A(z) ARDNTECH nem éri be azzal, hogy bejelenti a kötelezettségvállalásokat : franciaországi tárhely, nyílt forráskód, HMAC audit lánc, dokumentált alfeldolgozók, soha nem továbbértékesített adatok. Mindezen kötelezettségvállalások mindegyike függetlenül ellenőrizhetővé válik, akár az AGPL-3.0 kód olvasásával, akár egy nyilvános parancs futtatásával, akár egy DPA vagy egy számon kérhető jogi nyilatkozat olvasásával. Ez az oldal összefoglalja, amit ön maga ellenőrizhet, anélkül hogy bíznia kellene bennünk.
Hat operatív kötelezettségvállalás, amelyek a(z) ARDNTECH architektúráját és irányítását vezérlik. Mindegyik konkrétan ellenőrizhető, akár a nyilvános repó olvasásával, akár egy parancs futtatásával, akár a számon kérhető DPA olvasásával.
A teljes forráskód AGPL-3.0 licenc alatt jelenik meg, beleértve a fizetős funkciókat is. Semmilyen rejtett szabadalmaztatott build, semmilyen egy átláthatatlan harmadik félnek fenntartott biztonsági funkció. Soronként auditálható, forkolható, az ön által választott üzemeltetőnél telepíthető.
A SaaS infrastruktúra Párizsban van tárolva három rendelkezésre állási zónán, köztük egy atombiztos bunkerben. Semmilyen adatútvonal nem halad át Európán kívüli joghatóságon a managed szolgáltatások esetében. Önállóan üzemeltetés mindenhol elérhető az AGPL-3.0-nak köszönhetően.
Teljes nyilvános lista, minden változásnál frissítve, értesítés 30 nappal egy új alfeldolgozó hozzáadása előtt, indokolt tiltakozási joggal. Egyetlen alfeldolgozó sem rendelkezik a felhasználók privát kulcsaival, a zero-knowledge felépítés miatt.
Az ügyféladatok soha nem kerülnek továbbértékesítésre, átadásra, egy reklámszereplő rendelkezésére bocsátásra, vagy egy modell betanítására való felhasználásra. Az üzleti modell kizárólag a Team, Business és Enterprise csomagok fizetős előfizetésein nyugszik.
A titkok a böngészőben titkosítódnak az OpenPGP.js v6 segítségével, bármilyen szerverre küldés előtt. A privát kulcs soha nem hagyja el a felhasználó munkaállomását. Egy bírósági megkeresés csak használhatatlan titkosított blobokat szerezhetne.
Minden érzékeny művelet egy láncolt HMAC-SHA-256-tal van lepecsételve. Egy nyilvános parancs lehetővé teszi egy külső auditor számára, hogy megállapítsa a napló integritását, anélkül hogy egy kiadói binárisra hagyatkozna. Bármilyen visszamenőleges módosítás újraszámítással felismerésre kerül.
A(z) ARDNTECH pontos állapota a fő francia és európai referenciakereteken. Eufemizmus nélkül : ami megszerzett, az fel van sorolva, ami megcélzott, az megcélzottnak minősül, ami a roadmapon van, az olyanként van bejelentve.
| Keret | ARDNTECH állapot | Indoklás | Hivatkozás |
|---|---|---|---|
| GDPR (EU 2016/679 rendelet) | Natív megfelelő | Zero-knowledge architektúra, a 15/17/20. cikk szerinti jogok eszközökkel ellátva a konzolban, kijelölt adatvédelmi tisztviselő, nyilvános és számon kérhető szabványos DPA. | Nyilvános DPA |
| SecNumCloud | Megcélzott pálya | Partner tárhelyszolgáltató SecNumCloud-minősítés alatt. Azonnali önállóan üzemeltetés egy már minősített harmadik fél SecNumCloud-üzemeltetőnél ma is lehetséges az AGPL-3.0 licencen keresztül. | ANSSI dokumentáció |
| HDS (Egészségügyi adatok tárhelyszolgáltatása) | Kérésre | HDS partner tárhelyszolgáltató dossziéra mozgósítható az egészségügyi ágazat ügyfelei számára. Önállóan üzemeltetés a saját HDS-minősített tárhelyszolgáltatójánál már ma. | Lépjen kapcsolatba velünk |
| OIV / NIS2 | Kompatibilis | Air-gap telepítési képesség, AGPL-3.0 kód, amely a kriptográfiai szintig auditálható, számon kérhető HMAC audit lánc, SIEM export CEF/LEEF/OCSF/Syslog. | Önállóan üzemeltetés |
| ISO 27001 | Roadmap | ISO 27001 audit tervezve az Enterprise csomag indulásakor. Eddig még nem indítva el : inkább nyíltan bejelentjük, mintsem hogy ütemterv nélkül "folyamatban"-ként tüntessük fel. | - |
A Natív megfelelő azt jelenti, hogy a(z) ARDNTECH architektúrája további konfiguráció nélkül teljesíti a követelményeket. A Megcélzott pálya azt jelenti, hogy egy munka belső ütemtervvel megkezdődött, még megszerzett tanúsítvány nélkül. A Kérésre azt jelenti, hogy egy partner tárhelyszolgáltató dossziéra mozgósítható. A Kompatibilis azt jelenti, hogy az architektúra lehetővé teszi a megfelelőséget, amikor az ügyfélszervezet maga viseli a szabályozási kört. A Roadmap azt jelenti, hogy egy hosszabb távú kötelezettségvállalás történt, egy azonosított termékmérföldkőhöz kötve.
A technikai alfeldolgozók kimerítő listája. Egyiknek sincs hozzáférése a tiszta szövegű titkokhoz, a zero-knowledge felépítés miatt : az infrastruktúrán áthaladó OpenPGP blobok átláthatatlanok mind a szerver, mind annak üzemeltetői számára.
| Alfeldolgozó | Szerep | Ország | Kezelt adatok | DPA |
|---|---|---|---|---|
| Scaleway (SecNumCloud pályán lévő üzemeltető) | Infrastruktúra-tárhelyszolgáltatás (3 rendelkezésre állási zóna, köztük atombiztos bunker) | France | Titkosított OpenPGP blobok + technikai metaadatok | Aláírt DPA |
| Brevo | Tranzakciós e-mailek (regisztráció, megosztás, audit riasztások) | France | Kizárólag a címzett e-mail-címe | Aláírt DPA |
| Stancer | A Pro, Business és Enterprise fizetős csomagok fizetése | France | Számlázási adatok (cégnév, cím, e-mail) | Aláírt DPA |
| DB-IP | IP-geolokalizációs adatbázis (az új bejelentkezési riasztó e-mailek gazdagítása) | Belgique | Helyileg kezelt IP-cím (soha nem küldve a DB-IP-nek) · CC-BY 4.0 forrásmegjelölés | Leszállított adatbázis, helyi kezelés |
Minden új alfeldolgozóról 30 nappal előtte értesítés történik az éles környezetbe lépése előtt, az adatkezelő indokolt tiltakozási jogával. A fenti lista naprakészen tartott, és a jelen állapotában számon kérhető a nyilvános szabványos DPA-ban.
Négy rutin, amelyet a(z) ARDNTECH csapata folyamatosan üzemeltet. A kriptográfiai architektúrán túl a biztonság a napi üzemeltetésen múlik : biztonsági mentések, rotáció, monitoring, folytonosság.
Teljes titkosított biztonsági mentések a szerver oldalán, és helyszínen kívül replikált objektumtárolóra letéve. Havonta tesztelt visszaállítás egy dedikált környezeten. Standard 35 napos gördülő megőrzés, 1 év Businessben, 5 év Enterprise-ban.
Az audit lánc HMAC kulcsa pivotálható a történeti ellenőrizhetőség elvesztése nélkül, a régi kulcs új kulccsal való lepecsételésének köszönhetően. Dokumentált eljárás, a pivot nyomonkövethetősége magában a láncban rögzítve.
Szintetikus szondák, infrastruktúra-riasztás, operatív biztonsági felügyelet. Technikai ügyelet 24/7 már a Business csomagtól, szerződéses SLA 99,5 % standardként, Enterprise-ban egyeztethető.
Dokumentált üzletmenet-folytonossági terv, amely lefedi egy rendelkezésre állási zóna elvesztését, a fő tárhelyszolgáltató elvesztését és a kód- és adat-escrow forgatókönyvet az Enterprise ügyfelek számára. Formalizált RTO/RPO, kísért CISO audit keretében kérésre kommunikálva.
Négy kiadvány, amelyet a(z) ARDNTECH tart fenn a közösség, az ügyfelek és a biztonsági kutatók javára. Egyik sem kötelező : mindegyik a független ellenőrizhetőség melletti vállalt állásfoglalás.
Nyilvános GitHub repó, a teljes kód, beleértve a Business funkciókat is. Közösségi pull requestek elfogadva, külső közreműködők elismerve.
github.com/aegirex/aegirex →
STRIDE és LINDDUN modell komponensenként, lefedett forgatókönyvek és vállalt kompromisszumok eufemizmus nélkül felsorolva. Minden jelentős architekturális változásnál frissítve.
A fenyegetési modell elolvasása →
A használt primitívek részlete (OpenPGP.js v6, Argon2id RFC 9106, AES-256-GCM SEIPDv2, HMAC-SHA-256). Egy RFC minden választáshoz, semmi átláthatatlan.
A kriptográfiai stack elolvasása →
Az éles környezeti incidensek előzménye a Státusz oldalon közzétéve, nyilvános post-mortemek a jelentős incidensekhez. Egy dedikált oldal hamarosan központosítja az egészet.
A(z) ARDNTECH-et egy független francia vállalat üzemelteti, amelyet az alapítója vezet. Nincs kockázati tőkés, nincs tervezett pivot, az üzleti modell kizárólag az ügyfelek előfizetésein alapul.
A(z) ARDNTECH egy francia vállalat, amelyet vezet, több mint 10 év tapasztalattal a B2B SaaS szoftverkiadásban. Nincs kockázati tőkés a tőkében, nincs tervezett stratégiai pivot : a projektet kizárólag az ügyfeleinek előfizetései finanszírozzák. Ez a tőkefüggetlenség közvetlenül feltételezi az ezen az oldalon vállalt kötelezettségvállalások stabilitását (szuverenitás, AGPL-3.0, az adat-továbbértékesítés elutasítása, megfelelőségi pálya).
Olvassa el a nyilvános szabványos DPA-t, tekintse meg az AGPL-3.0 kódot, futtassa az audit lánc ellenőrzését a példánya egy kivonatán, beszéljen a csapattal a szabályozási keretéről. A(z) ARDNTECH biztosítja a dokumentumokat, az ön csapata alkotja meg saját véleményét.
