Co jest chronione, przed kim i czego ochrona nie obejmuje.
Dla osoby w Państwa organizacji, która musi to zatwierdzić. Szczegóły techniczne, w tym protokoły i wersje bibliotek, są w dokumentacji.
Co serwer może, a czego nie może odczytać
Szyfrowanie end-to-end obejmuje określone rodzaje danych, nie wszystkie. Tak wygląda podział.
| DANE | OCHRONA | CO WIDZI SERWER |
|---|---|---|
| Wiadomości | Szyfrowanie end-to-end | Że wiadomość została wysłana, z jakiego urządzenia, do jakiego kanału, kiedy, oraz jej rozmiar. |
| Zdjęcia i pliki | Szyfrowanie end-to-end | Rozmiar pliku i czas wysłania. |
| Zdarzenia, zadania, obiekty na mapie | Szyfrowanie podczas przesyłania i przechowywania | Treść, aby węzeł mógł synchronizować ją między urządzeniami i lokalizacjami i wywoływać na jej podstawie alerty. |
| Pozycje | Szyfrowanie podczas przesyłania i przechowywania | Pozycje członków, którzy je udostępniają, aby działały geostrefy i widok operatora. |
| Konta i członkostwo | Szyfrowanie podczas przesyłania i przechowywania | Kto należy do której operacji, jaką ma rolę i jakie urządzenia. |
Żadnej domowej kryptografii
Sinkaos korzysta ze sprawdzonych, opublikowanych protokołów i szeroko recenzowanych bibliotek open source. Nie wymyślaliśmy własnych. Dokumentacja podaje ich nazwy i wersje.
Każde urządzenie ma własne klucze
Każdy telefon lub przeglądarka generuje własną parę kluczy przy dołączeniu. Klucz prywatny nie opuszcza urządzenia. Dodanie urządzenia do konta zatwierdza się z urządzenia, które już się ma.
Unieważnianie urządzenia
Zgubiony telefon można unieważnić z dowolnego innego własnego urządzenia albo poprosić o to operatora. Unieważnione urządzenie nie może już synchronizować ani odszyfrowywać niczego nowego. To, co już zapisało, pozostaje chronione blokadą ekranu i lokalnym szyfrowaniem.
Dane w telefonie
Lokalna baza danych, pakiety misji i zmiany w kolejce są szyfrowane w spoczynku. Opuszczenie operacji usuwa jej dane z urządzenia.
Udostępniający widzi, że udostępnia lokalizację
Członek zespołu zawsze widzi, kiedy i komu udostępnia swoją pozycję. Udostępnianie można ograniczyć do czasu trwania operacji lub do wybranych ról.
Logowanie
Hasła, klucze dostępu (passkeys) i kody z aplikacji uwierzytelniającej albo jednokrotne logowanie (SSO) Państwa organizacji. Numer telefonu nie jest potrzebny.
Odzyskiwanie bez tylnej furtki
Konto odzyskuje się przez zaufane urządzenie lub zaszyfrowany pakiet odzyskiwania. Odzyskanie konta nigdy nie daje nam dostępu do Państwa dawnych wiadomości. Jeśli organizacja potrzebuje dostępu na potrzeby zgodności z przepisami, pojawia się on jako widoczny uczestnik, nigdy jako ukryty klucz.
Czyszczenie urządzenia
Każdy może od razu usunąć dane Sinkaos z własnego urządzenia. Można też zlecić zdalne czyszczenie i zobaczyć, czy urządzenie je potwierdziło. Telefon, który nigdy nie wróci do sieci, nie może tego potwierdzić, i mówimy o tym otwarcie.
Ścieżka audytu
Logowania, zmiany urządzeń, role, zasady, integracje, eksporty i działania administracyjne trafiają do dziennika odpornego na manipulacje. Administratorzy zarządzają systemem bez dostępu do zaszyfrowanych treści.
AI jest opcjonalna i pod Państwa kontrolą
Funkcje AI można całkowicie wyłączyć albo skierować do zatwierdzonego przez Państwa dostawcy lub modelu hostowanego u siebie. Pobrane treści są traktowane jako dane, nigdy jako polecenia, a to, co asystent może zrobić, jest egzekwowane poza modelem.
Audyty i certyfikaty
Audyt lub certyfikat wymieniamy tutaj tylko wtedy, gdy istnieje raport lub certyfikat, który można sprawdzić.
Państwa obowiązki
Szyfrowanie nie pomoże, jeśli odblokowany telefon zostanie na siedzeniu samochodu. Kilka rzeczy pozostaje po Państwa stronie.
- Blokada ekranu na każdym urządzeniu, które dołącza do operacji.
- Natychmiastowe unieważnianie zgubionych lub wymienionych urządzeń.
- Decyzja, kto otrzymuje jaką rolę, zwłaszcza w przypadku gości.
- Na własnych serwerach: aktualizacje, kopie zapasowe i dostęp do maszyn.
Znaleźli Państwo podatność?
Prosimy o e-mail przed publikacją czegokolwiek. Odpowiadamy w ciągu trzech dni roboczych i informujemy o postępach aż do usunięcia problemu. Nie podejmujemy kroków prawnych wobec badań prowadzonych w dobrej wierze.
- hello@sinkaos.si
- Zasady
- /.well-known/security.txt
Potrzebują Państwo odpowiedzi do audytu bezpieczeństwa?
Prosimy przesłać kwestionariusz. Odpowiadamy na niego sami, na piśmie.