Aegirex neapsiriboja įsipareigojimų skelbimu : prancūziškas prieglobos teikimas, atviras šaltinio kodas, HMAC audito grandinė, dokumentuoti subtvarkytojai, duomenys niekada neperparduodami. Kiekvienas iš šių įsipareigojimų yra padarytas nepriklausomai patikrinamas, ar skaitant AGPL-3.0 kodą, vykdant viešąją komandą, ar skaitant prieštarautiną DPA ar teisinį pranešimą. Šis puslapis apibendrina tai, ką galite patys patikrinti, nesant reikalaujamiems mumis pasitikėti.
Šeši operaciniai įsipareigojimai, vedantys Aegirex architektūrą ir valdymą. Kiekvienas yra konkrečiai patikrinamas, ar skaitant viešąją saugyklą, vykdant komandą, ar skaitant prieštarautiną DPA.
Visas šaltinio kodas publikuojamas pagal AGPL-3.0 licenciją, įskaitant mokamas funkcijas. Jokio paslėpto nuosavybinio buildo, jokios saugumo funkcijos, skirtos neskaidriam sluoksniui. Audituojamas eilutė po eilutės, forkuojamas, diegimas pas jūsų pasirinktą operatorių.
SaaS infrastruktūra prieglobama Paryžiuje trijose prieinamumo zonose, vienoje iš jų priešbranduoliniame bunkeryje. Joks duomenų kelias neperžengia užeuropietiškos jurisdikcijos valdomoms paslaugoms. Savarankiškas prieglobos teikimas prieinamas visur dėl AGPL-3.0.
Išsamus viešas sąrašas, atnaujinamas kiekvieno pakeitimo metu, 30 dienų pranešimas prieš naujo subtvarkytojo pridėjimą su pagrįsta prieštaravimo teise. Joks subtvarkytojas neturi vartotojų privačiųjų raktų dėl zero-knowledge konstrukcijos.
Klientų duomenys niekada nėra parduodami, perduodami ar prieinami reklamos veikėjui, ir nenaudojami modelio mokymui. Verslo modelis remiasi išskirtinai Pro, Business ir Enterprise planų mokamomis prenumeratomis.
Paslaptys šifruojamos naršyklėje per OpenPGP.js v6 prieš bet kokį siuntimą serveriui. Privatusis raktas niekada nepalieka vartotojo įrenginio. Teisminis reikalavimas galėtų gauti tik nenaudojamus šifruotus blob-us.
Kiekvienas jautrus veiksmas užplombuotas grandine HMAC-SHA-256. Vieša komanda leidžia išoriniam auditoriui konstatuoti žurnalo vientisumą be priklausomybės nuo leidėjo dvejetainio. Bet koks retroaktyvus pakeitimas aptinkamas perskaičiavimu.
Tikslus Aegirex statusas pagrindinių prancūzų ir Europos atskaitos sistemų atžvilgiu. Be eufemizmų : tai, kas pasiekta, yra išvardyta, tai, kas siekiama, įvardijama kaip siekiama, tai, kas yra plane, skelbiama kaip tokie.
| Sistema | Aegirex statusas | Pagrindimas | Nuoroda |
|---|---|---|---|
| RGPD (Règlement UE 2016/679) | Natūraliai atitinkantis | Zero-knowledge architektūra, BDAR 15/17/20 str. teisės instrumentuotos konsolėje, paskirtas duomenų apsaugos pareigūnas (DPO), viešasis ir ginčytinas standartinis DPA. | Viešasis DPA |
| SecNumCloud | Siekiama trajektorija | Partnerinis prieglobos teikėjas SecNumCloud kvalifikacijos procese. Tiesioginis savarankiškas prieglobos teikimas pas jau kvalifikuotą trečiosios šalies SecNumCloud operatorių jau šiandien galimas dėl AGPL-3.0 licencijos. | ANSSI dokumentacija |
| HDS (Hébergement de Données de Santé) | Pareikalavus | Partnerinis HDS prieglobos teikėjas mobilizuojamas pareikalavus sveikatos sektoriaus klientams. Savarankiškas prieglobos teikimas pas savo kvalifikuotą HDS prieglobos teikėją prieinamas jau šiandien. | Susisiekite su mumis |
| OIV / NIS2 | Suderinamas | Air-gap diegimo galimybė, AGPL-3.0 kodas audituojamas iki kriptografinio lygmens, prieštarautinas HMAC audito grandinė, SIEM eksportas CEF/LEEF/OCSF/Syslog. | Savarankiškas prieglobos teikimas |
| ISO 27001 | Planas | ISO 27001 auditas planuojamas paleidžiant Enterprise planą. Iki šiol dar nepradėtas : pirmenybę teikiame tiesiogiai pranešti apie tai, o ne rodyti kaip „vykdoma“ be tvarkaraščio. | - |
Natūraliai atitinkantis reiškia, kad Aegirex architektūra tenkina reikalavimus be papildomos konfigūracijos. Siekiama trajektorija reiškia, kad vykdomas darbas su vidiniu tvarkaraščiu, dar negavus sertifikato. Pareikalavus reiškia, kad partnerinis prieglobos teikėjas mobilizuojamas pagal atvejį. Suderinamas reiškia, kad architektūra leidžia atitiktį, kai klientų organizacija pati neša reguliacinį perimetrą. Planas reiškia, kad imamasi ilgesnio termino įsipareigojimo, sąlygojamo identifikuoto produkto etapo.
Išsamus techninių subtvarkytojų sąrašas. Niekas neturi prieigos prie paslapčių atvirai, dėl zero-knowledge konstrukcijos : OpenPGP blob-ai, einantys per infrastruktūrą, yra neskaidrūs tiek serveriui, tiek jo operatoriams.
| Subtvarkytojas | Vaidmuo | Šalis | Tvarkomi duomenys | DPA |
|---|---|---|---|---|
| Scaleway (operatorius SecNumCloud trajektorijoje) | Infrastruktūros prieglobos teikimas (3 prieinamumo zonos, įskaitant priešbranduolinį bunkerį) | France | Šifruoti OpenPGP blob-ai + techniniai metaduomenys | DPA pasirašytas |
| Brevo | Tranzakciniai el. laiškai (signup, dalijimasis, audito įspėjimai) | France | Tik gavėjo el. pašto adresas | DPA pasirašytas |
| Stancer | Mokamų Pro, Business ir Enterprise planų mokėjimas | France | Sąskaitų faktūrų duomenys (firmos pavadinimas, adresas, el. paštas) | DPA pasirašytas |
| DB-IP | IP geolokacijos duomenų bazė (naujų prisijungimų perspėjimo el. laiškų papildymas) | Belgique | IP adresas tvarkomas lokaliai (niekada nesiunčiamas DB-IP) · priskyrimas CC-BY 4.0 | Pristatyta duomenų bazė, lokalus tvarkymas |
Kiekvienas naujas subtvarkytojas yra 30 dienų pranešimo prieš jo įvedimą į gamybą objektas, su pagrįsta prieštaravimo teise Duomenų valdytojui. Pirmiau pateiktas sąrašas išlaikomas aktualus ir yra prieštarautinas dabartinėje būsenoje viešajame standartiniame DPA.
Keturios rutinos, kurias nepertraukiamai vykdo Aegirex komanda. Be kriptografinės architektūros, saugumas remiasi kasdienine eksploatacija : atsarginės kopijos, rotacija, monitoringas, tęstinumas.
Pilnos šifruotos atsarginės kopijos serverio pusėje ir patalpintos replikuotame objektiniame saugyklose už lokacijos. Atstatymas testuojamas kas mėnesį dedikuotoje aplinkoje. Rolling laikymas 35 dienos standarte, 1 metai Business, 5 metai Enterprise.
Audito grandinės HMAC raktas yra rotuojamas be istorinio patikrinamumo praradimo dėl seno rakto naujo plombavimo. Dokumentuota procedūra, rotacijos sekamumas užregistruotas pačioje grandinėje.
Sintetiniai zondai, infrastruktūros alerting, operacinio saugumo priežiūra. Techninis budėjimas 24/7 nuo Business plano, sutartinis SLA 99,5 % standarte, derinamas Enterprise.
Dokumentuotas verslo tęstinumo planas, apimantis prieinamumo zonos praradimą, pagrindinio prieglobos teikėjo praradimą ir kodo bei duomenų escrow scenarijų Enterprise klientams. RTO/RPO formalizuoti ir pranešami pareikalavus lydimo CISO audito kontekste.
Keturios Aegirex prižiūrimos publikacijos bendruomenės, klientų ir saugumo tyrėjų naudai. Nė viena nėra privaloma : kiekviena yra sąmoningas pozicijos užėmimas nepriklausomo patikrinamumo naudai.
Viešas GitHub saugykla, visas kodas, įskaitant Business funkcijas. Bendruomenės pull request-ai priimti, išoriniai bendraautoriai pripažinti.
github.com/aegirex/aegirex →
STRIDE ir LINDDUN modelis komponentui, dengiami scenarijai ir prisiimti kompromisai išvardyti be eufemizmų. Atnaujinta kiekviename pagrindiniame architektūros evoliucijos etape.
Skaityti grėsmių modelį →
Naudotų primityvų detalė (OpenPGP.js v6, Argon2id RFC 9106, AES-256-GCM SEIPDv2, HMAC-SHA-256). Vienas RFC kiekvienam pasirinkimui, nieko neskaidraus.
Skaityti kripto stack →
Gamybos incidentų istorija publikuojama puslapyje Būsena, vieši post-mortems didiems incidentams. Būsimas dedikuotas puslapis centralizuos viską.
Aegirex operuoja nepriklausoma Prancūzijos bendrovė, vadovaujama savo įkūrėjo. Jokio rizikos kapitalistų, jokio pivot planuojama, verslo modelis pagrįstas išskirtinai klientų prenumeratomis.
ARDNTECH EI yra Prancūzijos bendrovė (supaprastinta vienanarė akcinė bendrovė, Prancūzijos teisė), vadovaujama Adrien Chaumarat, su daugiau nei 10 metų patirties B2B SaaS programinės įrangos leidyboje. Jokio rizikos kapitalo kapitalo struktūroje, jokio strateginio pivot planuojama : projektas finansuojamas išskirtinai iš klientų prenumeratų. Šis kapitalo nepriklausomumas tiesiogiai sąlygoja šiame puslapyje prisiimtų įsipareigojimų stabilumą (suverenitetas, AGPL-3.0, atsisakymas perparduoti duomenis, atitikties trajektorija).
Skaitykite viešąjį standartinį DPA, peržiūrėkite AGPL-3.0 kodą, vykdykite audito grandinės patikrinimą savo egzemplioriaus ištraukoje, aptarkite su komanda savo reguliavimo sistemą. Aegirex pateikia įrodymus, jūsų komanda susidaro savo nuomonę.
