PASSI - Prestador de Auditoria da Segurança dos Sistemas de Informação
PASSI é uma qualificação atribuída pela ANSSI (Agência nacional francesa da segurança dos sistemas de informação) aos prestadores habilitados a realizar auditorias de segurança por conta de administrações e operadores críticos franceses. A qualificação abrange cinco âmbitos de auditoria: arquitetura, configuração, código-fonte, teste de intrusão e organizacional/físico. Está referenciada pelo Referencial de Exigências PASSI publicado pela ANSSI, atualizado periodicamente.
Para um comprador público ou um OIV, exigir uma auditoria PASSI sobre a solução escolhida é uma medida corrente de diligência. A lista oficial dos prestadores qualificados é publicada no site da ANSSI no endereço cyber.gouv.fr.
SecNumCloud - Qualificação ANSSI para fornecedores de alojamento soberanos
SecNumCloud é a qualificação francesa de referência para os fornecedores de computação em nuvem soberanos. O referencial exige uma independência face ao direito extra-europeu (nomeadamente o CLOUD Act e a FISA Section 702), uma localização física dos dados e das operações no território da União Europeia, e medidas técnicas reforçadas em matéria de cifragem, auditoria e continuidade de atividade.
O referencial SecNumCloud 3.2 é publicado pela ANSSI. A sua qualificação é obrigatória para alojar dados sensíveis de Estado na aceção do Referencial Geral de Segurança. A ARDNTECH seleciona os seus subcontratantes de alojamento entre os atores alinhados com este referencial.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC é um mecanismo de cálculo de um código de autenticação de mensagem a partir de uma função de hash criptográfica e de uma chave secreta, definido pela RFC 2104 (IETF, 1997). A sua variante HMAC-SHA-256 utiliza a função SHA-256 normalizada pelo NIST no FIPS 180-4 e fornece um MAC de 256 bits. Na prática, o HMAC-SHA-256 serve para garantir a integridade e a autenticidade de uma mensagem sem revelar a chave.
O encadeamento de HMAC (em que o HMAC de um evento inclui o HMAC do anterior) constrói uma audit chain imutável: qualquer modificação retroativa de um evento quebra a cadeia e torna-se detetável. A ARDNTECH utiliza HMAC-SHA-256 encadeado para o seu registo de auditoria, verificável por um comando CLI público.
Argon2id - Derivação de chave moderna
Argon2 é o algoritmo de derivação de chave vencedor da Password Hashing Competition (2015), normalizado pela RFC 9106 (IETF, 2021). O Argon2id, a sua variante híbrida, combina a resistência a ataques por canais auxiliares do Argon2i e a resistência a ataques por compromisso tempo-memória do Argon2d. Recebe três parâmetros: custo de memória, custo de tempo e paralelismo.
A RFC 9106 recomenda, para uma utilização interativa, um custo de memória de 64 MiB no mínimo, 3 iterações e 1 via de paralelismo. Para utilizações de servidor de maior intensidade, recomenda 256 MiB ou mais. A ARDNTECH implementa o Argon2id com 256 MiB de memória, em conformidade com as recomendações da RFC 9106.
Zero-knowledge - Arquitetura sem acesso em claro
Qualifica-se de zero-knowledge uma arquitetura na qual o servidor não dispõe, por construção criptográfica, de nenhum meio técnico para ler os dados do utilizador em claro. A cifragem e a decifragem efetuam-se integralmente do lado do cliente com uma chave derivada da frase de acesso do utilizador, nunca transmitida ao servidor.
A consequência operacional é que um atacante que comprometa o servidor (ou o próprio editor, obrigado por uma requisição legal) só tem acesso a blobs cifrados inexploráveis sem a chave do titular. A contrapartida é a impossibilidade de o editor recuperar uma palavra-passe esquecida: o mecanismo de reset destrói necessariamente o cofre anterior.
OpenPGP - Norma de cifragem assimétrica
OpenPGP é a norma aberta de cifragem e de assinatura de mensagens, derivada da ferramenta Pretty Good Privacy. A sua especificação atual é a RFC 9580 (IETF, julho de 2024), que substitui a RFC 4880. O OpenPGP combina cifragem simétrica para o conteúdo (AES-256-GCM, ChaCha20-Poly1305) e assimétrica para a troca de chaves (RSA, X25519, Ed25519).
Num cofre B2B, o OpenPGP permite cifrar um segredo para vários destinatários sem recodificação central: cada utilizador dispõe do seu próprio par de chaves, e a partilha consiste em recodificar a chave simétrica de sessão para a chave pública do novo destinatário. A ARDNTECH utiliza o OpenPGP RFC 9580 do lado do cliente para a partilha de segredos entre utilizadores de uma mesma organização.
X25519 / Ed25519 - Curvas elípticas modernas
X25519 é um algoritmo de troca de chaves Diffie-Hellman sobre a curva Curve25519, definido pela RFC 7748 (IETF, 2016). Ed25519 é o algoritmo de assinatura associado, definido pela RFC 8032. Concebidos por Daniel J. Bernstein e a sua equipa, estes algoritmos oferecem um nível de segurança equivalente a uma chave RSA de 3072 bits com uma pegada de memória e de CPU muito menor.
A sua adoção é agora ampla: TLS 1.3, SSH, Signal, WireGuard, e OpenPGP desde a RFC 9580. As curvas de Edwards evitam as armadilhas de implementação correntes das curvas NIST históricas (P-256, P-384), tornando os ataques por canais auxiliares mais difíceis de montar.
AES-256-GCM - Cifragem simétrica autenticada
AES-256-GCM é o par Advanced Encryption Standard em modo Galois/Counter Mode, com uma chave de 256 bits. O modo GCM é normalizado pelo NIST no NIST SP 800-38D e fornece simultaneamente a confidencialidade (por cifragem em modo contador) e a autenticação (por um MAC resultante de uma multiplicação em GF(2¹²⁸)).
A sua ampla difusão explica-se pelo seu desempenho a nível de hardware (instruções AES-NI e CLMUL dos processadores x86_64 e ARMv8) e pela sua resistência comprovada. Continua sensível à reutilização do IV, que deve ser aleatório ou estritamente sequencial. O AES-256-GCM é a primitiva simétrica predefinida do OpenPGP RFC 9580 e do TLS 1.3.
CLOUD Act - Extraterritorialidade norte-americana 2018
O Clarifying Lawful Overseas Use of Data Act é uma lei federal norte-americana promulgada a 23 de março de 2018. Autoriza as autoridades norte-americanas a requerer de um operador sujeito ao direito norte-americano a comunicação de dados de utilizador, independentemente da sua localização física de armazenamento. O texto integral é publicado em congress.gov.
Uma sociedade norte-americana, ou a filial europeia de uma sociedade norte-americana, permanece sujeita ao CLOUD Act mesmo que os seus servidores estejam fisicamente implantados na União. É este critério estrutural que distingue um editor realmente soberano de um editor cuja casa-mãe depende do direito norte-americano.
FISA Section 702 - Vigilância dos estrangeiros
A Foreign Intelligence Surveillance Act, na sua Section 702 acrescentada em 2008, autoriza a recolha de informações eletrónicas pelas agências norte-americanas (NSA, FBI) sobre pessoas não norte-americanas situadas fora do território dos Estados Unidos, com a cooperação obrigatória dos operadores de comunicações eletrónicas norte-americanos.
O TJUE decidiu em 2020 (acórdão Schrems II) que este regime, sem mecanismo de recurso efetivo para as pessoas visadas na UE, é incompatível com as garantias fundamentais do direito europeu. É um dos motivos recorrentes pelos quais os CISO europeus afastam os operadores sujeitos ao direito norte-americano.
Schrems II - Acórdão TJUE C-311/18 (2020)
O acórdão Data Protection Commissioner contra Facebook Ireland e Maximilian Schrems, proferido a 16 de julho de 2020 pelo Tribunal de Justiça da União Europeia, invalidou a decisão de adequação Privacy Shield que enquadrava as transferências de dados pessoais entre a UE e os Estados Unidos.
Desde Schrems II, qualquer transferência para um país terceiro assente nas Cláusulas Contratuais-Tipo deve ser precedida de uma análise de impacto da transferência (Transfer Impact Assessment) que documente a ausência de risco de vigilância estrangeira. Para os DPO, escolher um editor estritamente europeu evita este procedimento e o risco regulamentar associado.
RGPD art. 28 - Subcontratação dos dados
O artigo 28.º do regulamento (UE) 2016/679 enquadra a relação entre o responsável pelo tratamento e o subcontratante. Impõe a celebração de um contrato escrito que fixe o objeto e a duração do tratamento, a sua natureza e finalidade, o tipo de dados e as categorias de pessoas em causa, bem como as obrigações e direitos do responsável.
Na prática, qualquer editor SaaS é subcontratante na aceção do art. 28.º a partir do momento em que trata dados pessoais por conta dos seus clientes. A ARDNTECH fornece um DPA (Data Processing Agreement) normalizado incluído no plano Business e negociável em Enterprise.
RGPD art. 32 - Segurança do tratamento
O artigo 32.º do regulamento (UE) 2016/679 impõe ao responsável pelo tratamento e ao subcontratante a aplicação de medidas técnicas e organizativas adequadas para assegurar um nível de segurança ajustado ao risco. As medidas explicitamente citadas incluem a cifragem dos dados, a capacidade de assegurar a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas.
A avaliação do caráter adequado das medidas deve ter em conta o estado dos conhecimentos, os custos de aplicação e a natureza, o âmbito e as finalidades do tratamento. Para um cofre de segredos B2B, uma cifragem E2EE com algoritmos recentes (AES-256-GCM, Argon2id RFC 9106) satisfaz tipicamente esta exigência.
DPA - Data Processing Agreement
Um DPA (Data Processing Agreement), ou acordo de tratamento de dados, é o contrato imposto pelo artigo 28.º do RGPD entre um responsável pelo tratamento e o seu subcontratante. Especifica as finalidades do tratamento, as categorias de dados em causa, o prazo de conservação, as medidas de segurança aplicadas e as condições de subcontratação ulterior.
Para um comprador B2B sujeito ao RGPD, exigir um DPA assinado antes de qualquer implementação de uma ferramenta SaaS que trate dados pessoais é uma obrigação legal, não uma opção. A ARDNTECH fornece um DPA normalizado incluído no plano Business, e um DPA negociado em Enterprise.
DPO - Encarregado da Proteção de Dados
O Encarregado da Proteção de Dados (DPO) é a função criada pelo artigo 37.º do RGPD. A sua designação é obrigatória para as autoridades e organismos públicos, para os organismos cuja atividade principal exija um acompanhamento regular e sistemático de pessoas em larga escala, e para os organismos que tratam em larga escala categorias especiais de dados (saúde, dados biométricos, etc.).
O DPO aconselha sobre a conformidade RGPD, supervisiona as análises de impacto (DPIA), coopera com a CNIL e serve de ponto de contacto para as pessoas em causa. No âmbito de uma avaliação de um cofre de segredos, o DPO valida nomeadamente o DPA e a análise de transferência fora da UE, se aplicável.
NIS2 - Diretiva europeia sobre a cibersegurança
A diretiva (UE) 2022/2555, denominada NIS2 (Network and Information Security), substitui a diretiva NIS de 2016 e alarga significativamente o perímetro dos operadores sujeitos a obrigações de cibersegurança. Abrange agora as entidades essenciais e importantes em setores alargados (energia, transporte, saúde, infraestrutura digital, serviços geridos, etc.).
A NIS2 impõe medidas de gestão dos riscos, uma notificação dos incidentes em 24 horas (alerta inicial) e 72 horas (relatório completo), e obrigações de segurança da cadeia de abastecimento. A sua transposição para o direito francês está em curso. Para os OIV e OSE, a NIS2 reforça as exigências que existiam ao abrigo da LPM e da NIS1.
OIV - Operador de Importância Vital
Um Operador de Importância Vital (OIV) é uma organização pública ou privada cuja atividade é considerada indispensável ao bom funcionamento da Nação francesa, designada confidencialmente por despacho do Primeiro-Ministro. Os OIV estão sujeitos às disposições da lei de Programação Militar (LPM) em matéria de cibersegurança.
As obrigações dos OIV incluem a declaração dos sistemas de informação críticos (SIC) à ANSSI, o respeito de regras de segurança definidas por despacho setorial, e a notificação dos incidentes de segurança. Para um editor SaaS, ser referenciável por um OIV implica satisfazer exigências de qualificação (SecNumCloud) e responder a auditorias PASSI.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) é um algoritmo de geração de palavras-passe de uso único baseado na hora atual, definido pela RFC 6238 (IETF, 2011). Combina um segredo partilhado (TOTP seed) e um contador de tempo (intervalos de 30 segundos por predefinição) através da função HMAC-SHA-1 para produzir um código numérico de 6 algarismos.
TOTP é o mecanismo de segundo fator mais difundido nas aplicações empresariais. É suportado por todas as aplicações de autenticação padrão (Google Authenticator, Aegis, etc.) e pelo ARDNTECH. A RFC 6238 é publicamente legível em tools.ietf.org.
WebAuthn / Passkey - Autenticação sem palavra-passe
WebAuthn (Web Authentication API) é uma norma W3C que permite às aplicações web autenticarem-se junto de um utilizador com a ajuda de um autenticador FIDO2 (chave de hardware, impressão digital, reconhecimento facial). A especificação é publicada em w3.org/TR/webauthn-3/ . As Passkeys são uma implementação para o grande público do WebAuthn em que o par de chaves é sincronizado entre dispositivos através de um gestor de chaves (iCloud Keychain, Google Password Manager).
Do ponto de vista da segurança, o WebAuthn resiste nativamente ao phishing (a chave está associada à origem do domínio) e aos ataques por repetição. Para um cofre de segredos B2B, a ativação do WebAuthn para o desbloqueio elimina o vetor de comprometimento mais frequente em empresa: o roubo da palavra-passe-mestra por phishing. A ARDNTECH suporta WebAuthn / Passkeys em todos os planos.
AGPL-3.0 - Licença open source copyleft de rede
A GNU Affero General Public License versão 3 (AGPL-3.0) é uma licença de software livre publicada pela Free Software Foundation. Exige que qualquer implementação em rede de um software abrangido por esta licença torne disponível o código-fonte correspondente aos utilizadores que a ele acedem, incluindo através de um serviço web.
Para a ARDNTECH, publicar sob AGPL-3.0 significa que qualquer organização que implemente uma instância ARDNTECH modificada deve publicar as suas modificações. É uma garantia estrutural para os clientes: se a ARDNTECH deixasse de existir, o código permaneceria acessível e mantível pela comunidade. A auditoria do código criptográfico é possível para qualquer CISO ou auditor PASSI sem acesso especial.
