Ce qui est protégé, contre qui, et ce qui ne l’est pas.
Rédigé pour la personne de votre organisation qui doit donner son feu vert. Les détails techniques, protocoles et versions des bibliothèques compris, figurent dans la documentation.
Ce que le serveur peut lire et ce qu’il ne peut pas lire
Le chiffrement de bout en bout couvre des types de données précis, pas tout. Voici la répartition.
| DONNÉES | PROTECTION | CE QUE VOIT LE SERVEUR |
|---|---|---|
| Messages | Chiffrés de bout en bout | Qu’un message a été envoyé, par quel appareil, sur quel canal, quand, et sa taille. |
| Photos et fichiers | Chiffrés de bout en bout | La taille du fichier et le moment de l’envoi. |
| Incidents, tâches, objets cartographiques | Chiffrés en transit et au repos | Le contenu, pour que le nœud puisse le synchroniser entre appareils et sites et déclencher des alertes. |
| Positions | Chiffrées en transit et au repos | Les positions des membres qui les partagent, pour que les géorepérages et la vue opérateur fonctionnent. |
| Comptes et appartenance | Chiffrés en transit et au repos | Qui appartient à quelle opération, son rôle et ses appareils. |
Pas de cryptographie maison
Sinkaos utilise des protocoles établis et publiés et des bibliothèques open source largement auditées. Nous n’avons pas inventé les nôtres. La documentation les nomme avec leurs versions.
Chaque appareil a ses propres clés
Chaque téléphone ou navigateur génère sa propre paire de clés en rejoignant le système. La clé privée reste sur cet appareil. Ajouter un appareil à votre compte se valide depuis un appareil que vous possédez déjà.
Révoquer un appareil
Révoquez un téléphone perdu depuis n’importe lequel de vos autres appareils, ou demandez-le à l’opérateur. Un appareil révoqué ne peut plus rien synchroniser ni déchiffrer de nouveau. Ce qu’il a déjà stocké reste protégé par son verrouillage d’écran et son chiffrement local.
Données sur le téléphone
La base de données locale, les packs de mission et les modifications en attente sont chiffrés au repos. Quitter une opération supprime ses données de l’appareil.
La personne qui partage sa position le voit
Un membre voit toujours quand sa position est partagée et avec qui. Le partage peut être limité à la durée de l’opération ou à certains rôles.
Connexion
Mots de passe, clés d’accès (passkeys) et codes d’application d’authentification, ou l’authentification unique (SSO) de votre organisation. Aucun numéro de téléphone n’est requis.
Récupération sans porte dérobée
Un compte se récupère via un appareil de confiance ou un paquet de récupération chiffré. La récupération ne nous donne jamais accès à vos anciens messages. Si votre organisation a besoin d’un accès pour raisons de conformité, il apparaît comme un participant visible, jamais comme une clé cachée.
Effacer un appareil
Chacun peut effacer immédiatement les données Sinkaos de son propre appareil. Un effacement à distance peut être demandé, et vous voyez si l’appareil l’a confirmé. Un téléphone qui ne se reconnecte jamais ne peut pas le confirmer, et nous le disons.
Journal d’audit
Connexions, changements d’appareils, rôles, politiques, intégrations, exports et actions d’administration sont inscrits dans un journal infalsifiable. Les administrateurs gèrent le système sans accéder au contenu chiffré.
L’IA est optionnelle et sous votre contrôle
Les fonctions d’IA peuvent être entièrement désactivées, ou reliées à un fournisseur ou à un modèle auto-hébergé que vous approuvez. Le contenu récupéré est traité comme des données, jamais comme des instructions, et ce qu’un assistant a le droit de faire est imposé en dehors du modèle.
Audits et certifications
Nous ne mentionnons ici un audit ou une certification que s’il existe un rapport ou un certificat vérifiable.
Vos responsabilités
Le chiffrement ne sert à rien si un téléphone déverrouillé traîne sur un siège de voiture. Certaines choses restent de votre ressort.
- Un verrouillage d’écran sur chaque appareil qui rejoint une opération.
- La révocation immédiate des appareils perdus ou remplacés.
- Le choix des rôles attribués, en particulier aux invités.
- Sur vos propres serveurs : mises à jour, sauvegardes et accès aux machines.
Vous avez trouvé une vulnérabilité ?
Écrivez-nous avant toute publication. Nous répondons sous trois jours ouvrés et vous tenons informé jusqu’à la correction. Nous n’engagerons aucune poursuite pour une recherche menée de bonne foi.
- hello@sinkaos.si
- Politique
- /.well-known/security.txt
Besoin de réponses pour un audit de sécurité ?
Envoyez-nous votre questionnaire. Nous y répondons nous-mêmes, par écrit.