Jak chronimy to, co sprzedajemy

Klucze pozostają na urządzeniu

Podczas rejestracji para kluczy powstaje w bezpiecznym module sprzętowym telefonu. Klucz prywatny nigdy nie opuszcza urządzenia, więc nie da się go skopiować, wyeksportować, przejąć przez podmianę karty SIM ani użyć ponownie. Każde zarejestrowane urządzenie ma własny certyfikat X.509, który je identyfikuje.

Zatwierdzenie to podpis cyfrowy złożony pod żądaniem, opatrzony znacznikiem czasu i poparty certyfikatem. Państwa systemy weryfikują go kryptograficznie i przechowują jako dowód na potrzeby audytu. Notakey nigdy nie przechowuje danych użytkowników centralnie.

Powiadomienie push to tylko dzwonek do drzwi

Samo powiadomienie push niczego nie rozstrzyga. Aplikacja pobiera kartę potwierdzenia przez HTTPS z domeny usługi, w której została zarejestrowana, a serwer można skonfigurować tak, by na tej karcie pokazywał adres IP, z którego przyszło żądanie, nazwę usługi lub adres URL. Żądania wygasają, a wbudowany ogranicznik limituje, jak często można je wywoływać.

To właśnie odbiera skuteczność push-bombingowi: każde żądanie pokazuje, co jest zatwierdzane, a monit, którego nikt nie zainicjował, łatwo odrzucić.

Czego nie obiecujemy

Zatwierdzanie na telefonie eliminuje hasło jako sposób logowania i kod SMS jako drugi składnik. Samo w sobie nie powstrzymuje jednak ataku z udziałem pośrednika (AiTM), w którym serwer pośredniczący przekazuje prawdziwe logowanie, a użytkownik zatwierdza własną sesję na niewłaściwej stronie. Informacja na karcie potwierdzenia o tym, skąd przyszło żądanie, sprawia, że taki pośrednik staje się widoczny dla użytkownika, który się przyjrzy, ale nie czyni ataku niemożliwym.

CISA uznaje za odporne na phishing wyłącznie metody oparte na FIDO/WebAuthn i PKI, a zatwierdzania push na tej liście nie ma. Mówimy to otwarcie na własnych stronach, zamiast przypisywać sobie to określenie.

Działa tam, gdzie są Państwa dane

Appliance Notakey działa jako maszyna wirtualna w Państwa własnej infrastrukturze lub w naszej chmurze. W wariancie on-premise serwer uwierzytelniania i jego dane pozostają w Państwa infrastrukturze, a aktualizacje i redundancja są pod Państwa kontrolą. Użytkownicy rejestrują się względem katalogu, który już Państwo utrzymują (Active Directory, LDAP lub RADIUS), a appliance obsługuje RADIUS, SAML i OAuth, więc VPN i aplikacje działają bez zmian.

Zgodność z regulacjami

Platforma została zaprojektowana z myślą o silnym uwierzytelnianiu klienta zgodnie z PSD2, o zaawansowanych i kwalifikowanych podpisach elektronicznych zgodnie z eIDAS oraz o minimalizacji danych zgodnie z RODO: materiał kryptograficzny użytkownika pozostaje na jego urządzeniu. Naszą umowę powierzenia przetwarzania danych publikujemy w tej witrynie.

Ta witryna

Ta witryna to statyczny HTML bez systemu zarządzania treścią, więc nie ma panelu administracyjnego do zaatakowania ani CMS-a do łatania. Formularz kontaktowy wysyła dane do jednej funkcji serverless. Czcionki hostujemy sami, a analityka działa bez plików cookie i anonimowo, dlatego nie ma banera zgody. Polityka prywatności dokładnie opisuje, jakie dane są zbierane.