kamēr problēmu novēršam, un, ja vēlaties, minēsim jūs kā atklājēju.
Lūdzu, dodiet mums saprātīgu laiku problēmas novēršanai pirms publiskas atklāšanas un testēšanas laikā nepiekļūstiet svešiem datiem, nemainiet un nedzēsiet tos.
Ziņot pa e-pastusupport@notakey.com