PASSI - Ponudnik revizije varnosti informacijskih sistemov
PASSI je kvalifikacija, ki jo ANSSI (francoska Nacionalna agencija za varnost informacijskih sistemov) podeljuje ponudnikom, pooblaščenim za izvajanje varnostnih revizij za račun francoskih uprav in kritičnih operaterjev. Kvalifikacija pokriva pet obsegov revizije: arhitekturo, konfiguracijo, izvorno kodo, penetracijsko testiranje ter organizacijsko/fizično varnost. Sklicuje se nanjo referenčni okvir zahtev PASSI, ki ga objavlja ANSSI in se občasno posodablja.
Za javnega naročnika ali operaterja ključnega pomena je zahtevanje revizije PASSI za izbrano rešitev običajen ukrep skrbnega ravnanja. Uradni seznam kvalificiranih ponudnikov je objavljen na straneh ANSSI na naslovu cyber.gouv.fr.
SecNumCloud - Kvalifikacija ANSSI za suverene ponudnike gostovanja
SecNumCloud je francoska referenčna kvalifikacija za suverene ponudnike računalništva v oblaku. Referenčni okvir zahteva neodvisnost od izvenevropskega prava (zlasti CLOUD Act in FISA Section 702), fizično lokacijo podatkov in operacij na ozemlju Evropske unije ter okrepljene tehnične ukrepe na področju šifriranja, revizije in neprekinjenosti poslovanja.
Referenčni okvir SecNumCloud 3.2 objavlja ANSSI. Njegova kvalifikacija je obvezna za gostovanje občutljivih državnih podatkov v smislu Splošnega referenčnega okvira varnosti. ARDNTECH izbira svoje podizvajalce gostovanja med akterji, usklajenimi s tem referenčnim okvirom.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC je mehanizem za izračun kode za avtentikacijo sporočila na podlagi kriptografske zgoščevalne funkcije in skrivnega ključa, opredeljen v RFC 2104 (IETF, 1997). Njegova različica HMAC-SHA-256 uporablja funkcijo SHA-256, ki jo je NIST normiral v FIPS 180-4, in zagotavlja 256-bitni MAC. V praksi HMAC-SHA-256 služi za zagotavljanje celovitosti in pristnosti sporočila brez razkrivanja ključa.
Veriženje HMAC (kjer HMAC nekega dogodka vključuje HMAC prejšnjega) zgradi nespremenljivo revizijsko verigo (audit chain): vsaka retroaktivna sprememba dogodka prekine verigo in postane zaznavna. ARDNTECH za svoj revizijski dnevnik uporablja veriženi HMAC-SHA-256, ki ga je mogoče preveriti z javnim CLI ukazom.
Argon2id - Sodobna izpeljava ključa
Argon2 je algoritem za izpeljavo ključa, zmagovalec natečaja Password Hashing Competition (2015), normiran v RFC 9106 (IETF, 2021). Argon2id, njegova hibridna različica, združuje odpornost Argon2i na napade po stranskih kanalih in odpornost Argon2d na napade s kompromisom čas-pomnilnik. Sprejme tri parametre: pomnilniški strošek, časovni strošek in paralelizem.
RFC 9106 za interaktivno uporabo priporoča najmanjši pomnilniški strošek 64 MiB, 3 iteracije in 1 stopnjo paralelizma. Za strežniške uporabe večje intenzivnosti priporoča 256 MiB ali več. ARDNTECH implementira Argon2id z 256 MiB pomnilnika, skladno s priporočili RFC 9106.
Zero-knowledge - Arhitektura brez dostopa do čistega besedila
Zero-knowledge se imenuje arhitektura, v kateri strežnik po kriptografski zasnovi nima nobenega tehničnega sredstva za branje uporabniških podatkov v čistem besedilu. Šifriranje in dešifriranje potekata v celoti na strani odjemalca s ključem, izpeljanim iz uporabniškega gesla, ki se nikoli ne prenese strežniku.
Operativna posledica je, da ima napadalec, ki ogrozi strežnik (ali sam izdajatelj, prisiljen s pravno zahtevo), dostop le do šifriranih blobov, neuporabnih brez ključa imetnika. Protiutež je nezmožnost izdajatelja, da bi povrnil pozabljeno geslo: mehanizem ponastavitve nujno uniči prejšnji trezor.
OpenPGP - Standard asimetričnega šifriranja
OpenPGP je odprti standard za šifriranje in podpisovanje sporočil, izpeljan iz orodja Pretty Good Privacy. Njegova trenutna specifikacija je RFC 9580 (IETF, julij 2024), ki nadomešča RFC 4880. OpenPGP združuje simetrično šifriranje za vsebino (AES-256-GCM, ChaCha20-Poly1305) in asimetrično za izmenjavo ključev (RSA, X25519, Ed25519).
V B2B trezorju OpenPGP omogoča šifriranje skrivnosti za več prejemnikov brez osrednjega ponovnega kodiranja: vsak uporabnik razpolaga z lastnim parom ključev, deljenje pa je sestavljeno iz ponovnega kodiranja simetričnega ključa seje za javni ključ novega prejemnika. ARDNTECH uporablja OpenPGP RFC 9580 na strani odjemalca za deljenje skrivnosti med uporabniki iste organizacije.
X25519 / Ed25519 - Sodobne eliptične krivulje
X25519 je algoritem za izmenjavo ključev Diffie-Hellman na krivulji Curve25519, opredeljen v RFC 7748 (IETF, 2016). Ed25519 je pripadajoči algoritem podpisa, opredeljen v RFC 8032. Zasnovala sta ju Daniel J. Bernstein in njegova ekipa; ta algoritma nudita raven varnosti, enakovredno ključu RSA z 3072 biti, z bistveno manjšim pomnilniškim in procesorskim odtisom.
Njuna uporaba je danes široka: TLS 1.3, SSH, Signal, WireGuard in OpenPGP od RFC 9580. Edwardsove krivulje se izognejo običajnim implementacijskim pastem zgodovinskih NIST krivulj (P-256, P-384), saj otežijo izvedbo napadov po stranskih kanalih.
AES-256-GCM - Avtentikirano simetrično šifriranje
AES-256-GCM je par Advanced Encryption Standard v načinu Galois/Counter Mode, s 256-bitnim ključem. Način GCM je NIST normiral v NIST SP 800-38D in zagotavlja hkrati zaupnost (s šifriranjem v načinu števca) in avtentikacijo (prek MAC, izhajajočega iz množenja v GF(2¹²⁸)).
Njegova široka razširjenost se pojasnjuje s strojno zmogljivostjo (ukazi AES-NI in CLMUL procesorjev x86_64 in ARMv8) ter preverjeno odpornostjo. Ostaja občutljiv na ponovno uporabo IV, ki mora biti naključen ali strogo zaporeden. AES-256-GCM je privzeta simetrična primitiva OpenPGP RFC 9580 in TLS 1.3.
CLOUD Act - Ameriška ekstrateritorialnost 2018
Clarifying Lawful Overseas Use of Data Act je ameriški zvezni zakon, razglašen 23. marca 2018. Ameriškim oblastem dovoljuje, da od operaterja, podvrženega ameriškemu pravu, zahtevajo posredovanje uporabniških podatkov, ne glede na njihovo fizično lokacijo shranjevanja. Celotno besedilo je objavljeno na congress.gov.
Ameriška družba ali evropska podružnica ameriške družbe ostaja podvržena CLOUD Act, tudi če so njeni strežniki fizično nameščeni v Uniji. Prav to strukturno merilo razlikuje resnično suverenega izdajatelja od izdajatelja, čigar matična družba spada pod ameriško pravo.
FISA Section 702 - Nadzor tujcev
Foreign Intelligence Surveillance Act v svoji Sekciji 702, dodani leta 2008, ameriškim agencijam (NSA, FBI) dovoljuje zbiranje elektronskih obveščevalnih podatkov o osebah, ki niso ameriški državljani in se nahajajo zunaj ozemlja Združenih držav, ob obveznem sodelovanju ameriških operaterjev elektronskih komunikacij.
Sodišče EU je leta 2020 (sodba Schrems II) razsodilo, da je ta režim, brez mehanizma učinkovitega pravnega sredstva za ciljane osebe v EU, nezdružljiv s temeljnimi jamstvi evropskega prava. To je eden ponavljajočih se razlogov, zaradi katerih evropski CISO izključujejo operaterje, podvržene ameriškemu pravu.
Schrems II - Sodba Sodišča EU C-311/18 (2020)
Sodba Data Protection Commissioner proti Facebook Ireland in Maximilian Schrems, izdana 16. julija 2020 s strani Sodišča Evropske unije, je razveljavila sklep o ustreznosti Privacy Shield, ki je urejal prenose osebnih podatkov med EU in Združenimi državami.
Od sodbe Schrems II mora biti vsak prenos v tretjo državo, ki temelji na Standardnih pogodbenih klavzulah, predhoden oceni učinka prenosa (Transfer Impact Assessment), ki dokumentira odsotnost tveganja tujega nadzora. Za DPO se z izbiro strogo evropskega izdajatelja izogne temu postopku in z njim povezanemu regulativnemu tveganju.
GDPR čl. 28 - Obdelava podatkov pri podizvajalcu
Člen 28 Uredbe (EU) 2016/679 ureja razmerje med upravljavcem in obdelovalcem. Nalaga sklenitev pisne pogodbe, ki določa predmet in trajanje obdelave, njeno naravo in namen, vrsto podatkov in kategorije zadevnih oseb ter obveznosti in pravice upravljavca.
V praksi je vsak SaaS izdajatelj obdelovalec v smislu čl. 28, takoj ko obdeluje osebne podatke za račun svojih strank. ARDNTECH zagotavlja standardizirano pogodbo DPA (Data Processing Agreement), vključeno v načrt Business in pogajalno v načrtu Enterprise.
GDPR čl. 32 - Varnost obdelave
Člen 32 Uredbe (EU) 2016/679 nalaga upravljavcu in obdelovalcu izvajanje ustreznih tehničnih in organizacijskih ukrepov za zagotovitev ravni varnosti, primerne tveganju. Izrecno navedeni ukrepi vključujejo šifriranje podatkov, sposobnost zagotavljanja zaupnosti, celovitosti, razpoložljivosti in odpornosti sistemov.
Pri presoji ustreznosti ukrepov je treba upoštevati stanje tehnike, stroške izvajanja ter naravo, obseg in namene obdelave. Za B2B trezor skrivnosti šifriranje E2EE z nedavnimi algoritmi (AES-256-GCM, Argon2id RFC 9106) običajno zadosti tej zahtevi.
DPA - Data Processing Agreement
DPA (Data Processing Agreement) oziroma pogodba o obdelavi podatkov je pogodba, naložena s členom 28 GDPR, med upravljavcem in njegovim obdelovalcem. Določa namene obdelave, kategorije zadevnih podatkov, obdobje hrambe, uporabljene varnostne ukrepe in pogoje nadaljnjega podizvajanja.
Za B2B kupca, podvrženega GDPR, je zahtevanje podpisane pogodbe DPA pred vsako uvedbo orodja SaaS, ki obdeluje osebne podatke, zakonska obveznost, ne možnost. ARDNTECH zagotavlja standardizirano pogodbo DPA, vključeno v načrt Business, in pogodbo DPA, dogovorjeno v načrtu Enterprise.
DPO - Pooblaščena oseba za varstvo podatkov
Pooblaščena oseba za varstvo podatkov (DPO) je funkcija, ustvarjena s členom 37 GDPR. Njegovo imenovanje je obvezno za organe in javne organizacije, za organizacije, katerih glavna dejavnost zahteva redno in sistematično spremljanje oseb v velikem obsegu, ter za organizacije, ki v velikem obsegu obdelujejo posebne kategorije podatkov (zdravje, biometrični podatki itd.).
DPO svetuje glede skladnosti z GDPR, nadzira ocene učinka (DPIA), sodeluje z nadzornim organom in služi kot kontaktna točka za zadevne osebe. V okviru presoje trezorja skrivnosti DPO zlasti potrdi pogodbo DPA in analizo prenosa zunaj EU, če je to primerno.
NIS2 - Evropska direktiva o kibernetski varnosti
Direktiva (EU) 2022/2555, imenovana NIS2 (Network and Information Security), nadomešča direktivo NIS iz leta 2016 in znatno razširja obseg operaterjev, podvrženih obveznostim kibernetske varnosti. Zdaj pokriva bistvene in pomembne subjekte v razširjenih sektorjih (energetika, promet, zdravstvo, digitalna infrastruktura, upravljane storitve itd.).
NIS2 nalaga ukrepe za obvladovanje tveganj, obveščanje o incidentih v 24 urah (začetno opozorilo) in 72 urah (popolno poročilo) ter obveznosti varnosti dobavne verige. Njen prenos v francosko pravo je v teku. Za operaterje ključnega pomena in operaterje bistvenih storitev NIS2 krepi zahteve, ki so obstajale pod LPM in NIS1.
OIV - Operater ključnega pomena
Operater ključnega pomena (OIV) je javna ali zasebna organizacija, katere dejavnost se šteje za nepogrešljivo za pravilno delovanje francoskega Naroda in jo zaupno določi odlok predsednika vlade. Operaterji ključnega pomena so podvrženi določbam Zakona o vojaškem programiranju (LPM) na področju kibernetske varnosti.
Obveznosti operaterjev ključnega pomena vključujejo prijavo kritičnih informacijskih sistemov ANSSI, spoštovanje varnostnih pravil, določenih s sektorskim odlokom, in obveščanje o varnostnih incidentih. Za SaaS izdajatelja biti referenčen za operaterja ključnega pomena pomeni izpolnjevanje zahtev kvalifikacije (SecNumCloud) in odzivanje na revizije PASSI.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) je algoritem za generiranje enkratnih gesel na podlagi trenutnega časa, opredeljen v RFC 6238 (IETF, 2011). Združuje deljeno skrivnost (TOTP seed) in časovni števec (privzeto v intervalih 30 sekund) prek funkcije HMAC-SHA-1 za izdelavo 6-mestne numerične kode.
TOTP je najbolj razširjen mehanizem drugega faktorja v poslovnih aplikacijah. Podpirajo ga vse standardne aplikacije za avtentikacijo (Google Authenticator, Aegis itd.) in ARDNTECH. RFC 6238 je javno berljiv na tools.ietf.org.
WebAuthn / Passkey - Avtentikacija brez gesla
WebAuthn (Web Authentication API) je standard W3C, ki spletnim aplikacijam omogoča avtentikacijo uporabnika s pomočjo avtentikatorja FIDO2 (strojni ključ, prstni odtis, prepoznavanje obraza). Specifikacija je objavljena na w3.org/TR/webauthn-3/ . Passkeyji so potrošniška implementacija WebAuthna, kjer se par ključev sinhronizira med napravami prek upravitelja ključev (iCloud Keychain, Google Password Manager).
Z vidika varnosti WebAuthn izvorno odporen proti ribarjenju (ključ je vezan na izvor domene) in napadom s ponovnim predvajanjem. Za B2B trezor skrivnosti aktiviranje WebAuthna za odklepanje odpravi najpogostejši vektor ogroženosti v podjetju: krajo glavnega gesla z ribarjenjem. ARDNTECH podpira WebAuthn / Passkeyje na vseh načrtih.
AGPL-3.0 - Odprtokodna copyleft omrežna licenca
GNU Affero General Public License različica 3 (AGPL-3.0) je licenca za prosto programsko opremo, ki jo objavlja Free Software Foundation. Zahteva, da vsaka omrežna uvedba programske opreme, ki jo pokriva ta licenca, da na voljo pripadajočo izvorno kodo uporabnikom, ki do nje dostopajo, vključno prek spletne storitve.
Za ARDNTECH objava pod AGPL-3.0 pomeni, da mora vsaka organizacija, ki uvede spremenjeno instanco ARDNTECH, objaviti svoje spremembe. To je strukturno jamstvo za stranke: če bi ARDNTECH prenehal obstajati, bi koda ostala dostopna in vzdrževana s strani skupnosti. Revizija kriptografske kode je mogoča za katerega koli CISO ali revizorja PASSI brez posebnega dostopa.
