PASSI - Informācijas sistēmu drošības audita pakalpojumu sniedzējs
PASSI ir kvalifikācija, ko piešķir ANSSI (Francijas Nacionālā informācijas sistēmu drošības aģentūra) pakalpojumu sniedzējiem, kuri ir pilnvaroti veikt drošības auditus Francijas pārvaldes iestāžu un kritisko operatoru vārdā. Kvalifikācija aptver piecus audita tvērumus: arhitektūra, konfigurācija, pirmkods, ielaušanās tests un organizatoriskais/fiziskais. To regulē ANSSI publicētais PASSI prasību ietvars, kas tiek periodiski atjaunināts.
Publiskam pircējam vai OIV prasība veikt PASSI auditu izvēlētajam risinājumam ir izplatīts pienācīgas rūpības pasākums. Oficiālais kvalificēto pakalpojumu sniedzēju saraksts ir publicēts ANSSI vietnē cyber.gouv.fr.
SecNumCloud - ANSSI kvalifikācija suverēniem mitinātājiem
SecNumCloud ir Francijas atsauces kvalifikācija suverēniem mākoņdatošanas pakalpojumu sniedzējiem. Ietvars prasa neatkarību no ārpuseiropas tiesībām (jo īpaši CLOUD Act un FISA Section 702), datu un darbību fizisku atrašanos Eiropas Savienības teritorijā, kā arī pastiprinātus tehniskos pasākumus šifrēšanas, audita un darbības nepārtrauktības jomā.
SecNumCloud 3.2 ietvaru publicē ANSSI. Tā kvalifikācija ir obligāta sensitīvu valsts datu mitināšanai Vispārējā drošības atsauces ietvara izpratnē. ARDNTECH izvēlas savus mitināšanas apakšuzņēmējus no operatoriem, kas ir saskaņoti ar šo ietvaru.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC ir mehānisms ziņojuma autentifikācijas koda aprēķināšanai, izmantojot kriptogrāfisku jaucējfunkciju un slepenu atslēgu, ko nosaka RFC 2104 (IETF, 1997). Tā variants HMAC-SHA-256 izmanto NIST standartizēto SHA-256 funkciju FIPS 180-4 un nodrošina 256 bitu MAC. Praksē HMAC-SHA-256 kalpo, lai garantētu ziņojuma integritāti un autentiskumu, neatklājot atslēgu.
HMAC ķēdēšana (kur notikuma HMAC ietver iepriekšējā notikuma HMAC) veido nemaināmu audit chain: jebkura notikuma retroaktīva modifikācija pārrauj ķēdi un kļūst nosakāma. ARDNTECH izmanto ķēdētu HMAC-SHA-256 savam audita žurnālam, ko var pārbaudīt ar publisku CLI komandu.
Argon2id - Moderna atslēgas atvasināšana
Argon2 ir atslēgas atvasināšanas algoritms, kas uzvarēja Password Hashing Competition (2015) un ir standartizēts ar RFC 9106 (IETF, 2021). Argon2id, tā hibrīda variants, apvieno Argon2i izturību pret sānkanālu uzbrukumiem ar Argon2d izturību pret laika-atmiņas kompromisa uzbrukumiem. Tas pieņem trīs parametrus: atmiņas izmaksas, laika izmaksas un paralēlismu.
RFC 9106 interaktīvai lietošanai iesaka vismaz 64 MiB atmiņas izmaksas, 3 iterācijas un 1 paralēlisma pavedienu. Intensīvākai servera lietošanai tā iesaka 256 MiB vai vairāk. ARDNTECH ievieš Argon2id ar 256 MiB atmiņas, atbilstoši RFC 9106 ieteikumiem.
Zero-knowledge - Arhitektūra bez piekļuves atklātā tekstā
Par zero-knowledge sauc arhitektūru, kurā serverim pēc kriptogrāfiskās konstrukcijas nav nekādu tehnisku līdzekļu, lai lasītu lietotāja datus atklātā tekstā. Šifrēšana un atšifrēšana notiek pilnībā klienta pusē ar atslēgu, kas atvasināta no lietotāja paroles frāzes, kura nekad netiek nosūtīta uz serveri.
Operatīvās sekas ir tādas, ka uzbrucējs, kurš kompromitē serveri (vai pats izdevējs, kuru piespiež juridisks pieprasījums), iegūst piekļuvi tikai šifrētiem blobiem, kas bez īpašnieka atslēgas nav izmantojami. Pretizvēle ir tā, ka izdevējs nevar atgūt aizmirstu paroli: atiestatīšanas mehānisms neizbēgami iznīcina iepriekšējo seifu.
OpenPGP - Asimetriskas šifrēšanas standarts
OpenPGP ir atvērtais ziņojumu šifrēšanas un parakstīšanas standarts, kas atvasināts no Pretty Good Privacy rīka. Tā pašreizējā specifikācija ir RFC 9580 (IETF, 2024. gada jūlijs), kas aizstāj RFC 4880. OpenPGP apvieno simetrisku šifrēšanu satura aizsardzībai (AES-256-GCM, ChaCha20-Poly1305) un asimetrisku atslēgu apmaiņai (RSA, X25519, Ed25519).
B2B seifā OpenPGP ļauj šifrēt noslēpumu vairākiem saņēmējiem bez centrālas pārkodēšanas: katram lietotājam ir sava atslēgu pāris, un kopīgošana sastāv no sesijas simetriskās atslēgas pārkodēšanas jaunā saņēmēja publiskajai atslēgai. ARDNTECH izmanto OpenPGP RFC 9580 klienta pusē noslēpumu kopīgošanai starp vienas organizācijas lietotājiem.
X25519 / Ed25519 - Modernas eliptiskās līknes
X25519 ir Diffie-Hellman atslēgu apmaiņas algoritms uz Curve25519 līknes, ko nosaka RFC 7748 (IETF, 2016). Ed25519 ir saistītais parakstīšanas algoritms, ko nosaka RFC 8032. Daniela J. Bernsteina un viņa komandas izstrādātie šie algoritmi piedāvā drošības līmeni, kas līdzvērtīgs 3072 bitu RSA atslēgai, ar daudz mazāku atmiņas un CPU patēriņu.
To pieņemšana tagad ir plaša: TLS 1.3, SSH, Signal, WireGuard un OpenPGP kopš RFC 9580. Edvarda līknes izvairās no izplatītajām vēsturisko NIST līkņu (P-256, P-384) ieviešanas kļūmēm, padarot sānkanālu uzbrukumus grūtāk īstenojamus.
AES-256-GCM - Autentificēta simetriska šifrēšana
AES-256-GCM ir Advanced Encryption Standard pāris Galois/Counter Mode režīmā ar 256 bitu atslēgu. GCM režīmu standartizē NIST dokumentā NIST SP 800-38D, un tas nodrošina gan konfidencialitāti (ar šifrēšanu skaitītāja režīmā), gan autentifikāciju (ar MAC, kas iegūts no reizināšanas GF(2¹²⁸)).
Tā plašo izplatību izskaidro tā aparatūras veiktspēja (x86_64 un ARMv8 procesoru AES-NI un CLMUL instrukcijas) un pārbaudītā izturība. Tas joprojām ir jutīgs pret IV atkārtotu izmantošanu, kam jābūt nejaušai vai stingri secīgai. AES-256-GCM ir OpenPGP RFC 9580 un TLS 1.3 noklusējuma simetriskā primitīva.
CLOUD Act - Amerikas ekstrateritorialitāte 2018
Clarifying Lawful Overseas Use of Data Act ir ASV federālais likums, kas izsludināts 2018. gada 23. martā. Tas pilnvaro ASV iestādes pieprasīt operatoram, kas pakļauts ASV tiesībām, izpaust lietotāja datus neatkarīgi no to fiziskās glabāšanas atrašanās vietas. Pilns teksts ir publicēts vietnē congress.gov.
Amerikas uzņēmums vai amerikāņu uzņēmuma Eiropas filiāle paliek pakļauta CLOUD Act pat tad, ja tā serveri ir fiziski izvietoti Savienībā. Tieši šis strukturālais kritērijs atšķir patiesi suverēnu izdevēju no izdevēja, kura mātesuzņēmums ir pakļauts ASV tiesībām.
FISA Section 702 - Ārvalstnieku novērošana
Foreign Intelligence Surveillance Act savā 702. sadaļā, kas pievienota 2008. gadā, pilnvaro ASV aģentūras (NSA, FBI) vākt elektronisko izlūkdatu informāciju par personām, kas nav ASV pilsoņi un atrodas ārpus Amerikas Savienoto Valstu teritorijas, ar amerikāņu elektronisko sakaru operatoru obligātu sadarbību.
EST 2020. gadā nosprieda (Schrems II spriedums), ka šis režīms bez efektīva tiesiskās aizsardzības mehānisma ES mērķtiecīgi izvēlētajām personām ir nesaderīgs ar Eiropas tiesību pamatgarantijām. Tas ir viens no atkārtotajiem iemesliem, kāpēc Eiropas CISO izslēdz ASV tiesībām pakļautos operatorus.
Schrems II - EST spriedums C-311/18 (2020)
Spriedums Data Protection Commissioner pret Facebook Ireland un Maximilian Schrems, ko 2020. gada 16. jūlijā pieņēma Eiropas Savienības Tiesa, atzina par spēkā neesošu Privacy Shield piemērotības lēmumu, kas regulēja personas datu pārsūtīšanu starp ES un Amerikas Savienotajām Valstīm.
Kopš Schrems II jebkurai pārsūtīšanai uz trešo valsti, kas balstās uz Standarta līguma klauzulām, jābūt pirms tam veiktam pārsūtīšanas ietekmes novērtējumam (Transfer Impact Assessment), kas dokumentē ārvalstu novērošanas riska neesamību. DPO izvēle stingri eiropeisku izdevēju ļauj izvairīties no šīs procedūras un saistītā regulējuma riska.
GDPR 28. pants - Datu apstrādes apakšuzņēmums
Regulas (ES) 2016/679 28. pants regulē attiecības starp pārzini un apstrādātāju. Tas paredz rakstiska līguma noslēgšanu, kas nosaka apstrādes priekšmetu un ilgumu, tās raksturu un nolūku, datu veidu un attiecīgo personu kategorijas, kā arī pārziņa pienākumus un tiesības.
Praksē jebkurš SaaS izdevējs ir apstrādātājs 28. panta izpratnē, ja tas apstrādā personas datus savu klientu vārdā. ARDNTECH nodrošina standartizētu DPA (Data Processing Agreement), kas iekļauts Business plānā un apspriežams Enterprise plānā.
GDPR 32. pants - Apstrādes drošība
Regulas (ES) 2016/679 32. pants uzliek pārzinim un apstrādātājam pienākumu īstenot atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu riskam piemērotu drošības līmeni. Skaidri minētie pasākumi ietver datu šifrēšanu, spēju nodrošināt sistēmu konfidencialitāti, integritāti, pieejamību un noturību.
Pasākumu atbilstības novērtējumā jāņem vērā jaunākie tehnikas sasniegumi, īstenošanas izmaksas un apstrādes raksturs, tvērums un nolūki. B2B noslēpumu seifam E2EE šifrēšana ar nesenajiem algoritmiem (AES-256-GCM, Argon2id RFC 9106) parasti apmierina šo prasību.
DPA - Data Processing Agreement
DPA (Data Processing Agreement) jeb datu apstrādes līgums ir GDPR 28. panta noteiktais līgums starp pārzini un tā apstrādātāju. Tas precizē apstrādes nolūkus, attiecīgās datu kategorijas, glabāšanas ilgumu, piemērotos drošības pasākumus un turpmākas apakšapstrādes nosacījumus.
B2B pircējam, kas pakļauts GDPR, prasība pēc parakstīta DPA pirms jebkura personas datus apstrādājoša SaaS rīka izvietošanas ir juridisks pienākums, nevis izvēle. ARDNTECH nodrošina standartizētu DPA, kas iekļauts Business plānā, un apspriestu DPA Enterprise plānā.
DPO - Datu aizsardzības speciālists
Datu aizsardzības speciālists (DPO) ir funkcija, kas izveidota ar GDPR 37. pantu. Tā iecelšana ir obligāta publiskām iestādēm un struktūrām, struktūrām, kuru pamatdarbība prasa regulāru un sistemātisku personu novērošanu lielā mērogā, un struktūrām, kas lielā mērogā apstrādā īpašas datu kategorijas (veselība, biometriskie dati u. c.).
DPO konsultē par GDPR atbilstību, uzrauga ietekmes novērtējumus (DPIA), sadarbojas ar CNIL un kalpo kā kontaktpersona attiecīgajām personām. Noslēpumu seifa novērtējuma ietvaros DPO jo īpaši apstiprina DPA un pārsūtīšanas ārpus ES analīzi, ja tā ir piemērojama.
NIS2 - Eiropas kiberdrošības direktīva
Direktīva (ES) 2022/2555, saukta par NIS2 (Network and Information Security), aizstāj 2016. gada NIS direktīvu un būtiski paplašina kiberdrošības pienākumiem pakļauto operatoru loku. Tā tagad aptver būtiskas un svarīgas vienības paplašinātās nozarēs (enerģētika, transports, veselība, digitālā infrastruktūra, pārvaldītie pakalpojumi u. c.).
NIS2 uzliek risku pārvaldības pasākumus, incidentu paziņošanu 24 stundu laikā (sākotnējais brīdinājums) un 72 stundu laikā (pilns ziņojums), kā arī piegādes ķēdes drošības pienākumus. Tās transponēšana Francijas tiesībās norit. OIV un OSE NIS2 pastiprina prasības, kas pastāvēja saskaņā ar LPM un NIS1.
OIV - Vitāli svarīgas nozīmes operators
Vitāli svarīgas nozīmes operators (OIV) ir publiska vai privāta organizācija, kuras darbība tiek uzskatīta par neaizstājamu Francijas nācijas pareizai darbībai un kuru konfidenciāli norāda premjerministra rīkojums. OIV ir pakļauti Militārās programmēšanas likuma (LPM) noteikumiem kiberdrošības jomā.
OIV pienākumi ietver kritisko informācijas sistēmu (SIC) deklarēšanu ANSSI, nozaru rīkojumā noteikto drošības noteikumu ievērošanu un drošības incidentu paziņošanu. SaaS izdevējam būt atsaucamam no OIV puses nozīmē apmierināt kvalifikācijas prasības (SecNumCloud) un atbildēt uz PASSI auditiem.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) ir vienreizēju paroļu ģenerēšanas algoritms, kas balstīts uz pašreizējo laiku un ko nosaka RFC 6238 (IETF, 2011). Tas apvieno kopīgu noslēpumu (TOTP seed) un laika skaitītāju (pēc noklusējuma 30 sekunžu intervāli) ar HMAC-SHA-1 funkciju, lai izveidotu 6 ciparu skaitlisku kodu.
TOTP ir visizplatītākais otrā faktora mehānisms uzņēmumu lietojumprogrammās. To atbalsta visas standarta autentifikācijas lietojumprogrammas (Google Authenticator, Aegis u. c.) un ARDNTECH. RFC 6238 ir publiski lasāma vietnē tools.ietf.org.
WebAuthn / Passkey - Autentifikācija bez paroles
WebAuthn (Web Authentication API) ir W3C standarts, kas ļauj tīmekļa lietojumprogrammām autentificēt lietotāju, izmantojot FIDO2 autentifikatoru (aparatūras atslēga, pirksta nospiedums, sejas atpazīšana). Specifikācija ir publicēta vietnē w3.org/TR/webauthn-3/ . Passkeys ir WebAuthn plaša patēriņa ieviešana, kurā atslēgu pāris tiek sinhronizēts starp ierīcēm ar atslēgu pārvaldnieku (iCloud Keychain, Google Password Manager).
No drošības viedokļa WebAuthn dabiski pretojas pikšķerēšanai (atslēga ir piesaistīta domēna izcelsmei) un atkārtošanas uzbrukumiem. B2B noslēpumu seifam WebAuthn aktivizēšana atbloķēšanai novērš visizplatītāko kompromitācijas vektoru uzņēmumos: galvenās paroles zādzību ar pikšķerēšanu. ARDNTECH atbalsta WebAuthn / Passkeys visos plānos.
AGPL-3.0 - Atvērtā pirmkoda tīkla copyleft licence
GNU Affero General Public License versija 3 (AGPL-3.0) ir brīvas programmatūras licence, ko publicē Free Software Foundation. Tā prasa, lai jebkura ar šo licenci aptvertas programmatūras tīkla izvietošana padarītu pieejamu atbilstošo pirmkodu lietotājiem, kas tai piekļūst, tostarp ar tīmekļa pakalpojumu.
ARDNTECH publicēšana ar AGPL-3.0 nozīmē, ka jebkurai organizācijai, kas izvieto modificētu ARDNTECH instanci, jāpublicē savas modifikācijas. Tā ir strukturāla garantija klientiem: ja ARDNTECH pārstātu pastāvēt, kods paliktu pieejams un kopienas uzturams. Kriptogrāfiskā koda audits ir iespējams jebkuram CISO vai PASSI auditoram bez īpašas piekļuves.
