PASSI - Πάροχος Ελέγχου Ασφάλειας Πληροφοριακών Συστημάτων
Το PASSI είναι μια πιστοποίηση που χορηγείται από την ANSSI (Εθνική Υπηρεσία Ασφάλειας Πληροφοριακών Συστημάτων της Γαλλίας) σε παρόχους εξουσιοδοτημένους να διενεργούν ελέγχους ασφάλειας για λογαριασμό γαλλικών διοικήσεων και κρίσιμων φορέων. Η πιστοποίηση καλύπτει πέντε πεδία ελέγχου: αρχιτεκτονική, διαμόρφωση, πηγαίος κώδικας, δοκιμή διείσδυσης και οργανωτικός/φυσικός. Αναφέρεται στο Πλαίσιο Απαιτήσεων PASSI που δημοσιεύει η ANSSI και επικαιροποιείται περιοδικά.
Για έναν δημόσιο αγοραστή ή έναν φορέα ζωτικής σημασίας, η απαίτηση ελέγχου PASSI στην επιλεγμένη λύση αποτελεί συνήθη πρακτική δέουσας επιμέλειας. Ο επίσημος κατάλογος των πιστοποιημένων παρόχων δημοσιεύεται στον ιστότοπο της ANSSI στη διεύθυνση cyber.gouv.fr.
SecNumCloud - Πιστοποίηση ANSSI για κυρίαρχους παρόχους φιλοξενίας
Το SecNumCloud είναι η γαλλική πιστοποίηση αναφοράς για τους κυρίαρχους παρόχους υπολογιστικού νέφους. Το πλαίσιο απαιτεί ανεξαρτησία από το εξωευρωπαϊκό δίκαιο (ιδίως CLOUD Act και FISA Section 702), φυσική τοποθεσία των δεδομένων και των λειτουργιών εντός του εδάφους της Ευρωπαϊκής Ένωσης, καθώς και ενισχυμένα τεχνικά μέτρα σε θέματα κρυπτογράφησης, ελέγχου και επιχειρησιακής συνέχειας.
Το πλαίσιο SecNumCloud 3.2 δημοσιεύεται από την ANSSI. Η πιστοποίησή του είναι υποχρεωτική για τη φιλοξενία ευαίσθητων κρατικών δεδομένων κατά την έννοια του Γενικού Πλαισίου Ασφάλειας. Η ARDNTECH επιλέγει τους υπεργολάβους φιλοξενίας της μεταξύ των φορέων που είναι ευθυγραμμισμένοι με αυτό το πλαίσιο.
HMAC-SHA-256 - Hash-based Message Authentication Code
Το HMAC είναι ένας μηχανισμός υπολογισμού κωδικού ταυτοποίησης μηνύματος από μια κρυπτογραφική συνάρτηση κατακερματισμού και ένα μυστικό κλειδί, που ορίζεται από το RFC 2104 (IETF, 1997). Η παραλλαγή του HMAC-SHA-256 χρησιμοποιεί τη συνάρτηση SHA-256 που τυποποιείται από το NIST στο FIPS 180-4 και παρέχει ένα MAC 256 bit. Στην πράξη, το HMAC-SHA-256 χρησιμεύει για τη διασφάλιση της ακεραιότητας και της αυθεντικότητας ενός μηνύματος χωρίς να αποκαλύπτει το κλειδί.
Η αλυσιδωτή σύνδεση του HMAC (όπου το HMAC ενός συμβάντος περιλαμβάνει το HMAC του προηγούμενου) δημιουργεί μια αμετάβλητη αλυσίδα ελέγχου: κάθε αναδρομική τροποποίηση ενός συμβάντος σπάει την αλυσίδα και γίνεται ανιχνεύσιμη. Η ARDNTECH χρησιμοποιεί αλυσιδωτό HMAC-SHA-256 για το αρχείο ελέγχου της, επαληθεύσιμο μέσω μιας δημόσιας εντολής CLI.
Argon2id - Σύγχρονη παραγωγή κλειδιού
Το Argon2 είναι ο αλγόριθμος παραγωγής κλειδιού νικητής του Password Hashing Competition (2015), τυποποιημένος από το RFC 9106 (IETF, 2021). Το Argon2id, η υβριδική παραλλαγή του, συνδυάζει την αντοχή στις επιθέσεις πλευρικού καναλιού του Argon2i και την αντοχή στις επιθέσεις συμβιβασμού χρόνου-μνήμης του Argon2d. Λαμβάνει τρεις παραμέτρους: κόστος μνήμης, κόστος χρόνου και παραλληλισμός.
Το RFC 9106 συνιστά για διαδραστική χρήση ένα κόστος μνήμης τουλάχιστον 64 MiB, 3 επαναλήψεις και 1 διαδρομή παραλληλισμού. Για χρήσεις διακομιστή υψηλότερης έντασης, συνιστά 256 MiB ή περισσότερα. Η ARDNTECH υλοποιεί το Argon2id με 256 MiB μνήμης, σύμφωνα με τις συστάσεις του RFC 9106.
Zero-knowledge - Αρχιτεκτονική χωρίς πρόσβαση σε καθαρό κείμενο
Χαρακτηρίζεται ως zero-knowledge μια αρχιτεκτονική στην οποία ο διακομιστής δεν διαθέτει, εκ κατασκευής με κρυπτογραφικά μέσα, κανέναν τεχνικό τρόπο να διαβάσει τα δεδομένα του χρήστη σε καθαρό κείμενο. Η κρυπτογράφηση και η αποκρυπτογράφηση πραγματοποιούνται εξ ολοκλήρου στην πλευρά του πελάτη με ένα κλειδί που παράγεται από τη φράση πρόσβασης του χρήστη, το οποίο δεν μεταδίδεται ποτέ στον διακομιστή.
Η επιχειρησιακή συνέπεια είναι ότι ένας επιτιθέμενος που παραβιάζει τον διακομιστή (ή ο ίδιος ο εκδότης, υπό την πίεση νόμιμης δικαστικής εντολής) έχει πρόσβαση μόνο σε κρυπτογραφημένα blob που δεν μπορούν να αξιοποιηθούν χωρίς το κλειδί του κατόχου. Το αντίτιμο είναι η αδυναμία του εκδότη να ανακτήσει έναν ξεχασμένο κωδικό πρόσβασης: ο μηχανισμός επαναφοράς καταστρέφει αναγκαστικά το προηγούμενο θησαυροφυλάκιο.
OpenPGP - Πρότυπο ασύμμετρης κρυπτογράφησης
Το OpenPGP είναι το ανοιχτό πρότυπο κρυπτογράφησης και υπογραφής μηνυμάτων, που προέρχεται από το εργαλείο Pretty Good Privacy. Η τρέχουσα προδιαγραφή του είναι το RFC 9580 (IETF, Ιούλιος 2024), το οποίο αντικαθιστά το RFC 4880. Το OpenPGP συνδυάζει συμμετρική κρυπτογράφηση για το περιεχόμενο (AES-256-GCM, ChaCha20-Poly1305) και ασύμμετρη για την ανταλλαγή κλειδιών (RSA, X25519, Ed25519).
Σε ένα θησαυροφυλάκιο B2B, το OpenPGP επιτρέπει την κρυπτογράφηση ενός μυστικού για πολλούς παραλήπτες χωρίς κεντρική επανακωδικοποίηση: κάθε χρήστης διαθέτει το δικό του ζεύγος κλειδιών, και η κοινή χρήση συνίσταται στην επανακωδικοποίηση του συμμετρικού κλειδιού συνεδρίας για το δημόσιο κλειδί του νέου παραλήπτη. Η ARDNTECH χρησιμοποιεί OpenPGP RFC 9580 στην πλευρά του πελάτη για την κοινή χρήση μυστικών μεταξύ χρηστών του ίδιου οργανισμού.
X25519 / Ed25519 - Σύγχρονες ελλειπτικές καμπύλες
Το X25519 είναι ένας αλγόριθμος ανταλλαγής κλειδιών Diffie-Hellman στην καμπύλη Curve25519, που ορίζεται από το RFC 7748 (IETF, 2016). Το Ed25519 είναι ο συνδεδεμένος αλγόριθμος υπογραφής, που ορίζεται από το RFC 8032. Σχεδιασμένοι από τον Daniel J. Bernstein και την ομάδα του, αυτοί οι αλγόριθμοι προσφέρουν επίπεδο ασφάλειας ισοδύναμο με κλειδί RSA 3072 bit με πολύ μικρότερο αποτύπωμα μνήμης και CPU.
Η υιοθέτησή τους είναι πλέον ευρεία: TLS 1.3, SSH, Signal, WireGuard και OpenPGP από το RFC 9580. Οι καμπύλες Edwards αποφεύγουν τις συνήθεις δυσκολίες υλοποίησης των ιστορικών καμπυλών NIST (P-256, P-384) καθιστώντας τις επιθέσεις πλευρικού καναλιού πιο δύσκολες στην υλοποίηση.
AES-256-GCM - Πιστοποιημένη συμμετρική κρυπτογράφηση
Το AES-256-GCM είναι ο συνδυασμός Advanced Encryption Standard σε λειτουργία Galois/Counter Mode, με κλειδί 256 bit. Η λειτουργία GCM τυποποιείται από το NIST στο NIST SP 800-38D και παρέχει ταυτόχρονα εμπιστευτικότητα (μέσω κρυπτογράφησης σε λειτουργία μετρητή) και ταυτοποίηση (μέσω ενός MAC που προκύπτει από πολλαπλασιασμό στο GF(2¹²⁸)).
Η ευρεία διάδοσή του εξηγείται από την υλική απόδοσή του (εντολές AES-NI και CLMUL των επεξεργαστών x86_64 και ARMv8) και τη δοκιμασμένη αντοχή του. Παραμένει ευαίσθητο στην επαναχρησιμοποίηση IV, που πρέπει να είναι τυχαίο ή αυστηρά διαδοχικό. Το AES-256-GCM είναι η προεπιλεγμένη συμμετρική πρωτογενής συνάρτηση του OpenPGP RFC 9580 και του TLS 1.3.
CLOUD Act - Αμερικανική εξωεδαφικότητα 2018
Ο Clarifying Lawful Overseas Use of Data Act είναι ένας αμερικανικός ομοσπονδιακός νόμος που θεσπίστηκε στις 23 Μαρτίου 2018. Επιτρέπει στις αμερικανικές αρχές να απαιτήσουν από έναν φορέα που υπόκειται στο αμερικανικό δίκαιο την κοινοποίηση δεδομένων χρήστη, ανεξάρτητα από τη φυσική τοποθεσία αποθήκευσής τους. Το πλήρες κείμενο δημοσιεύεται στο congress.gov.
Μια αμερικανική εταιρεία, ή η ευρωπαϊκή θυγατρική μιας αμερικανικής εταιρείας, παραμένει υπόχρεη στον CLOUD Act ακόμη και αν οι διακομιστές της βρίσκονται φυσικά εγκατεστημένοι στην Ένωση. Αυτό το διαρθρωτικό κριτήριο διακρίνει έναν πραγματικά κυρίαρχο εκδότη από έναν εκδότη του οποίου η μητρική εταιρεία υπάγεται στο αμερικανικό δίκαιο.
FISA Section 702 - Παρακολούθηση αλλοδαπών
Ο Foreign Intelligence Surveillance Act, στο Section 702 του που προστέθηκε το 2008, επιτρέπει τη συλλογή ηλεκτρονικών πληροφοριών από τις αμερικανικές υπηρεσίες (NSA, FBI) σχετικά με μη Αμερικανούς πολίτες που βρίσκονται εκτός του εδάφους των Ηνωμένων Πολιτειών, με την υποχρεωτική συνεργασία των αμερικανικών φορέων ηλεκτρονικών επικοινωνιών.
Το ΔΕΕ έκρινε το 2020 (απόφαση Schrems II) ότι αυτό το καθεστώς, χωρίς μηχανισμό αποτελεσματικής προσφυγής για τα στοχευμένα πρόσωπα στην ΕΕ, είναι ασύμβατο με τις θεμελιώδεις εγγυήσεις του ευρωπαϊκού δικαίου. Είναι ένας από τους επανειλημμένους λόγους για τους οποίους οι Ευρωπαίοι CISO αποκλείουν τους φορείς που υπόκεινται στο αμερικανικό δίκαιο.
Schrems II - Απόφαση ΔΕΕ C-311/18 (2020)
Η απόφαση Data Protection Commissioner κατά Facebook Ireland και Maximilian Schrems, που εκδόθηκε στις 16 Ιουλίου 2020 από το Δικαστήριο της Ευρωπαϊκής Ένωσης, ακύρωσε την απόφαση επάρκειας Privacy Shield που πλαισίωνε τις διαβιβάσεις προσωπικών δεδομένων μεταξύ της ΕΕ και των Ηνωμένων Πολιτειών.
Από την απόφαση Schrems II, κάθε διαβίβαση προς τρίτη χώρα που βασίζεται στις Τυποποιημένες Συμβατικές Ρήτρες πρέπει να προηγείται από μια ανάλυση επιπτώσεων διαβίβασης (Transfer Impact Assessment) που τεκμηριώνει την απουσία κινδύνου ξένης παρακολούθησης. Για τους DPO, η επιλογή ενός αυστηρά ευρωπαϊκού εκδότη αποφεύγει αυτή τη διαδικασία και τον σχετικό κανονιστικό κίνδυνο.
ΓΚΠΔ Άρθρο 28 - Υπεργολαβία δεδομένων
Το άρθρο 28 του κανονισμού (ΕΕ) 2016/679 πλαισιώνει τη σχέση μεταξύ του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία. Επιβάλλει τη σύναψη γραπτής σύμβασης που καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της, τον τύπο των δεδομένων και τις κατηγορίες των ενδιαφερομένων προσώπων, καθώς και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου.
Στην πράξη, κάθε εκδότης SaaS είναι εκτελών την επεξεργασία κατά την έννοια του άρθρου 28 εφόσον επεξεργάζεται προσωπικά δεδομένα για λογαριασμό των πελατών του. Η ARDNTECH παρέχει ένα τυποποιημένο DPA (Data Processing Agreement) που περιλαμβάνεται στο πλάνο Business και είναι διαπραγματεύσιμο στο Enterprise.
ΓΚΠΔ Άρθρο 32 - Ασφάλεια της επεξεργασίας
Το άρθρο 32 του κανονισμού (ΕΕ) 2016/679 επιβάλλει στον υπεύθυνο επεξεργασίας και στον εκτελούντα την επεξεργασία να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσουν επίπεδο ασφάλειας προσαρμοσμένο στον κίνδυνο. Τα μέτρα που αναφέρονται ρητά περιλαμβάνουν την κρυπτογράφηση των δεδομένων, την ικανότητα διασφάλισης της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας και της ανθεκτικότητας των συστημάτων.
Η αξιολόγηση της καταλληλότητας των μέτρων πρέπει να λαμβάνει υπόψη την κατάσταση της τεχνολογικής γνώσης, το κόστος υλοποίησης και τη φύση, την έκταση και τους σκοπούς της επεξεργασίας. Για ένα θησαυροφυλάκιο μυστικών B2B, μια κρυπτογράφηση E2EE με πρόσφατους αλγόριθμους (AES-256-GCM, Argon2id RFC 9106) ικανοποιεί τυπικά αυτή την απαίτηση.
DPA - Data Processing Agreement
Ένα DPA (Data Processing Agreement), ή συμφωνία επεξεργασίας δεδομένων, είναι η σύμβαση που επιβάλλεται από το άρθρο 28 του ΓΚΠΔ μεταξύ ενός υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία. Προσδιορίζει τους σκοπούς της επεξεργασίας, τις κατηγορίες των σχετικών δεδομένων, τη διάρκεια διατήρησης, τα εφαρμοζόμενα μέτρα ασφάλειας και τους όρους μεταγενέστερης υπεργολαβίας.
Για έναν αγοραστή B2B που υπόκειται στον ΓΚΠΔ, η απαίτηση ενός υπογεγραμμένου DPA πριν από κάθε ανάπτυξη ενός εργαλείου SaaS που επεξεργάζεται προσωπικά δεδομένα είναι νομική υποχρέωση, όχι επιλογή. Η ARDNTECH παρέχει ένα τυποποιημένο DPA που περιλαμβάνεται στο πλάνο Business, και ένα διαπραγματευμένο DPA στο Enterprise.
DPO - Υπεύθυνος Προστασίας Δεδομένων
Ο Υπεύθυνος Προστασίας Δεδομένων (DPO) είναι η λειτουργία που δημιουργείται από το άρθρο 37 του ΓΚΠΔ. Ο ορισμός του είναι υποχρεωτικός για τις δημόσιες αρχές και οργανισμούς, τους οργανισμούς των οποίων η κύρια δραστηριότητα απαιτεί τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα, και τους οργανισμούς που επεξεργάζονται σε μεγάλη κλίμακα ειδικές κατηγορίες δεδομένων (υγεία, βιομετρικά δεδομένα κ.λπ.).
Ο DPO συμβουλεύει σχετικά με τη συμμόρφωση με τον ΓΚΠΔ, επιβλέπει τις αναλύσεις επιπτώσεων (DPIA), συνεργάζεται με την CNIL και χρησιμεύει ως σημείο επαφής για τα ενδιαφερόμενα πρόσωπα. Στο πλαίσιο της αξιολόγησης ενός θησαυροφυλακίου μυστικών, ο DPO επικυρώνει ιδίως το DPA και την ανάλυση διαβίβασης εκτός ΕΕ, εφόσον αυτή ισχύει.
NIS2 - Ευρωπαϊκή οδηγία για την κυβερνοασφάλεια
Η οδηγία (ΕΕ) 2022/2555, γνωστή ως NIS2 (Network and Information Security), αντικαθιστά την οδηγία NIS του 2016 και επεκτείνει σημαντικά το πεδίο των φορέων που υπόκεινται σε υποχρεώσεις κυβερνοασφάλειας. Καλύπτει πλέον τις βασικές και σημαντικές οντότητες σε διευρυμένους τομείς (ενέργεια, μεταφορές, υγεία, ψηφιακή υποδομή, διαχειριζόμενες υπηρεσίες κ.λπ.).
Η NIS2 επιβάλλει μέτρα διαχείρισης κινδύνων, κοινοποίηση συμβάντων εντός 24 ωρών (αρχική ειδοποίηση) και 72 ωρών (πλήρης αναφορά), και υποχρεώσεις ασφάλειας της αλυσίδας εφοδιασμού. Η μεταφορά της στο γαλλικό δίκαιο βρίσκεται σε εξέλιξη. Για τους φορείς ζωτικής σημασίας και τους βασικούς φορείς υπηρεσιών, η NIS2 ενισχύει τις απαιτήσεις που υπήρχαν υπό τον LPM και την NIS1.
OIV - Φορέας Ζωτικής Σημασίας
Ένας Φορέας Ζωτικής Σημασίας (OIV) είναι ένας δημόσιος ή ιδιωτικός οργανισμός του οποίου η δραστηριότητα κρίνεται απαραίτητη για την ομαλή λειτουργία του γαλλικού Έθνους, που ορίζεται εμπιστευτικά με απόφαση του Πρωθυπουργού. Οι φορείς ζωτικής σημασίας υπόκεινται στις διατάξεις του νόμου περί Στρατιωτικού Προγραμματισμού (LPM) σε θέματα κυβερνοασφάλειας.
Οι υποχρεώσεις των φορέων ζωτικής σημασίας περιλαμβάνουν τη δήλωση των κρίσιμων πληροφοριακών συστημάτων (SIC) στην ANSSI, την τήρηση κανόνων ασφάλειας που ορίζονται με τομεακή απόφαση, και την κοινοποίηση των συμβάντων ασφάλειας. Για έναν εκδότη SaaS, το να είναι αναφέρσιμος από έναν φορέα ζωτικής σημασίας συνεπάγεται την ικανοποίηση απαιτήσεων πιστοποίησης (SecNumCloud) και την ανταπόκριση σε ελέγχους PASSI.
TOTP - Time-based One-Time Password
Το TOTP (Time-based One-Time Password) είναι ένας αλγόριθμος παραγωγής κωδικών πρόσβασης μίας χρήσης που βασίζεται στην τρέχουσα ώρα, που ορίζεται από το RFC 6238 (IETF, 2011). Συνδυάζει ένα κοινό μυστικό (TOTP seed) και έναν μετρητή χρόνου (διαστήματα 30 δευτερολέπτων από προεπιλογή) μέσω της συνάρτησης HMAC-SHA-1 για να παράγει έναν αριθμητικό κωδικό 6 ψηφίων.
Το TOTP είναι ο πιο διαδεδομένος μηχανισμός δεύτερου παράγοντα στις εταιρικές εφαρμογές. Υποστηρίζεται από όλες τις τυπικές εφαρμογές ταυτοποίησης (Google Authenticator, Aegis κ.λπ.) και από το ARDNTECH. Το RFC 6238 είναι δημόσια αναγνώσιμο στο tools.ietf.org.
WebAuthn / Passkey - Ταυτοποίηση χωρίς κωδικό πρόσβασης
Το WebAuthn (Web Authentication API) είναι ένα πρότυπο W3C που επιτρέπει στις διαδικτυακές εφαρμογές να ταυτοποιούνται έναντι ενός χρήστη με τη βοήθεια ενός ταυτοποιητή FIDO2 (υλικό κλειδί, δακτυλικό αποτύπωμα, αναγνώριση προσώπου). Η προδιαγραφή δημοσιεύεται στο w3.org/TR/webauthn-3/ . Τα Passkeys είναι μια υλοποίηση WebAuthn για το ευρύ κοινό όπου το ζεύγος κλειδιών συγχρονίζεται μεταξύ συσκευών μέσω ενός διαχειριστή κλειδιών (iCloud Keychain, Google Password Manager).
Από την άποψη της ασφάλειας, το WebAuthn αντιστέκεται εγγενώς στο phishing (το κλειδί είναι συνδεδεμένο με την προέλευση του τομέα) και στις επιθέσεις επανάληψης. Για ένα θησαυροφυλάκιο μυστικών B2B, η ενεργοποίηση του WebAuthn για το ξεκλείδωμα εξαλείφει τον πιο συχνό φορέα παραβίασης στην επιχείρηση: την κλοπή του κύριου κωδικού πρόσβασης μέσω phishing. Η ARDNTECH υποστηρίζει WebAuthn / Passkeys σε όλα τα πλάνα.
AGPL-3.0 - Άδεια ανοιχτού κώδικα copyleft δικτύου
Η GNU Affero General Public License version 3 (AGPL-3.0) είναι μια άδεια ελεύθερου λογισμικού που δημοσιεύεται από το Free Software Foundation. Απαιτεί κάθε ανάπτυξη σε δίκτυο ενός λογισμικού που καλύπτεται από αυτή την άδεια να καθιστά διαθέσιμο τον αντίστοιχο πηγαίο κώδικα στους χρήστες που έχουν πρόσβαση σε αυτό, συμπεριλαμβανομένης της πρόσβασης μέσω διαδικτυακής υπηρεσίας.
Για την ARDNTECH, η δημοσίευση υπό AGPL-3.0 σημαίνει ότι κάθε οργανισμός που αναπτύσσει μια τροποποιημένη παρουσία της ARDNTECH πρέπει να δημοσιεύει τις τροποποιήσεις του. Είναι μια διαρθρωτική εγγύηση για τους πελάτες: αν η ARDNTECH έπαυε να υπάρχει, ο κώδικας θα παρέμενε προσβάσιμος και συντηρήσιμος από την κοινότητα. Ο έλεγχος του κρυπτογραφικού κώδικα είναι δυνατός για οποιονδήποτε CISO ή ελεγκτή PASSI χωρίς ειδική πρόσβαση.
