PASSI - Leverantör av revision av informationssystemssäkerhet
PASSI är en kvalificering som utfärdas av ANSSI (Frankrikes nationella myndighet för informationssystemssäkerhet) till leverantörer som är behöriga att utföra säkerhetsrevisioner för franska myndigheter och kritiska operatörer. Kvalificeringen omfattar fem revisionsområden: arkitektur, konfiguration, källkod, penetrationstest och organisatoriskt/fysiskt. Den regleras av PASSI-kravreferensen som publiceras av ANSSI och uppdateras regelbundet.
För en offentlig upphandlare eller en OIV är det en vanlig aktsamhetsåtgärd att kräva en PASSI-revision av den valda lösningen. Den officiella listan över kvalificerade leverantörer publiceras på ANSSI:s webbplats på adressen cyber.gouv.fr.
SecNumCloud - ANSSI-kvalificering för suveräna värdleverantörer
SecNumCloud är den franska referenskvalificeringen för suveräna molntjänstleverantörer. Kravreferensen kräver oberoende från utomeuropeisk rätt (särskilt CLOUD Act och FISA Section 702), fysisk lokalisering av data och verksamhet inom Europeiska unionens territorium, samt förstärkta tekniska åtgärder vad gäller kryptering, revision och verksamhetskontinuitet.
Kravreferensen SecNumCloud 3.2 publiceras av ANSSI. Dess kvalificering är obligatorisk för att hysa känsliga statliga data i den mening som avses i den allmänna säkerhetsreferensen. ARDNTECH väljer sina underleverantörer för värdtjänster bland aktörer som följer denna kravreferens.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC är en mekanism för att beräkna en meddelandeautentiseringskod utifrån en kryptografisk hashfunktion och en hemlig nyckel, definierad i RFC 2104 (IETF, 1997). Dess variant HMAC-SHA-256 använder funktionen SHA-256 som standardiserats av NIST i FIPS 180-4 och levererar en MAC på 256 bitar. I praktiken används HMAC-SHA-256 för att garantera ett meddelandes integritet och äkthet utan att avslöja nyckeln.
Kedjningen av HMAC (där en händelses HMAC inkluderar föregående händelses HMAC) bygger en oföränderlig revisionskedja: varje retroaktiv ändring av en händelse bryter kedjan och blir upptäckbar. ARDNTECH använder kedjad HMAC-SHA-256 för sin revisionslogg, verifierbar via ett offentligt CLI-kommando.
Argon2id - Modern nyckelhärledning
Argon2 är nyckelhärledningsalgoritmen som vann Password Hashing Competition (2015), standardiserad i RFC 9106 (IETF, 2021). Argon2id, dess hybridvariant, kombinerar Argon2i:s motståndskraft mot sidokanalsattacker med Argon2d:s motståndskraft mot tid-minne-kompromissattacker. Den tar tre parametrar: minneskostnad, tidskostnad och parallellism.
RFC 9106 rekommenderar för interaktiv användning en minneskostnad på minst 64 MiB, 3 iterationer och 1 parallellismbana. För serveranvändning med högre intensitet rekommenderar den 256 MiB eller mer. ARDNTECH implementerar Argon2id med 256 MiB minne, i enlighet med rekommendationerna i RFC 9106.
Zero-knowledge - Arkitektur utan åtkomst i klartext
En arkitektur kallas zero-knowledge när servern, genom kryptografisk konstruktion, saknar varje tekniskt medel att läsa användardata i klartext. Kryptering och dekryptering sker helt på klientsidan med en nyckel härledd från användarens lösenordsfras, som aldrig överförs till servern.
Den operativa konsekvensen är att en angripare som komprometterar servern (eller utgivaren själv, tvingad av en rättslig begäran) endast får åtkomst till krypterade blobbar som är oanvändbara utan innehavarens nyckel. Motvikten är att utgivaren inte kan återställa ett glömt lösenord: återställningsmekanismen förstör med nödvändighet det tidigare valvet.
OpenPGP - Standard för asymmetrisk kryptering
OpenPGP är den öppna standarden för kryptering och signering av meddelanden, härledd från verktyget Pretty Good Privacy. Dess aktuella specifikation är RFC 9580 (IETF, juli 2024), som ersätter RFC 4880. OpenPGP kombinerar symmetrisk kryptering för innehållet (AES-256-GCM, ChaCha20-Poly1305) och asymmetrisk för nyckelutbytet (RSA, X25519, Ed25519).
I ett B2B-valv gör OpenPGP det möjligt att kryptera en hemlighet för flera mottagare utan central omkodning: varje användare har sitt eget nyckelpar, och delningen består i att omkoda den symmetriska sessionsnyckeln för den nya mottagarens publika nyckel. ARDNTECH använder OpenPGP RFC 9580 på klientsidan för att dela hemligheter mellan användare inom samma organisation.
X25519 / Ed25519 - Moderna elliptiska kurvor
X25519 är en Diffie-Hellman-nyckelutbytesalgoritm på kurvan Curve25519, definierad i RFC 7748 (IETF, 2016). Ed25519 är den tillhörande signaturalgoritmen, definierad i RFC 8032. Utformade av Daniel J. Bernstein och hans team erbjuder dessa algoritmer en säkerhetsnivå motsvarande en RSA-nyckel på 3072 bitar med ett betydligt mindre minnes- och CPU-avtryck.
Deras användning är numera utbredd: TLS 1.3, SSH, Signal, WireGuard och OpenPGP sedan RFC 9580. Edwards-kurvorna undviker de vanliga implementationsfällorna hos de historiska NIST-kurvorna (P-256, P-384) genom att göra sidokanalsattacker svårare att genomföra.
AES-256-GCM - Autentiserad symmetrisk kryptering
AES-256-GCM är paret Advanced Encryption Standard i Galois/Counter Mode, med en nyckel på 256 bitar. GCM-läget standardiseras av NIST i NIST SP 800-38D och tillhandahåller både konfidentialitet (genom kryptering i räknarläge) och autentisering (genom en MAC som kommer från en multiplikation i GF(2¹²⁸)).
Dess breda spridning förklaras av dess hårdvaruprestanda (AES-NI- och CLMUL-instruktionerna hos x86_64- och ARMv8-processorer) och dess beprövade motståndskraft. Den förblir känslig för återanvändning av IV, som måste vara slumpmässig eller strikt sekventiell. AES-256-GCM är standardprimitiven för symmetrisk kryptering i OpenPGP RFC 9580 och TLS 1.3.
CLOUD Act - Amerikansk extraterritorialitet 2018
Clarifying Lawful Overseas Use of Data Act är en amerikansk federal lag som promulgerades den 23 mars 2018. Den bemyndigar amerikanska myndigheter att kräva att en operatör som lyder under amerikansk rätt lämnar ut användardata, oberoende av deras fysiska lagringsplats. Den fullständiga texten publiceras på congress.gov.
Ett amerikanskt bolag, eller ett amerikanskt bolags europeiska dotterbolag, lyder fortfarande under CLOUD Act även om dess servrar är fysiskt placerade inom unionen. Det är detta strukturella kriterium som skiljer en verkligt suverän utgivare från en utgivare vars moderbolag lyder under amerikansk rätt.
FISA Section 702 - Övervakning av utlänningar
Foreign Intelligence Surveillance Act, i dess Section 702 som lades till 2008, bemyndigar amerikanska myndigheter (NSA, FBI) att samla in elektronisk underrättelse om icke-amerikanska personer som befinner sig utanför Förenta staternas territorium, med obligatoriskt samarbete från amerikanska operatörer av elektronisk kommunikation.
EU-domstolen fann 2020 (Schrems II-domen) att detta system, utan en effektiv rättsmedelsmekanism för de personer som är föremål för övervakning inom EU, är oförenligt med de grundläggande garantierna i europeisk rätt. Det är ett av de återkommande skälen till varför europeiska CISO:er väljer bort operatörer som lyder under amerikansk rätt.
Schrems II - EU-domstolsdom C-311/18 (2020)
Domen Data Protection Commissioner mot Facebook Ireland och Maximilian Schrems, som meddelades den 16 juli 2020 av Europeiska unionens domstol, ogiltigförklarade adekvansbeslutet Privacy Shield som reglerade överföringar av personuppgifter mellan EU och Förenta staterna.
Sedan Schrems II måste varje överföring till ett tredjeland som grundar sig på standardavtalsklausuler föregås av en konsekvensbedömning av överföringen (Transfer Impact Assessment) som dokumenterar avsaknaden av risk för utländsk övervakning. För dataskyddsombud undviker valet av en strikt europeisk utgivare denna procedur och den tillhörande regulatoriska risken.
GDPR Art. 28 - Personuppgiftsbiträden
Artikel 28 i förordning (EU) 2016/679 reglerar förhållandet mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Den ålägger ingåendet av ett skriftligt avtal som fastställer behandlingens föremål och varaktighet, dess art och ändamål, typen av uppgifter och kategorierna av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter.
I praktiken är varje SaaS-utgivare ett personuppgiftsbiträde i den mening som avses i Art. 28 så snart den behandlar personuppgifter för sina kunders räkning. ARDNTECH tillhandahåller ett standardiserat DPA (Data Processing Agreement) som ingår i Business-planen och är förhandlingsbart i Enterprise.
GDPR Art. 32 - Säkerhet i behandlingen
Artikel 32 i förordning (EU) 2016/679 ålägger den personuppgiftsansvarige och personuppgiftsbiträdet att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är anpassad till risken. De uttryckligen nämnda åtgärderna omfattar kryptering av uppgifter samt förmågan att säkerställa systemens konfidentialitet, integritet, tillgänglighet och motståndskraft.
Bedömningen av åtgärdernas lämplighet måste beakta den senaste utvecklingen, kostnaderna för genomförandet samt behandlingens art, omfattning och ändamål. För ett B2B-hemlighetsvalv uppfyller E2EE-kryptering med moderna algoritmer (AES-256-GCM, Argon2id RFC 9106) vanligtvis detta krav.
DPA - Data Processing Agreement
Ett DPA (Data Processing Agreement), eller personuppgiftsbiträdesavtal, är det avtal som krävs enligt artikel 28 i GDPR mellan en personuppgiftsansvarig och dess personuppgiftsbiträde. Det anger behandlingens ändamål, de berörda uppgiftskategorierna, lagringstiden, de tillämpade säkerhetsåtgärderna och villkoren för fortsatt underbehandling.
För en B2B-köpare som lyder under GDPR är det en rättslig skyldighet, inte ett alternativ, att kräva ett undertecknat DPA innan något SaaS-verktyg som behandlar personuppgifter tas i bruk. ARDNTECH tillhandahåller ett standardiserat DPA som ingår i Business-planen och ett förhandlat DPA i Enterprise.
Dataskyddsombud - Dataskyddsombud
Dataskyddsombudet (DPO) är den funktion som inrättades genom artikel 37 i GDPR. Dess utnämning är obligatorisk för offentliga myndigheter och organ, organ vars kärnverksamhet kräver regelbunden och systematisk övervakning av personer i stor omfattning, och organ som i stor omfattning behandlar särskilda kategorier av uppgifter (hälsa, biometriska uppgifter osv.).
Dataskyddsombudet ger råd om GDPR-efterlevnad, övervakar konsekvensbedömningar (DPIA), samarbetar med CNIL och fungerar som kontaktpunkt för de registrerade. Inom ramen för en utvärdering av ett hemlighetsvalv validerar dataskyddsombudet särskilt DPA:t och överföringsanalysen utanför EU om tillämpligt.
NIS2 - Europeiskt direktiv om cybersäkerhet
Direktiv (EU) 2022/2555, kallat NIS2 (Network and Information Security), ersätter NIS-direktivet från 2016 och utökar avsevärt omfattningen av de operatörer som omfattas av cybersäkerhetsskyldigheter. Det omfattar nu väsentliga och viktiga entiteter inom utvidgade sektorer (energi, transport, hälsa, digital infrastruktur, hanterade tjänster osv.).
NIS2 ålägger riskhanteringsåtgärder, en incidentanmälan inom 24 timmar (inledande varning) och 72 timmar (fullständig rapport), samt skyldigheter avseende säkerhet i leveranskedjan. Dess införlivande i fransk rätt pågår. För OIV och OSE förstärker NIS2 de krav som redan fanns enligt LPM och NIS1.
OIV - Operatör av vital betydelse
En operatör av vital betydelse (OIV) är en offentlig eller privat organisation vars verksamhet anses oumbärlig för den franska nationens välfungerande, konfidentiellt utsedd genom premiärministerns förordning. OIV:er omfattas av bestämmelserna i lagen om militär programmering (LPM) vad gäller cybersäkerhet.
OIV:ernas skyldigheter omfattar deklaration av kritiska informationssystem (SIC) till ANSSI, efterlevnad av säkerhetsregler fastställda genom sektoriell förordning, och anmälan av säkerhetsincidenter. För en SaaS-utgivare innebär möjligheten att vara referensbar av en OIV att uppfylla kvalificeringskrav (SecNumCloud) och att genomgå PASSI-revisioner.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) är en algoritm för att generera engångslösenord baserade på den aktuella tiden, definierad i RFC 6238 (IETF, 2011). Den kombinerar en delad hemlighet (TOTP seed) och en tidsräknare (30-sekundersintervall som standard) via funktionen HMAC-SHA-1 för att producera en numerisk kod på 6 siffror.
TOTP är den mest spridda andrafaktormekanismen i företagsapplikationer. Den stöds av alla standardiserade autentiseringsappar (Google Authenticator, Aegis osv.) och av ARDNTECH. RFC 6238 är offentligt läsbar på tools.ietf.org.
WebAuthn / Passkey - Lösenordslös autentisering
WebAuthn (Web Authentication API) är en W3C-standard som gör det möjligt för webbapplikationer att autentisera en användare med hjälp av en FIDO2-autentiserare (hårdvarunyckel, fingeravtryck, ansiktsigenkänning). Specifikationen publiceras på w3.org/TR/webauthn-3/. Passkeys är en konsumentimplementation av WebAuthn där nyckelparet synkroniseras mellan enheter via en nyckelhanterare (iCloud Keychain, Google Password Manager).
Ur säkerhetssynpunkt motstår WebAuthn nativt nätfiske (nyckeln är knuten till domänens ursprung) och replay-attacker. För ett B2B-hemlighetsvalv eliminerar aktiveringen av WebAuthn för upplåsning den vanligaste kompromissvektorn i företag: stöld av huvudlösenordet genom nätfiske. ARDNTECH stöder WebAuthn / Passkeys på alla planer.
AGPL-3.0 - Open source-licens med nätverks-copyleft
GNU Affero General Public License version 3 (AGPL-3.0) är en licens för fri programvara som publiceras av Free Software Foundation. Den kräver att varje nätverksdistribution av en programvara som omfattas av denna licens gör motsvarande källkod tillgänglig för de användare som får åtkomst till den, inklusive via en webbtjänst.
För ARDNTECH innebär publicering under AGPL-3.0 att varje organisation som distribuerar en modifierad instans av ARDNTECH måste publicera sina ändringar. Det är en strukturell garanti för kunderna: om ARDNTECH skulle upphöra att existera, skulle koden förbli tillgänglig och underhållsbar av gemenskapen. Revisionen av den kryptografiska koden är möjlig för varje CISO eller PASSI-revisor utan särskild åtkomst.
