PASSI - Dostawca Audytu Bezpieczeństwa Systemów Informacyjnych
PASSI to kwalifikacja przyznawana przez ANSSI (francuską Krajową Agencję Bezpieczeństwa Systemów Informacyjnych) dostawcom uprawnionym do przeprowadzania audytów bezpieczeństwa na rzecz francuskich administracji i operatorów krytycznych. Kwalifikacja obejmuje pięć zakresów audytu: architekturę, konfigurację, kod źródłowy, testy penetracyjne oraz aspekt organizacyjny/fizyczny. Jest opisana w Referencyjnym Zbiorze Wymagań PASSI publikowanym przez ANSSI i okresowo aktualizowanym.
Dla zamawiającego publicznego lub OIV wymaganie audytu PASSI dla wybranego rozwiązania jest powszechnym środkiem należytej staranności. Oficjalna lista wykwalifikowanych dostawców jest publikowana na stronie ANSSI pod adresem cyber.gouv.fr.
SecNumCloud - Kwalifikacja ANSSI dla suwerennych dostawców hostingu
SecNumCloud to francuska kwalifikacja referencyjna dla suwerennych dostawców chmury obliczeniowej. Zbiór wymagań wymaga niezależności od prawa pozaeuropejskiego (w szczególności CLOUD Act i FISA Section 702), fizycznej lokalizacji danych i operacji na terytorium Unii Europejskiej oraz wzmocnionych środków technicznych w zakresie szyfrowania, audytu i ciągłości działania.
Zbiór wymagań SecNumCloud 3.2 jest publikowany przez ANSSI. Jego kwalifikacja jest obowiązkowa do hostowania wrażliwych danych państwowych w rozumieniu Ogólnego Zbioru Wymagań Bezpieczeństwa. ARDNTECH wybiera swoich podwykonawców hostingu spośród podmiotów zgodnych z tym zbiorem wymagań.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC to mechanizm obliczania kodu uwierzytelniania wiadomości na podstawie kryptograficznej funkcji skrótu i tajnego klucza, zdefiniowany w RFC 2104 (IETF, 1997). Jego odmiana HMAC-SHA-256 wykorzystuje funkcję SHA-256 znormalizowaną przez NIST w FIPS 180-4 i dostarcza MAC o długości 256 bitów. W praktyce HMAC-SHA-256 służy do zagwarantowania integralności i autentyczności wiadomości bez ujawniania klucza.
Łańcuchowanie HMAC (gdzie HMAC zdarzenia zawiera HMAC poprzedniego) buduje niezmienialny łańcuch audytu: każda wsteczna modyfikacja zdarzenia łamie łańcuch i staje się wykrywalna. ARDNTECH używa łańcuchowanego HMAC-SHA-256 do swojego dziennika audytu, weryfikowalnego za pomocą publicznego polecenia CLI.
Argon2id - Nowoczesne wyprowadzanie klucza
Argon2 to algorytm wyprowadzania klucza, zwycięzca Password Hashing Competition (2015), znormalizowany w RFC 9106 (IETF, 2021). Argon2id, jego wariant hybrydowy, łączy odporność na ataki kanałami bocznymi z Argon2i oraz odporność na ataki z kompromisem czas-pamięć z Argon2d. Przyjmuje trzy parametry: koszt pamięci, koszt czasu i równoległość.
RFC 9106 zaleca do użytku interaktywnego koszt pamięci co najmniej 64 MiB, 3 iteracje i 1 ścieżkę równoległości. Dla zastosowań serwerowych o większej intensywności zaleca 256 MiB lub więcej. ARDNTECH implementuje Argon2id z 256 MiB pamięci, zgodnie z rekomendacjami RFC 9106.
Zero-knowledge - Architektura bez dostępu do danych jawnych
Architekturę określa się jako zero-knowledge, gdy serwer z założenia kryptograficznego nie dysponuje żadnym technicznym środkiem odczytania danych użytkownika w postaci jawnej. Szyfrowanie i odszyfrowywanie odbywają się w całości po stronie klienta za pomocą klucza wyprowadzonego z hasła głównego użytkownika, który nigdy nie jest przesyłany do serwera.
Konsekwencją operacyjną jest to, że atakujący kompromitujący serwer (lub sam wydawca, zmuszony nakazem prawnym) ma dostęp jedynie do zaszyfrowanych blobów, bezużytecznych bez klucza posiadacza. Ceną za to jest brak możliwości odzyskania zapomnianego hasła przez wydawcę: mechanizm resetu z konieczności niszczy poprzedni sejf.
OpenPGP - Standard szyfrowania asymetrycznego
OpenPGP to otwarty standard szyfrowania i podpisywania wiadomości, wywodzący się z narzędzia Pretty Good Privacy. Jego aktualną specyfikacją jest RFC 9580 (IETF, lipiec 2024), która zastępuje RFC 4880. OpenPGP łączy szyfrowanie symetryczne treści (AES-256-GCM, ChaCha20-Poly1305) oraz asymetryczne do wymiany kluczy (RSA, X25519, Ed25519).
W sejfie B2B OpenPGP pozwala zaszyfrować sekret dla wielu odbiorców bez centralnego ponownego kodowania: każdy użytkownik dysponuje własną parą kluczy, a udostępnianie polega na ponownym zakodowaniu symetrycznego klucza sesji dla klucza publicznego nowego odbiorcy. ARDNTECH używa OpenPGP RFC 9580 po stronie klienta do udostępniania sekretów między użytkownikami tej samej organizacji.
X25519 / Ed25519 - Nowoczesne krzywe eliptyczne
X25519 to algorytm wymiany kluczy Diffiego-Hellmana na krzywej Curve25519, zdefiniowany w RFC 7748 (IETF, 2016). Ed25519 to powiązany algorytm podpisu, zdefiniowany w RFC 8032. Zaprojektowane przez Daniela J. Bernsteina i jego zespół, algorytmy te oferują poziom bezpieczeństwa równoważny kluczowi RSA o długości 3072 bitów, przy znacznie mniejszym zużyciu pamięci i CPU.
Ich przyjęcie jest obecnie szerokie: TLS 1.3, SSH, Signal, WireGuard oraz OpenPGP od RFC 9580. Krzywe Edwardsa unikają częstych pułapek implementacyjnych historycznych krzywych NIST (P-256, P-384), utrudniając przeprowadzanie ataków kanałami bocznymi.
AES-256-GCM - Uwierzytelnione szyfrowanie symetryczne
AES-256-GCM to połączenie Advanced Encryption Standard w trybie Galois/Counter Mode z kluczem o długości 256 bitów. Tryb GCM jest znormalizowany przez NIST w NIST SP 800-38D i zapewnia jednocześnie poufność (poprzez szyfrowanie w trybie licznika) oraz uwierzytelnianie (poprzez MAC wynikający z mnożenia w GF(2¹²⁸)).
Jego szerokie rozpowszechnienie wynika z wydajności sprzętowej (instrukcje AES-NI i CLMUL procesorów x86_64 i ARMv8) oraz sprawdzonej odporności. Pozostaje wrażliwy na ponowne użycie IV, które musi być losowe lub ściśle sekwencyjne. AES-256-GCM jest domyślną prymitywą symetryczną OpenPGP RFC 9580 oraz TLS 1.3.
CLOUD Act - Amerykańska eksterytorialność 2018
Clarifying Lawful Overseas Use of Data Act to amerykańska ustawa federalna ogłoszona 23 marca 2018 roku. Upoważnia ona władze amerykańskie do żądania od operatora podlegającego prawu amerykańskiemu udostępnienia danych użytkownika, niezależnie od ich fizycznej lokalizacji przechowywania. Pełny tekst jest publikowany na congress.gov.
Spółka amerykańska lub europejska filia spółki amerykańskiej pozostaje objęta CLOUD Act, nawet jeśli jej serwery są fizycznie zlokalizowane w Unii. To właśnie to strukturalne kryterium odróżnia naprawdę suwerennego wydawcę od wydawcy, którego spółka macierzysta podlega prawu amerykańskiemu.
FISA Section 702 - Inwigilacja cudzoziemców
Foreign Intelligence Surveillance Act, w swojej Sekcji 702 dodanej w 2008 roku, upoważnia agencje amerykańskie (NSA, FBI) do gromadzenia wywiadu elektronicznego dotyczącego osób niebędących Amerykanami, znajdujących się poza terytorium Stanów Zjednoczonych, przy obowiązkowej współpracy amerykańskich operatorów komunikacji elektronicznej.
TSUE orzekł w 2020 roku (wyrok Schrems II), że ten reżim, pozbawiony skutecznego mechanizmu odwoławczego dla osób objętych nadzorem w UE, jest niezgodny z podstawowymi gwarancjami prawa europejskiego. To jeden z powracających powodów, dla których europejscy CISO odrzucają operatorów podlegających prawu amerykańskiemu.
Schrems II - Wyrok TSUE C-311/18 (2020)
Wyrok Data Protection Commissioner przeciwko Facebook Ireland i Maximilianowi Schremsowi, wydany 16 lipca 2020 roku przez Trybunał Sprawiedliwości Unii Europejskiej, unieważnił decyzję o adekwatności Privacy Shield regulującą transfery danych osobowych między UE a Stanami Zjednoczonymi.
Od czasu Schrems II każdy transfer do państwa trzeciego oparty na Standardowych Klauzulach Umownych musi być poprzedzony oceną wpływu transferu (Transfer Impact Assessment), dokumentującą brak ryzyka inwigilacji zagranicznej. Dla IOD wybór wydawcy ściśle europejskiego pozwala uniknąć tej procedury oraz związanego z nią ryzyka regulacyjnego.
RODO Art. 28 - Podpowierzanie przetwarzania danych
Artykuł 28 rozporządzenia (UE) 2016/679 reguluje relację między administratorem a podmiotem przetwarzającym. Nakłada obowiązek zawarcia pisemnej umowy określającej przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych i kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora.
W praktyce każdy wydawca SaaS jest podmiotem przetwarzającym w rozumieniu Art. 28, jeśli przetwarza dane osobowe w imieniu swoich klientów. ARDNTECH dostarcza standaryzowaną umowę DPA (Data Processing Agreement) wliczoną w plan Business i negocjowalną w planie Enterprise.
RODO Art. 32 - Bezpieczeństwo przetwarzania
Artykuł 32 rozporządzenia (UE) 2016/679 nakłada na administratora i podmiot przetwarzający obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyka. Wyraźnie wymienione środki obejmują szyfrowanie danych oraz zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów.
Ocena adekwatności środków musi uwzględniać stan wiedzy, koszty wdrożenia oraz charakter, zakres i cele przetwarzania. Dla sejfu sekretów B2B szyfrowanie E2EE z nowoczesnymi algorytmami (AES-256-GCM, Argon2id RFC 9106) zazwyczaj spełnia ten wymóg.
DPA - Data Processing Agreement
DPA (Data Processing Agreement), czyli umowa o przetwarzaniu danych, to umowa wymagana przez artykuł 28 RODO między administratorem a jego podmiotem przetwarzającym. Określa cele przetwarzania, kategorie danych, których dotyczy, okres przechowywania, stosowane środki bezpieczeństwa oraz warunki dalszego podpowierzania.
Dla nabywcy B2B podlegającego RODO wymaganie podpisanej umowy DPA przed wdrożeniem jakiegokolwiek narzędzia SaaS przetwarzającego dane osobowe jest obowiązkiem prawnym, a nie opcją. ARDNTECH dostarcza standaryzowaną umowę DPA wliczoną w plan Business oraz negocjowaną umowę DPA w planie Enterprise.
IOD - Inspektor Ochrony Danych
Inspektor Ochrony Danych (IOD) to funkcja utworzona przez artykuł 37 RODO. Jego wyznaczenie jest obowiązkowe dla organów i podmiotów publicznych, podmiotów, których główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę, oraz podmiotów przetwarzających na dużą skalę szczególne kategorie danych (zdrowotne, biometryczne itp.).
IOD doradza w zakresie zgodności z RODO, nadzoruje oceny skutków (DPIA), współpracuje z CNIL i pełni funkcję punktu kontaktowego dla osób, których dane dotyczą. W ramach oceny sejfu sekretów IOD waliduje w szczególności umowę DPA oraz analizę transferu poza UE, jeśli ma zastosowanie.
NIS2 - Europejska dyrektywa o cyberbezpieczeństwie
Dyrektywa (UE) 2022/2555, zwana NIS2 (Network and Information Security), zastępuje dyrektywę NIS z 2016 roku i znacząco rozszerza zakres operatorów objętych obowiązkami w zakresie cyberbezpieczeństwa. Obejmuje teraz podmioty kluczowe i ważne w poszerzonych sektorach (energetyka, transport, zdrowie, infrastruktura cyfrowa, usługi zarządzane itp.).
NIS2 nakłada środki zarządzania ryzykiem, obowiązek zgłaszania incydentów w ciągu 24 godzin (wstępne ostrzeżenie) i 72 godzin (pełny raport) oraz obowiązki w zakresie bezpieczeństwa łańcucha dostaw. Jej transpozycja do prawa francuskiego jest w toku. Dla OIV i OSE NIS2 wzmacnia wymagania istniejące już w ramach LPM i NIS1.
OIV - Operator o Znaczeniu Krytycznym
Operator o Znaczeniu Krytycznym (OIV) to organizacja publiczna lub prywatna, której działalność jest uznawana za niezbędną dla prawidłowego funkcjonowania Narodu francuskiego, wyznaczana poufnie zarządzeniem Premiera. OIV podlegają przepisom ustawy o Programowaniu Wojskowym (LPM) w zakresie cyberbezpieczeństwa.
Obowiązki OIV obejmują zgłaszanie krytycznych systemów informacyjnych (SIC) do ANSSI, przestrzeganie zasad bezpieczeństwa określonych zarządzeniem sektorowym oraz zgłaszanie incydentów bezpieczeństwa. Dla wydawcy SaaS możliwość bycia referencyjnym dostawcą dla OIV oznacza spełnienie wymagań kwalifikacyjnych (SecNumCloud) oraz poddanie się audytom PASSI.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) to algorytm generowania haseł jednorazowych opartych na bieżącym czasie, zdefiniowany w RFC 6238 (IETF, 2011). Łączy on współdzielony sekret (TOTP seed) oraz licznik czasu (domyślnie przedziały 30-sekundowe) za pomocą funkcji HMAC-SHA-1, aby wygenerować 6-cyfrowy kod numeryczny.
TOTP to najbardziej rozpowszechniony mechanizm drugiego składnika w aplikacjach korporacyjnych. Jest obsługiwany przez wszystkie standardowe aplikacje uwierzytelniające (Google Authenticator, Aegis itp.) oraz przez ARDNTECH. RFC 6238 jest publicznie dostępne na tools.ietf.org.
WebAuthn / Passkey - Uwierzytelnianie bez hasła
WebAuthn (Web Authentication API) to standard W3C umożliwiający aplikacjom internetowym uwierzytelnianie użytkownika za pomocą uwierzytelniacza FIDO2 (klucz sprzętowy, odcisk palca, rozpoznawanie twarzy). Specyfikacja jest publikowana na w3.org/TR/webauthn-3/. Passkeys to konsumencka implementacja WebAuthn, w której para kluczy jest synchronizowana między urządzeniami za pomocą menedżera kluczy (iCloud Keychain, Google Password Manager).
Z punktu widzenia bezpieczeństwa WebAuthn natywnie opiera się phishingowi (klucz jest powiązany z pochodzeniem domeny) oraz atakom typu replay. Dla sejfu sekretów B2B aktywacja WebAuthn do odblokowywania eliminuje najczęstszy wektor kompromitacji w przedsiębiorstwie: kradzież hasła głównego przez phishing. ARDNTECH obsługuje WebAuthn / Passkeys we wszystkich planach.
AGPL-3.0 - Licencja open source copyleft sieciowy
GNU Affero General Public License wersja 3 (AGPL-3.0) to licencja wolnego oprogramowania publikowana przez Free Software Foundation. Wymaga ona, aby każde sieciowe wdrożenie oprogramowania objętego tą licencją udostępniało odpowiadający mu kod źródłowy użytkownikom, którzy z niego korzystają, w tym za pośrednictwem usługi internetowej.
Dla ARDNTECH publikacja na licencji AGPL-3.0 oznacza, że każda organizacja wdrażająca zmodyfikowaną instancję ARDNTECH musi opublikować swoje modyfikacje. To strukturalna gwarancja dla klientów: gdyby ARDNTECH przestał istnieć, kod pozostałby dostępny i możliwy do utrzymania przez społeczność. Audyt kodu kryptograficznego jest możliwy dla każdego CISO lub audytora PASSI bez specjalnego dostępu.
