PASSI - Tietojärjestelmien tietoturva-auditoinnin palveluntarjoaja
PASSI on ANSSI:n (Ranskan kansallinen tietojärjestelmien turvallisuusvirasto) myöntämä pätevyys palveluntarjoajille, jotka on valtuutettu suorittamaan tietoturva-auditointeja ranskalaisten hallintojen ja kriittisten toimijoiden lukuun. Pätevyys kattaa viisi auditoinnin aluetta: arkkitehtuuri, konfiguraatio, lähdekoodi, tunkeutumistestaus ja organisatorinen/fyysinen. Siihen viitataan ANSSI:n julkaisemassa PASSI-vaatimuskehyksessä, jota päivitetään ajoittain.
Julkiselle ostajalle tai elintärkeälle toimijalle PASSI-auditoinnin vaatiminen valitusta ratkaisusta on yleinen huolellisuustoimenpide. Virallinen luettelo pätevistä palveluntarjoajista julkaistaan ANSSI:n verkkosivustolla osoitteessa cyber.gouv.fr.
SecNumCloud - ANSSI:n pätevyys suvereeneille palveluntarjoajille
SecNumCloud on ranskalainen viitepätevyys suvereeneille pilvipalvelun tarjoajille. Kehys edellyttää riippumattomuutta Euroopan ulkopuolisesta oikeudesta (erityisesti CLOUD Act ja FISA Section 702), tietojen ja toimintojen fyysistä sijaintia Euroopan unionin alueella sekä vahvistettuja teknisiä toimenpiteitä salauksen, auditoinnin ja toiminnan jatkuvuuden osalta.
SecNumCloud 3.2 -kehyksen julkaisee ANSSI. Sen pätevyys on pakollinen valtion arkaluonteisten tietojen säilyttämiseen yleisen turvallisuuskehyksen tarkoittamassa merkityksessä. ARDNTECH valitsee isännöinnin alihankkijansa tähän kehykseen linjattujen toimijoiden joukosta.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC on mekanismi viestin todennuskoodin laskemiseksi kryptografisesta tiivistefunktiosta ja salaisesta avaimesta, määritelty RFC 2104:ssä (IETF, 1997). Sen muunnos HMAC-SHA-256 käyttää NIST:n FIPS 180-4:ssä standardoimaa SHA-256-funktiota ja tuottaa 256-bittisen MAC:n. Käytännössä HMAC-SHA-256 takaa viestin eheyden ja aitouden paljastamatta avainta.
HMAC:n ketjutus (jossa tapahtuman HMAC sisältää edellisen HMAC:n) rakentaa muuttumattoman auditointiketjun: tapahtuman mikä tahansa takautuva muutos rikkoo ketjun ja tulee havaittavaksi. ARDNTECH käyttää ketjutettua HMAC-SHA-256:tta auditointilokissaan, todennettavissa julkisella CLI-komennolla.
Argon2id - Moderni avaimen johdannainen
Argon2 on avaimen johtamisalgoritmi, joka voitti Password Hashing Competition -kilpailun (2015), standardoitu RFC 9106:ssa (IETF, 2021). Argon2id, sen hybridimuunnos, yhdistää Argon2i:n sivukanavahyökkäysten kestävyyden ja Argon2d:n aika-muisti-kompromissihyökkäysten kestävyyden. Se ottaa kolme parametria: muistikustannus, aikakustannus ja rinnakkaisuus.
RFC 9106 suosittelee interaktiiviseen käyttöön vähintään 64 MiB:n muistikustannusta, 3 iteraatiota ja 1 rinnakkaisuusväylää. Korkeamman intensiteetin palvelinkäyttöön se suosittelee 256 MiB tai enemmän. ARDNTECH toteuttaa Argon2id:n 256 MiB:n muistilla, RFC 9106:n suositusten mukaisesti.
Zero-knowledge - Arkkitehtuuri ilman selkokielistä pääsyä
Zero-knowledge-arkkitehtuuriksi kutsutaan arkkitehtuuria, jossa palvelimella ei ole kryptografisen rakenteen vuoksi mitään teknistä keinoa lukea käyttäjän tietoja selkokielisinä. Salaus ja salauksen purku tapahtuvat kokonaan asiakaspuolella käyttäjän tunnuslauseesta johdetulla avaimella, jota ei koskaan välitetä palvelimelle.
Operatiivinen seuraus on, että palvelimen vaarantava hyökkääjä (tai julkaisija itse, laillisen pyynnön pakottamana) pääsee käsiksi vain salattuihin blobeihin, joita ei voi hyödyntää ilman haltijan avainta. Vastapainona on julkaisijan kyvyttömyys palauttaa unohtunutta salasanaa: nollausmekanismi tuhoaa väistämättä edellisen holvin.
OpenPGP - Epäsymmetrisen salauksen standardi
OpenPGP on avoin viestien salaus- ja allekirjoitusstandardi, joka on johdettu Pretty Good Privacy -työkalusta. Sen nykyinen määrittely on RFC 9580 (IETF, heinäkuu 2024), joka korvaa RFC 4880:n. OpenPGP yhdistää symmetrisen salauksen sisällölle (AES-256-GCM, ChaCha20-Poly1305) ja epäsymmetrisen avaintenvaihdolle (RSA, X25519, Ed25519).
B2B-holvissa OpenPGP mahdollistaa salaisuuden salaamisen useille vastaanottajille ilman keskitettyä uudelleenkoodausta: jokaisella käyttäjällä on oma avainparinsa, ja jakaminen koostuu symmetrisen istuntoavaimen uudelleenkoodaamisesta uuden vastaanottajan julkiselle avaimelle. ARDNTECH käyttää OpenPGP RFC 9580:tä asiakaspuolella salaisuuksien jakamiseen saman organisaation käyttäjien välillä.
X25519 / Ed25519 - Modernit elliptiset käyrät
X25519 on Diffie-Hellman-avaintenvaihtoalgoritmi Curve25519-käyrällä, määritelty RFC 7748:ssa (IETF, 2016). Ed25519 on siihen liittyvä allekirjoitusalgoritmi, määritelty RFC 8032:ssa. Daniel J. Bernsteinin ja hänen tiiminsä suunnittelemat nämä algoritmit tarjoavat 3072-bittistä RSA-avainta vastaavan turvallisuustason huomattavasti pienemmällä muisti- ja CPU-jalanjäljellä.
Niiden käyttöönotto on nykyään laajaa: TLS 1.3, SSH, Signal, WireGuard ja OpenPGP RFC 9580:stä alkaen. Edwards-käyrät välttävät historiallisten NIST-käyrien (P-256, P-384) tavalliset toteutuksen sudenkuopat tekemällä sivukanavahyökkäysten toteuttamisesta vaikeampaa.
AES-256-GCM - Todennettu symmetrinen salaus
AES-256-GCM on Advanced Encryption Standard -pari Galois/Counter Mode -tilassa 256-bittisellä avaimella. GCM-tilan standardoi NIST julkaisussa NIST SP 800-38D ja se tarjoaa sekä luottamuksellisuuden (laskuritilasalauksella) että todennuksen (GF(2¹²⁸):ssä tapahtuvasta kertolaskusta saadulla MAC:lla).
Sen laaja leviäminen selittyy laitteistosuorituskyvyllä (x86_64- ja ARMv8-prosessorien AES-NI- ja CLMUL-käskyt) ja todistetulla kestävyydellä. Se on edelleen herkkä IV:n uudelleenkäytölle, jonka on oltava satunnainen tai tiukasti peräkkäinen. AES-256-GCM on OpenPGP RFC 9580:n ja TLS 1.3:n oletusarvoinen symmetrinen perustoiminto.
CLOUD Act - Yhdysvaltain ekstraterritoriaalisuus 2018
Clarifying Lawful Overseas Use of Data Act on yhdysvaltalainen liittovaltion laki, joka säädettiin 23. maaliskuuta 2018. Se valtuuttaa Yhdysvaltain viranomaiset vaatimaan Yhdysvaltain lainsäädännön alaiselta toimijalta käyttäjätietojen luovuttamista riippumatta niiden fyysisestä tallennuspaikasta. Koko teksti julkaistaan osoitteessa congress.gov.
Yhdysvaltalainen yritys, tai yhdysvaltalaisen yrityksen eurooppalainen tytäryhtiö, on edelleen CLOUD Actin alainen, vaikka sen palvelimet sijaitsisivat fyysisesti unionissa. Juuri tämä rakenteellinen kriteeri erottaa aidosti suvereenin julkaisijan julkaisijasta, jonka emoyhtiö kuuluu Yhdysvaltain lainsäädännön piiriin.
FISA Section 702 - Ulkomaalaisten valvonta
Foreign Intelligence Surveillance Act, vuonna 2008 lisätyssä Section 702:ssaan, valtuuttaa yhdysvaltalaiset virastot (NSA, FBI) keräämään sähköistä tiedustelutietoa Yhdysvaltain alueen ulkopuolella olevista muista kuin yhdysvaltalaisista henkilöistä, yhdysvaltalaisten sähköisen viestinnän toimijoiden pakollisella yhteistyöllä.
EUT katsoi vuonna 2020 (Schrems II -tuomio), että tämä järjestelmä, jolla ei ole tehokasta muutoksenhakukeinoa EU:ssa kohdennetuille henkilöille, on yhteensopimaton eurooppalaisen oikeuden perustakeiden kanssa. Se on yksi toistuvista syistä, joiden vuoksi eurooppalaiset tietoturvajohtajat sulkevat pois Yhdysvaltain lainsäädännön alaiset toimijat.
Schrems II - EUT:n tuomio C-311/18 (2020)
Tuomio Data Protection Commissioner vastaan Facebook Ireland ja Maximilian Schrems, jonka Euroopan unionin tuomioistuin antoi 16. heinäkuuta 2020, mitätöi Privacy Shield -riittävyyspäätöksen, joka säänteli henkilötietojen siirtoja EU:n ja Yhdysvaltojen välillä.
Schrems II:n jälkeen jokaista vakiosopimuslausekkeisiin perustuvaa siirtoa kolmanteen maahan on edellettävä siirtovaikutusten arviointi (Transfer Impact Assessment), jossa dokumentoidaan ulkomaisen valvonnan riskin puuttuminen. Tietosuojavastaaville tiukasti eurooppalaisen julkaisijan valitseminen välttää tämän menettelyn ja siihen liittyvän sääntelyriskin.
GDPR 28 artikla - Tietojen käsittelyn alihankinta
Asetuksen (EU) 2016/679 28 artikla säätelee rekisterinpitäjän ja käsittelijän välistä suhdetta. Se edellyttää kirjallisen sopimuksen tekemistä, jossa määritellään käsittelyn kohde ja kesto, sen luonne ja tarkoitus, tietojen tyyppi ja rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet.
Käytännössä jokainen SaaS-julkaisija on 28 artiklan tarkoittama käsittelijä heti kun se käsittelee henkilötietoja asiakkaidensa lukuun. ARDNTECH tarjoaa standardoidun DPA:n (Data Processing Agreement), joka sisältyy Business-suunnitelmaan ja on neuvoteltavissa Enterprise-suunnitelmassa.
GDPR 32 artikla - Käsittelyn turvallisuus
Asetuksen (EU) 2016/679 32 artikla velvoittaa rekisterinpitäjän ja käsittelijän toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet riskiin soveltuvan turvallisuustason varmistamiseksi. Nimenomaisesti mainitut toimenpiteet sisältävät tietojen salauksen sekä kyvyn varmistaa järjestelmien luottamuksellisuus, eheys, käytettävyys ja häiriönsietokyky.
Toimenpiteiden asianmukaisuuden arvioinnissa on otettava huomioon uusin tieto, toteutuskustannukset sekä käsittelyn luonne, laajuus ja tarkoitukset. B2B-salaisuusholville tuoreilla algoritmeilla (AES-256-GCM, Argon2id RFC 9106) toteutettu E2EE-salaus täyttää tyypillisesti tämän vaatimuksen.
DPA - Data Processing Agreement
DPA (Data Processing Agreement) eli tietojenkäsittelysopimus on GDPR:n 28 artiklan edellyttämä sopimus rekisterinpitäjän ja sen käsittelijän välillä. Siinä täsmennetään käsittelyn tarkoitukset, kyseessä olevat tietoryhmät, säilytysaika, sovelletut turvallisuustoimenpiteet ja myöhemmän alihankinnan ehdot.
GDPR:n alaiselle B2B-ostajalle allekirjoitetun DPA:n vaatiminen ennen henkilötietoja käsittelevän SaaS-työkalun käyttöönottoa on laillinen velvoite, ei vaihtoehto. ARDNTECH tarjoaa standardoidun DPA:n, joka sisältyy Business-suunnitelmaan, ja neuvotellun DPA:n Enterprise-suunnitelmassa.
DPO - Tietosuojavastaava
Tietosuojavastaava (DPO) on GDPR:n 37 artiklan luoma tehtävä. Sen nimittäminen on pakollista julkisille viranomaisille ja elimille, organisaatioille joiden ydintoiminta edellyttää henkilöiden säännöllistä ja järjestelmällistä laajamittaista seurantaa, sekä organisaatioille jotka käsittelevät laajamittaisesti erityisiä tietoryhmiä (terveys, biometriset tiedot jne.).
Tietosuojavastaava neuvoo GDPR-vaatimustenmukaisuudessa, valvoo vaikutustenarviointeja (DPIA), tekee yhteistyötä CNIL:n kanssa ja toimii rekisteröityjen yhteyspisteenä. Salaisuusholvin arvioinnin yhteydessä tietosuojavastaava validoi erityisesti DPA:n ja EU:n ulkopuolisen siirron arvioinnin, jos sovellettavissa.
NIS2 - Euroopan kyberturvallisuusdirektiivi
Direktiivi (EU) 2022/2555, eli NIS2 (Network and Information Security), korvaa vuoden 2016 NIS-direktiivin ja laajentaa merkittävästi kyberturvallisuusvelvoitteiden alaisten toimijoiden piiriä. Se kattaa nyt keskeiset ja tärkeät toimijat laajennetuilla aloilla (energia, liikenne, terveys, digitaalinen infrastruktuuri, hallinnoidut palvelut jne.).
NIS2 edellyttää riskienhallintatoimenpiteitä, häiriöiden ilmoittamista 24 tunnin sisällä (alustava hälytys) ja 72 tunnin sisällä (täydellinen raportti) sekä toimitusketjun turvallisuusvelvoitteita. Sen saattaminen osaksi Ranskan lainsäädäntöä on käynnissä. Elintärkeille toimijoille ja keskeisille palveluntarjoajille NIS2 vahvistaa vaatimuksia, jotka olivat olemassa LPM:n ja NIS1:n nojalla.
OIV - Elintärkeä toimija
Elintärkeä toimija (OIV) on julkinen tai yksityinen organisaatio, jonka toiminta katsotaan välttämättömäksi Ranskan valtion moitteettomalle toiminnalle, ja jonka pääministeri nimeää luottamuksellisesti asetuksella. Elintärkeät toimijat ovat sotilaallisen ohjelmointilain (LPM) säännösten alaisia kyberturvallisuuden osalta.
Elintärkeiden toimijoiden velvollisuudet sisältävät kriittisten tietojärjestelmien (SIC) ilmoittamisen ANSSI:lle, alakohtaisella asetuksella määriteltyjen turvallisuussääntöjen noudattamisen ja turvallisuushäiriöiden ilmoittamisen. SaaS-julkaisijalle elintärkeän toimijan viittauskelpoisuus edellyttää pätevyysvaatimusten (SecNumCloud) täyttämistä ja PASSI-auditointeihin vastaamista.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) on nykyiseen aikaan perustuva kertakäyttöisten salasanojen generointialgoritmi, määritelty RFC 6238:ssa (IETF, 2011). Se yhdistää jaetun salaisuuden (TOTP seed) ja aikalaskurin (oletuksena 30 sekunnin jaksot) HMAC-SHA-1-funktion kautta tuottaakseen 6-numeroisen koodin.
TOTP on yleisimmin käytetty toisen tekijän mekanismi yrityssovelluksissa. Sitä tukevat kaikki tavalliset todennussovellukset (Google Authenticator, Aegis jne.) ja ARDNTECH. RFC 6238 on julkisesti luettavissa osoitteessa tools.ietf.org.
WebAuthn / Passkey - Todennus ilman salasanaa
WebAuthn (Web Authentication API) on W3C-standardi, jonka avulla verkkosovellukset voivat todentaa käyttäjän FIDO2-todentajan avulla (laitteistoavain, sormenjälki, kasvojentunnistus). Määrittely julkaistaan osoitteessa w3.org/TR/webauthn-3/ . Passkeyt ovat WebAuthnin yleisötason toteutus, jossa avainpari synkronoidaan laitteiden välillä avaintenhallinnan kautta (iCloud Keychain, Google Password Manager).
Turvallisuuden näkökulmasta WebAuthn vastustaa luonnostaan tietojenkalastelua (avain on sidottu verkkotunnuksen alkuperään) ja toistohyökkäyksiä. B2B-salaisuusholville WebAuthnin aktivointi lukituksen avaamiseen poistaa yrityksen yleisimmän vaarantamisvektorin: pääsalasanan varastamisen tietojenkalastelulla. ARDNTECH tukee WebAuthn / Passkeys -toimintoja kaikissa suunnitelmissa.
AGPL-3.0 - Avoimen lähdekoodin verkko-copyleft-lisenssi
GNU Affero General Public License version 3 (AGPL-3.0) on Free Software Foundationin julkaisema vapaan ohjelmiston lisenssi. Se edellyttää, että tämän lisenssin kattaman ohjelmiston mikä tahansa verkkokäyttöönotto asettaa vastaavan lähdekoodin saataville käyttäjille, jotka pääsevät siihen käsiksi, mukaan lukien verkkopalvelun kautta.
Aegirexille AGPL-3.0:n alla julkaiseminen tarkoittaa, että jokaisen muokatun ARDNTECH-instanssin käyttöön ottavan organisaation on julkaistava muutoksensa. Se on rakenteellinen tae asiakkaille: jos ARDNTECH lakkaisi olemasta, koodi pysyisi yhteisön saatavilla ja ylläpidettävissä. Kryptografisen koodin auditointi on mahdollista mille tahansa tietoturvajohtajalle tai PASSI-tarkastajalle ilman erityistä pääsyä.
