Trédhearcacht - dea-bharúil CISO

I gcomhair gach gealltanas, cruthúnas.

Thíos liostáítear gach gealltanas slándála ARDNTECH gabhdh leis an chruthúnas a thacaíonn leis: cód, tástáil uathoibríoch, comhthionóil nó cinneadh doiciméadaithe. Stádas trédhearcach in aghaidh an éilimh. Gan ráiteas gan chothéacs inchomhairimh.

Leagan v1.0 · athbhreithnithe an {{ "now"|date("d/m/Y") }} · nuashonraítear an leathanach seo ag gach mór-eisiúint.

Cén fáth an leathanach seo ? Tosaíonn athbhreithnithe slándála B2B i gcónaí leis an gceist chéanna : « conas a fhíoraím a bhfuil á rá agaibh ? ». Is é an leathanach seo ár bhfreagra caighdeánach. Tá gach líne fréamhaithe i bhfíric infhíoraithe.

Na stádais: Seachadta tá siad gníomhach i dtáirgeadh inniu ; Ar siúl = gné cumaiscthe, gan a bheith gníomhachtaithe fós i dtáirgeadh ; Le teacht = gealltanas dátaithe le haghaidh eisiúint níos déanaí ; Doiciméadaithe = rogha ailtireachta glactha, mínithe.

Tá an cód foinseach AGPL-3.0-or-later poiblí ar github.com/aegirex/server (SaaS), github.com/aegirex/website (suíomh margaíochta) agus github.com/aegirex/extension (breiseáin bhrabhsálaí). Fanann na runbooks agus na nósanna imeachta inmheánacha forchoimeádta do design partners faoi NDA.

1. Eolas-nialais agus cripteolaíochta

Croílár an gealltanas: ní féidir linn do rúin a léamh, fiú le rochtain riarthóra ar an fhriothóir.

Geallúint	Cruthúnas	Stádas
OpenPGP.js v6 (SEIPDv2 + ChaCha20-Poly1305) ar thaobh an bhrabhsálaí	Leabharlann díolta le méarlorg SHA-256 fíoraithe ag an tógáil (lámhleabhar sláine SRI). Táirgeann an clúdach feidhmchláir clúdach JSON v2 doiciméadaithe go poiblí.	Seachadta
Ní tharchuirtear an eochair phríobháideach chuig an bhfreastalaí riamh	Ní ghlacann na APInna fíordheimhnithe agus seisiúin ach leis an eochair phoiblí. Fanann an eochair phríobháideach i stóráil áitiúil an bhrabhsálaí agus i gcoffra crua-earraí (passkey) an úsáideora.	Seachadta
Argon2id don mháistirphasfhocal (RFC 9106)	Paraiméadair : 256 MiB cuimhne, 5 pas, comhthreomhaireacht 4. Fíoraíonn tástálacha uathoibrithe i CI na paraiméadair seo ag gach eisiúint chun cúlú ciúin a chosc.	Seachadta
Criptiú at-rest na rún íogair ar thaobh an fhreastalaí	XChaCha20-Poly1305 (eochair bhainistithe ag athróg timpeallachta, ní sa bhunachar sonraí riamh). Clúdaíonn sé na rúin TOTP, webhooks agus sonraí teicniúla íogaire eile.	Seachadta
Turas fillte gréasán - breiseán brabhsálaí tástáilte	Fíoraíonn tástáil uathoibrithe criptiú gréasáin agus ansin díchriptiú breiseáin (agus a mhalairt). Ráthaíonn sé an chomhoiriúnacht beart ar bheart idir na dromchlaí. Athraitheach end-to-end Playwright pleanáilte.	Ar siúl
Imirce iar-chandamach (ML-KEM / ML-DSA)	Measúnú pleanáilte. Meastar go bhfanann OpenPGP v6 + AES-256 slán ar feadh 5 go 10 mbliana de réir RGS ANSSI 2024.	Le teacht

2. Il-eagraíochta agus API

Ní féidir le heagraíochta amháin sonraí ceile a léamh riamh, fiú le babhta API bailí.

Geallúint	Cruthúnas	Stádas
Aonrú dian de réir eagraíochta ar thaobh an API	Scagann gach críochphointe go córasach de réir na heagraíochta a bhaineann leis an gcomhartha. Ritheann sraith tástálacha aonraithe trasna eagraíochtaí i CI ag gach tiomant chun aon sceitheadh féideartha a bhrath.	Seachadta
Comharthaí API haiseáilte Argon2id, gan stóráil i nglanléamh riamh	Ní thaispeántar an rún glan ach uair amháin, ag an gcruthú. Níl aon bhealach é a aisghabháil ina dhiaidh sin. Níl sa bhunachar sonraí ach an hais Argon2id.	Seachadta
Slabhra iniúchóireachta HMAC-SHA-256 (fianaise athraithe in O(1))	Síniú slabhraithe le glas adamhach bunachar sonraí. Fíorú ar fáil trí ordú poiblí. Eochair shínithe aonraithe ag modúl HSM (PKCS#11). Féach an míniú mionsonraithe.	Seachadta

3. Briseacht agus comhréireacht

100% An Fhrainc nó An tAontas Eorpach, gan spréacharnach CLOUD Act.

Geallúint	Cruthúnas	Stádas
Óstáil Scaleway sa Fhrainc (conair SecNumCloud á lorg)	Réigiún amháin in Île-de-France, trí chrios infhaighteachta lena n-áirítear ceann i mbuncar frith-adamhach (DC3 Île-de-France). Gan aon mhacasamhlú lasmuigh den AE. Sonraí ar an leathanach muiníne.	Seachadta
Íocaíocht Stancer (cuideachta Fhrancach), gan soláthraí SAM	Comhtháthú á thabhairt chun críche ar thaobh KYB chun na pleananna íoctha a oscailt. Tá Stancer cláraithe sa Fhrainc, lasmuigh de dhlínse CLOUD Act.	Ar siúl
Ríomhphoist idirbheartaíochta Brevo (cuideachta Fhrancach)	Cumraíocht dhian SPF / DKIM / DMARC i bhfeidhm ar an bhfearann, ag comhlíonadh moltaí CNIL agus Frith-fhioscaireachta 2024.	Seachadta
GDPR : clár, AIPD, DPO inteagmhála	Polasaí príobháideachais + teimpléad DPA insínithe + DPO inteagmhála go díreach. Clár próiseála coinnithe cothrom le dáta, AIPD ar fáil faoi NDA.	Seachadta
Lasmuigh de CLOUD Act : dlínse Fhrancach eisiach	Tá ARDNTECH Francach, tá an t-óstach Francach, tá na fochonraitheoirí Francacha nó Eorpacha (féach liosta iomlán). Ní féidir le hiarratas seachtrach Eorpach ar bith rud ar bith eile a fháil seachas blobanna criptithe nach féidir a úsáid.	Seachadta

4. Foinse oscailte agus trédhearcacht

Cód AGPL-3.0, tógálacha inchomhairimh, síniú artefacht.

Geallúint	Cruthúnas	Stádas
Cód foinseach AGPL-3.0 (go hiomlán, lena n-áirítear gnéithe íoctha)	Ceadúnas AGPL-3.0-or-later ar an gcód go léir, le ceanntásc SPDX caighdeánaithe. Stórtha poiblí oscailte : aegirex/server, aegirex/website, aegirex/extension.	Ar fáil
Anailís statach PHPStan leibhéal 9 - nialas earráidí	An leibhéal is déine atá ar fáil. Blocáil i CI : gan aon chumasc má thugtar earráid nua isteach.	Seachadta
Sraith tástálacha uathoibrithe > 1 000 cás	Clúdach : coffra, API, fíordheimhniú, 2FA, slabhra iniúchóireachta, easpórtáil GDPR, iompórtáil ó iomaitheoirí, aonrú il-eagraíochta. Blocáil i CI ar gach PR.	Seachadta
Íomhá Docker sínithe (Sigstore / cosign)	Ligeann sé don úsáideoir bunús an déantúsáin a fhíorú roimh imscaradh, gan muinín roimh ré sa chainéal dáileacháin.	Le teacht
SBOM CycloneDX iníoslódáilte agus sínithe	Fardal iomlán de na spleáchais bhogearraí de réir an chaighdeáin NTIA/ENISA. Sínithe Sigstore le haghaidh sláine. Giniúint uathoibrithe i CI ag gach eisiúint.	Le teacht

5. Malairtuithe gealltais

Cad a roghnaigh muid a ní a dhéanamh, agus cén fáth. Sonraí san dhuirling phoiblí bagartha.

Rogha	Fírinniú	Stádas
Ainmneacha rún agus fillteán stóráilte i nglanléamh ar thaobh an fhreastalaí	Ligeann sé cuardach láithreach agus taispeáint na crannstruchtúir gan díchriptiú ag gach nascleanúint. Fanann an t-inneachar criptithe ó cheann go ceann. Comhbhabhtáil doiciméadaithe sa tsamhail bhagairte.	Doiciméadaithe
Máistirphasfhocal = eochair uathúil an choffra (gan aisghabháil)	Iarmhairt dhíreach an zero-knowledge dhian : dá bhféadfaimis é a aisghabháil, bheadh cosán díchriptithe ann ar thaobh an fhreastalaí. Maolú : cóid éigeandála priontáilte ag an gcruthú, comhroinnt Shamir (M-as-N) le teacht do na pleananna Enterprise.	Doiciméadaithe
Pasfhocal i nglanléamh sa DOM le linn iontrála	Dosheachanta : caithfidh an t-úsáideoir é a chlóscríobh. Maolú : cuireann Trusted Types CSP cosc ar DOM XSS JavaScript a instealladh a sceitheann inneachar na réimsí.	Doiciméadaithe
Fioscaireacht an mháistirphasfhocail trí shuíomh clónáilte	Ní sheasann aon phasfhocal in aghaidh suíomh fioscaireachta clónáilte go foirfe. Maolú láidir le teacht : passkeys WebAuthn PRF a chuireann deireadh le tarchur an phasfhocail, agus atá nasctha leis an bhfearann tionscnaimh ag an mbrabhsálaí.	Doiciméadaithe
Insider ARDNTECH (fostaí amach anseo)	Maolú conarthach agus eagraíochtúil : NDA, scaradh freagrachtaí, athbhreithniú cód éigeantach, slabhra iniúchóireachta le fianaise athraithe, prionsabal na pribhléide is lú. Teorainn ghlactha aon tsamhail mhuiníne foilsitheora SaaS.	Doiciméadaithe

Na sonraí iomlána?

Tá achoimre ar gach a bhfuil thuas. I gcás an leagain iomláin leis an eangach STRIDE de réir dromchla, na haisteoirí samhlaithe agus gach comhbhabhtáil cosanta, léigh an tsamhail bhagairte phoiblí.

Samhail bhagairte phoiblí Rochtain ar an gcód (NDA)