'zero_knowledge_metadata.meta.page_title'|trans({'app_name': app

01 / Problēma

Ko lielākā daļa glabātavu atstāj atklātā veidā.

Kad runā par «zero-knowledge» pārvaldnieku, uzreiz domā par paroles vērtību. Tomēr ap šo vērtību griežas vismaz tikpat runīgi metadati: noslēpuma nosaukums, tips, attiecīgais domēns, mapju koks. Daudzi produkti šifrē tikai vērtību un atklāj pārējo savam serverim ergonomikas dēļ. Izmaksas reti tiek izskaidrotas.

Ko datubāzes dump var atklāt, neatšifrējot nevienu vērtību

Iedomājieties, ka uzbrucējs piekļūst pilnai izdevēja datubāzes kopijai, kurā ir šifrēts tikai password saturs. Pat neuzbrūkot kriptogrāfijai, viņš var rekonstruēt jūsu iekšējo karti:

noslēpums ar nosaukumu «Production AWS - racine - root account» mapē «DevOps / Cloud», CTO konta īpašums;
noslēpums ar nosaukumu «SAP HANA - prod EMEA», koplietots ar četriem finanšu kontiem;
noslēpums ar nosaukumu «BNP bankas konts - SCI X», koplietots starp diviem vadītājiem;
advokātu biroja noslēpums ar nosaukumu «Tiesu pilnvarnieks - lieta Y»;
atklāti URL, kas norāda uz iekšējiem rīkiem: jira.entreprise.com, vpn.entreprise.com, kibana.entreprise.com.

Uzbrucējs nav atšifrējis nevienu paroli. Tomēr viņš jau zina jūsu steku, jūsu partnerus, jūsu jutīgās mapes, un viņam ir viss nepieciešamais, lai mērķētu ļoti pārliecinošu pikšķerēšanas uzbrukumu pareizajiem cilvēkiem. Tieši to sauc par «zero-knowledge bezjēdzīgu» noplūdi.

Nosaukums izstāsta visu

Nosaukums ir pirmā informācijas rinda: tas apzīmē lietotni, kontu, dažkārt vidi. Rūpīga iekšējā nosaukumu konvencija to atklāj vēl vairāk. Bez šifrēšanas tas kļūst par jūsu organizācijas indeksu.

Tips kategorizē risku

Credential tips, sertifikāta tips, API atslēgas tips, TOTP seed tips: katrs informē par jutīgumu un iespējamajiem pivot. Uzbrucējs dažu sekunžu laikā sašķiro, lai izolētu sertifikātus un API atslēgas.

URL nodod ekosistēmu

Galvenie un alternatīvie URL apraksta visu jūsu tehnisko steku un jūsu partneru attiecības. Tie ļauj uzbrucējam kartēt jūsu perimetru bez neviena tīkla pieprasījuma upura pusē.

02 / Mūsu pieeja

Viena kriptogrāfiskā aploksne uz entītiju.

Katrs noslēpums un katra mape nes divas necaurspīdīgas kolonnas servera pusē. Plaintext saturs, kas satur nosaukumu, tipu un template atsauces, tiek serializēts JSON un pēc tam šifrēts pārlūkprogrammas pusē ar OpenPGP SEIPDv2 režīmā, ar to pašu atslēgu, ko izmanto payload šifrēšanai. Serveris nekad neatšifrē šos blobus.

Plaintext

Metadatu lauki

Serializētais plaintext satur shēmu (metadata/v1 noslēpumam, folder_metadata/v1 mapei), nosaukumu, kind (credential, api_key, certificate, note, totp vai org_template) un iespējamo atsauci uz organizācijas template. Nevienu no šiem laukiem serveris nelasa un nemanipulē.

Chiffrement

OpenPGP SEIPDv2 pārlūkprogrammā

Plaintext tiek šifrēts OpenPGP RFC 9580, SEIPDv2 režīmā, ar simetrisku AES-256-GCM vai ChaCha20-Poly1305 šifru pēc klienta izvēles. Operācija notiek lietotāja pārlūkprogrammā ar OpenPGP.js v6, ko auditējis Cure53. Neviena servera atvasinājuma neiesaistās.

Stockage

Divas necaurspīdīgas kolonnas servera pusē

Serveris glabā divas kolonnas uz entītiju: encrypted_metadata, kas satur bruņoto PGP ziņojumu, un metadata_envelope, kas satur minimālu JSON wrapper (versija, algoritms un ciphertext kopija). Neviens starpposma lauks neapraksta saturu atklātā veidā.

Partage

Tiešs pāršifrējums saņēmējam

Kad noslēpums tiek koplietots, plaintext tiek pāršifrēts tieši uz saņēmēja publisko atslēgu. Nepastāv starpposma simetriskā atslēga, ko aizsargāt pārsūtīšanā, ne servera «galvenā atslēga», kas redzama uzbrucējam. Mazāk virsmas, vairāk izmaksu blobu atkārtotā izsūtīšanā: pieņemta arhitektūras izvēle.

Atšifrēšana pārlūkprogrammas un paplašinājuma pusē

Attēlošanas brīdī pārlūkprogramma izgūst necaurspīdīgās aploksnes, atšifrē tās ar SharedWorker, kas izolē privāto atslēgu no lapas konteksta, un kešo plaintext sessionStorage cilnes ilgumam. Kešs tiek automātiski iztukšots glabātavas bloķēšanā, izrakstoties un aizverot cilni. Pārlūkprogrammas paplašinājums seko tam pašam modelim veltītā browser.storage.session kešā.

03 / Faktuāls salīdzinājums

Šifrēti metadati pa izdevējiem.

Zemāk esošā tabula apraksta vairākiem atzītiem tirgus izdevējiem veidu, kā galvenie metadati tiek glabāti pēc to publiskās dokumentācijas. Minēto produktu vispārējā kvalitāte netiek apšaubīta: salīdzinājums attiecas tikai uz šo precīzo apjomu. Informācija ir datēta ar 2026-08-01 un var ātri mainīties.

Izdevējs	Noslēpuma nosaukums	Tips / kind	URL / URI
ARDNTECH	Šifrēts pārlūkprogrammas pusē (OpenPGP SEIPDv2)	Šifrēts pārlūkprogrammas pusē	Šifrēts pārlūkprogrammas pusē
Bitwarden	Pēc publiskās dokumentācijas: elementa nosaukums glabāts atklātā veidā datubāzē meklēšanas un autofill funkcijām servera pusē.	Tips (login, card, identity, secure note) redzams servera pusē.	Saistītie URL redzami servera pusē.
1Password	Metadati šifrēti publiskajā specifikācijā. Stājas paritāte šajā precīzajā laukā.	Šifrēts publiskajā specifikācijā.	Šifrēts publiskajā specifikācijā.
Proton Pass	Metadati šifrēti pārlūkprogrammas pusē publiskajā dokumentācijā.	Šifrēts pārlūkprogrammas pusē.	Šifrēts pārlūkprogrammas pusē.
Dashlane	Pēc publiskās dokumentācijas: vienuma nosaukums glabāts atklātā veidā servera pusē cross-device meklēšanai un autofill.	Vienuma tips redzams servera pusē.	Saistītie domēni redzami servera pusē.
NordPass	Pēc publiskās dokumentācijas: nosaukums un tips atklāti servera pusē meklēšanai un pakalpojuma asistētam autofill.	Tips atklāts servera pusē.	Saistītie domēni atklāti servera pusē.
Passbolt v5.4 et supérieur	Šifrēti metadati (veltīta envelope ieviesta v5.4). Stājas paritāte ar ARDNTECH.	Šifrēts.	Šifrēts.

Avoti: izdevēju publiskā produkta dokumentācija un whitepapers, aplūkoti norādītajā datumā. Noslēpuma ar nešifrētu nosaukumu klātbūtne servera pusē nav kriptogrāfijas defekts; tā ir produkta izvēle, ko motivē servera meklēšanas un asistēta autofill funkcijas. ARDNTECH un Passbolt izdara pretējo izvēli: maksimāla konfidencialitāte, meklēšana klienta pusē pēc lokālas atšifrēšanas. Ja kāda informācija šķiet neprecīza, sazinieties ar legal@aegirex.eu un šī lapa tiks labota.

04 / Dokumentēts kompromiss

Pieņemtās UX izmaksas.

Nosaukumu šifrēšanai ir redzamas izmaksas ergonomikas pusē. Mēs labāk dokumentējam šīs izmaksas, nekā tās atšķaidām mārketinga solījumā. Stāja ir izskaidrota {{ app_name }} threat model, sadaļā, kas veltīta pieņemtajiem kompromisiem.

Coût technique

Servera meklēšana vairs nav iespējama

Serveris nevar formulēt nevienu SQL LIKE vai ORDER BY vaicājumu uz nosaukuma: tam ir tikai necaurspīdīgs blobs. Jebkura filtrēšanas, kārtošanas vai meklēšanas operācija uz nosaukuma jāveic pēc atšifrēšanas, tātad klienta pusē. Tas ir skaidrs atteikums no klasiskām optimizācijām.

Mitigation

Klienta skenēšana pēc lokālas atšifrēšanas

ARDNTECH praktizē klienta skenēšanu: SharedWorker atšifrē aploksnes batch glabātavas ielādē, papildina sessionStorage kešu un ļauj veikt tūlītēju meklēšanu ar lokālu filtru uz atšifrētā plaintext. Individuālai 500 ierakstu glabātavai uztvertais latentums paliek zem 250 milisekundēm pirmajā ielādē un nulle pēc tam.

Limite haute

Ļoti apjomīgas glabātavas

Vairāku tūkstošu noslēpumu apjomā vienā organizācijā batch atšifrēšanas izmaksas kļūst jūtamas. Attiecīgajām organizācijām tiek gatavota slinkas ielādes stratēģija pa mapei un lokāls indekss, kas saglabājas starp sesijām. Šī robeža neattiecas uz lielāko daļu B2B lietojumu.

Posture

Threat model sadaļa 5.1

Threat model sadaļa, kas veltīta uzlabotai konfidencialitātei, detalizēti apraksta šo kompromisu, ieraksta to STRIDE/LINDDUN matricā un uzskaita pretpasākumus. Kompromiss ir daļa no skaidra produkta līguma. Neviens komerciāls vēstījums to nemazina.

05 / Rotācija

Metadatu atslēgu rotācija.

Metadatu šifrēšanai laika gaitā ir vērtība tikai tad, ja to pavada rotācijas procedūra. Piekļuves atsaukšana, darbinieka aiziešana, kompromitēšanas aizdomas prasa atkārtoti izsūtīt blobus, lai izslēgtu atslēgu, kurai vairs nav tos jāatšifrē.

Rotācija, ko aktivizē atsaukšana

Kad koplietojums tiek atsaukts vai dalībnieks pamet organizāciju, automātiski tiek izveidots rotācijas job. Tas uzskaita visus attiecīgos noslēpumus un mapes. Pilnvarotie klienti iztukšo job, atkārtoti izsūta blobus bez atsauktās atslēgas un apstiprina serverim.

Periodiska organizācijas rotācija

Administrators var aktivizēt pilnu organizācijas periodisku rotāciju, lai ievērotu politiku «katras 90 dienas» vai līdzīgu. Job atkārtoti izsūta visas metadatu aploksnes bez pakalpojuma pārtraukuma.

On-demand rotācija un aizdomas

Konkrētam noslēpumam vai mapei administrators var pieprasīt tūlītēju rotāciju, vai nu preventīvā režīmā, vai «kompromitēšanas aizdomu» režīmā. Iemesls ir tipizēts HMAC audita ķēdē, kas atšķir steidzamas rotācijas no higiēnas rotācijām.

Veltīta audita ķēde

Katrs solis (job sākums, vienuma apstrāde, pabeigšana, neveiksme, derīguma beigas) tiek ierakstīts HMAC-SHA-256 ķēdē ar veltītu kind. Rotācijas izsekojamība ir opozicionējama un pārbaudāma tādā pašā līmenī kā citi kritiskie notikumi.

Paritāte ar Passbolt v5.6 rotāciju

Metadatu rotācijas spēja tika piegādāta paritātē ar Passbolt versiju 5.6, kas piedāvā līdzīgu modeli ar koplietotu simetrisko atslēgu. ARDNTECH izdara izvēli par arhitektūru bez koplietotas simetriskās atslēgas: katrs blobs ir šifrēts tieši katra saņēmēja publiskajai atslēgai. Tas novērš «master key» kā uzbrukuma mērķi apmaiņā pret atkārtotas izsūtīšanas izmaksām uz saņēmēju. Organizāciju glabātavām zem 10 000 noslēpumu papildu izmaksas ir nenozīmīgas.

06 / Kam

Četras situācijas, kur tas nav apspriežams.

Dažām organizācijām noslēpuma nosaukums nav metadati, bet jutīgi dati paši par sevi. Lūk četras profesionālās kategorijas, kurām nosaukumu šifrēšana ir atbilstības nosacījums, nevis bonusa funkcija.

Banka un regulētās finanses

Konta nosaukums «HSM Swift administrēšana» vai «traders desk EUR piekļuve» noplūdē ir pietiekams, lai virzītu mērķtiecīgu uzbrukumu uz ļoti jutīgiem aktīviem, neatklājot nevienu paroli. Prudenciālā regulācija mudina minimizēt šo virsmu.

Advokātu biroji

Profesionālais noslēpums aptver pašu noteiktu klientu attiecību un lietu pastāvēšanu. Noslēpuma nosaukums «Vadītāja X lieta - krimināllieta», atstāts atklātā veidā servera pusē, nodod procedūras pastāvēšanu, ko deontoloģija aizliedz atklāt.

Aizsardzības nozare un jutīgas pašvaldības

Vitāli svarīgie operatori, drošības dienesti un dažas pašvaldības pēc savas dabas apstrādā informāciju, kuras saraksts vien jau ir noderīgs izlūkdatums pretiniekam. Nešifrēti metadati nav saderīgi ar nodalīšanas nepieciešamību.

Izmeklēšanas žurnālisti

Avota nosaukums, notiekošas izmeklēšanas virsraksts, brīdinājuma ziņošanas sistēmas URL: tikpat daudz informācijas, kas, atklāta servera pusē, apdraud avotus, ko aizsargā likums par žurnālistu avotu noslēpuma aizsardzību.

07 / Sākt

Maksimālistisks zero-knowledge,
pēc noklusējuma un bez papildu maksas.

Pilnīga metadatu šifrēšana ir iekļauta visos ARDNTECH piedāvājumos, tostarp bezmaksas plānā. Nav upsell, nav maksas moduļa, nav opcijas, ko aktivizēt. Pieprasiet piekļuvi privātajai bētai, lai novērtētu stāju pilotorganizācijā, vai izlasiet pilno threat model, lai novietotu šo kompromisu risinājuma vispārējā arhitektūrā.

Pievienoties privātajai bētai Lasīt threat model

Nosaukumi, tipi un URL šifrēti pārlūkprogrammas pusē

OpenPGP SEIPDv2, AES-256 vai ChaCha20-Poly1305

Nav koplietotas simetriskās atslēgas, ko uzbrucējam mērķēt

Rotācija aprīkota un izsekota HMAC audita ķēdē

Iekļauts jau bezmaksas plānā, bez maksas opcijas

Jūsu noslēpumu nosaukumiarī ir šifrēti.