Keeper tiene molto alla protezione delle vostre informazioni

Panoramica

Keeper Security, Inc. (KSI) si impegna al massimo per proteggere le informazioni dei suoi clienti con Keeper mobile e desktop. Milioni di consumatori e imprese si affidano a Keeper per la protezione e l'accesso alle proprie password e informazioni riservate.

Il software Keeper viene costantemente migliorato e aggiornato per fornire ai nostri clienti la tecnologia e la protezione più avanzate. Questa pagina offre una panoramica dell'architettura di sicurezza, delle metodologie di crittografia e dell'ambiente di hosting della versione attualmente pubblicata di Keeper. Una panoramica dei dettagli tecnici dei nostri metodi di crittografia e sicurezza viene fornita in questo documento.

La nostra politica sulla privacy e i nostri termini di utilizzo sono disponibili sul nostro sito Web al seguente indirizzo:

• Politica sulla privacy
• Termini di utilizzo

Protezione dei dati

KSI non ha accesso alla Password principale di un cliente né alle voci memorizzate all'interno della Camera di sicurezza di Keeper. KSI non è in grado di accedere a distanza al dispositivo di un cliente né di decrittografarne le informazioni. Le uniche informazioni alle quali Keeper Security ha accesso sono l'indirizzo e-mail, il tipo di dispositivo e i dettagli dell'abbonamento sottoscritto (ad esempio, Keeper Unlimited) di un utente. In caso di smarrimento o furto del dispositivo di un utente, KSI può fornire assistenza durante l'accesso a un file di backup crittografato per ripristinare la cassetta di sicurezza dell'utente, una volta effettuata la sostituzione del dispositivo.

Soltanto l'utente può accedere alle informazioni memorizzate e alle quali si accede in Keeper, in quanto vengono immediatamente crittografate e decrittografate in tempo reale sul dispositivo in uso, anche se si sta utilizzando la Web App di Keeper. Il metodo di crittografia utilizzato da Keeper è un algoritmo affidabile e molto conosciuto chiamato AES (Advanced Encryption Standard) con una chiave a 256 bit. Secondo la pubblicazione del Comitato statunitense per i sistemi di sicurezza nazionali (Committee on National Security Systems) CNSSP-15, l'AES con chiave a 256 bit è sufficientemente sicuro per crittografare informazioni segretate fino al livello TOP SECRET per il Governo statunitense.

Le chiavi di cifratura usate per crittografare e decrittografare le voci dei clienti non vengono memorizzate né trasmesse alla Cloud Security Vault di Keeper. Ciononostante, per permettere la sincronizzazione tra più dispositivi, una versione crittografata di tale chiave di cifratura viene memorizzata nella Cloud Security Vault e fornita ai dispositivi inseriti nell'account dell'utente. Tale chiave di cifratura crittografata può essere decrittografata solamente sul dispositivo, per essere successivamente utilizzata come chiave di cifratura delle informazioni.

Password principale complessa

Si consiglia di scegliere una Password principale complessa per l'account di Keeper. Questa Password principale non deve essere mai utilizzata al di fuori di Keeper. Gli utenti non devono mai condividere la loro Password principale con altri soggetti.

Autenticazione a due fattori

Per prevenire l'accesso non autorizzato all'account di un cliente, Keeper offre anche l'Autenticazione a due fattori. L'autenticazione a due fattori è un metodo che richiede come minimo due dei tre fattori di autenticazione: conoscenza, possesso e dati biometrici. Per maggiori informazioni sul metodo di Autenticazione a due fattori, vedi questo link.

Keeper utilizza una cosa che conosci (la tua password) e una cosa che hai (il telefono in tuo possesso) per fornirti una sicurezza supplementare nel caso in cui la tua Password principale o il dispositivo siano compromessi. Per fare ciò, generiamo delle TOTP (Time-based One-Time Password, password temporanee, utilizzabili una sola volta).

Keeper genera una chiave segreta a 10byte, utilizzando un generatore di numeri casuali sicuro dal punto di vista crittografico. Questo codice è valido per circa un minuto e viene inviato all'utente tramite SMS, Google Authenticator o i dispositivi indossabili compatibili con Keeper DNA.

Se sul tuo dispositivo mobile utilizzi l'applicazione Google Authenticator, il server Keeper genera internamente un codice QR, contenente la tua chiave segreta, ed essa non sarà mai comunicata a terzi. Ogni volta che un utente disattiva e riattiva l'Autenticazione a due fattori, viene generata una nuova chiave segreta.

Per attivare l'Autenticazione a due fattori, vai alla schermata Impostazioni della Web App di Keeper.

FIDO (U2F) Security Keys

Keeper supports FIDO-compatible U2F hardware-based security key devices such as YubiKey as a second factor. Security keys provide a convenient and secure way to perform two-factor authentication without requiring the user to manually enter 6-digit codes. Multiple security keys can be configured for a user's vault. For platforms that do not support security key devices, users may fall back to other configured 2FA methods. To configure a security key and other two-factor authentication methods, visit the 'Settings' screen of the Keeper application.

Emergency Access (Digital Legacy)

Keeper supports the ability to add up to 5 emergency contacts to grant vault access in the event of an emergency or death. Once a specified wait time has elapsed, the emergency contact will gain access to the user's vault. The process of sharing a vault is Zero-Knowledge, and the user's Master Password is never directly shared. RSA encryption is utilized to share a 256-bit AES key with the emergency contact, at the expiration of the wait time set by the originating user. Therefore, the emergency contact must have a Keeper account (and a public/private RSA key pair) to accept the invitation.

Crittografia dei client

I dati sono cifrati e decifrati sul dispositivo dell'utente e non nella Cloud Security Vault. Chiamiamo questo processo "Cifratura locale" perché il client (iPhone, dispositivo Android, Web App, ecc.) esegue tutte le operazioni di cifratura. La Cloud Security Vault conserva un binario raw che non è di nessuna utilità per un malintenzionato. Anche in caso i dati fossero intercettati durante la trasmissione tra il client e la Cloud Security Vault, non potrebbero essere decifrati o utilizzati per attaccare o compromettere i dati privati dell'utente.

Per forzare o compromettere una chiave simmetrica a 256-bit sarebbe necessaria una potenza computazionale 2128 volte più potente di una chiave a 128-bit. In teoria, sarebbe necessario un dispositivo che avrebbe bisogno di 3x10⁵¹ anni per esaurire lo spazio della chiave a 256-bit.

Condivisione

Ciascun utente possiede una coppia di chiavi RSA a 2048 bit che vengono usate per la condivisione. Le voci condivise sono crittografate con la chiave pubblica del destinatario. Il destinatario decrittografa i dati con la chiave privata. Ciò consente all'utente di condividere le voci esclusivamente con il destinatario designato, in quanto solo lui è in grado di decrittografarli.

Generazione della chiave

Keeper utilizza un algoritmo PBKDF2 con codice HMAC-SHA256 per convertire la Password principale dell'utente in una chiave di crittografia da 256 bit con minimo 1.000 round.

La chiave generata dalla Password principale non viene utilizzata direttamente per criptare i dati dell'utente, ma per criptare un'altra chiave (la "Chiave dati"). La Chiave dati viene usata per criptare i dati e altre chiavi di cifratura, quali la chiave privata RSA.

Qualsiasi chiave non direttamente generata dalla Password principale dell'utente viene generata da un generatore di numeri casuali sicuro dal punto di vista crittografico all'interno del dispositivo dell'utente, come, ad esempio, la chiave dati e la coppia di chiavi RSA. Essendo generate all'interno del dispositivo (e non nella Cloud Security Vault di Keeper), Keeper non ha visibilità nelle chiavi dell'utente.

Archiviazione della chiave

Tutte le chiavi segrete (come la chiave privata RSA e la chiave dati di ciascun utente) da memorizzare devono essere tutte criptate prima della loro archiviazione o trasmissione. Per decriptare tutte le chiavi è necessaria la Password principale dell'utente. Poiché Cloud Security Vault di Keeper non ha accesso alla Password principale, non possiamo decriptare nessuna delle tue chiavi o dei tuoi dati.

La Cloud Security Vault di Keeper

La Cloud Security Vault fa riferimento all'architettura software e di rete di proprietà di KSI che è fisicamente ospitata all'interno dell'infrastruttura di Amazon Web Services (AWS).

Quando l'utente sincronizza la sua cassetta di sicurezza con altri dispositivi del suo account, le informazioni binarie crittografate vengono inviate in un tunnel SSL crittografato e conservate nella Cloud Security Vault di Keeper in formato crittografato.

Record Versioning

Keeper maintains full encrypted version history of every record stored in the user's vault, providing confidence that no critical data is ever lost. From the Keeper client application, users can examine the record history and perform a restore of any individual vault record. If a stored password or file in Keeper is changed or deleted, users always have the ability to perform a point-in-time restore.

Keeper per le aziende

Ai clienti che acquistano Keeper viene fornito un ulteriore livello di controllo sui propri utenti e dispositivi. Agli amministratori di Keeper viene fornito l'accesso a una console amministrativa. La console consente agli amministratori di gestire gli utenti appartenenti all'organizzazione, controllare la condivisione delle voci e i dispositivi autorizzati per la sincronizzazione.

Ruoli, team, cartelle condivise e amministratore delegato

Keeper for Business offre un gruppo di comandi sicuro e solido per unità organizzative, ruoli, team e cartelle condivise. I potenti comandi di back-end di Keeper offrono i livelli di sicurezza più intensi insieme all'accesso con privilegi minimi e a un'amministrazione delegata completa.

A livello di crittografia, ogni voce (per es., password o credenziale) archiviata nella piattaforma di Keeper possiede un identificatore univoco (UID voce) e viene crittografata tramite una chiave. Ogni cartella condivisa, ogni team e ogni utente hanno una chiave apposita, mentre ogni ruolo che richiede la trasferibilità dell'account dell'utente possiede una chiave di applicazione del ruolo. I dati non utilizzati ma conservati nel dispositivo dell'utente vengono crittografati con la chiave dell'utente, la quale viene a sua volta crittografata dalla password principale dell'utente.

Le voci vengono aggiunte a una cartella condivisa tramite crittografia della chiave della voce con la chiave della cartella condivisa. Se le voci vengono condivise direttamente con un utente, la loro chiave viene crittografata con quella dell'utente. Gli utenti vengono aggiunti a una cartella condivisa tramite crittografia della chiave della cartella con la chiave dell'utente. I team vengono aggiunti alla cartella condivisa tramite crittografia della chiave della cartella con la chiave del team. Gli utenti vengono aggiunti al team tramite crittografia della chiave del team con la chiave dell'utente.

Per i ruoli che applicano la trasferibilità dell'account dell'utente:

la chiave di applicazione viene crittografata con quella di ogni amministratore autorizzato a effettuare il trasferimento.

(Nota: è possibile progettare il trasferimento di applicazioni separate per gruppi separati di utenti da parte di gruppi separati di amministratori.)

Le chiavi della cartella dell'account vengono generate (per utenti nel ruolo in cui è prevista l'applicazione) e crittografate con la chiave di applicazione. Tutte le chiavi relative alle voci e alle cartelle condivise di un utente vengono crittografate tramite la chiave della cartella dell'account.

Il trasferimento di un account viene effettuato bloccando e poi trasferendo ed eliminando l'account di un utente. In questo modo l'operazione non viene eseguita segretamente. Le chiavi e i metadati della cartella dell'account danno la possibilità di decrittografare i dati della voce, ma non di accederne direttamente. Pertanto, solo dopo la loro assegnazione a un individuo, le voci diventano utilizzabili da quell'individuo e nessun altro può accedervi.

La crittografia viene eseguita client-side e in nessun caso Keeper ha la possibilità di decrittografare le informazioni condivise o trasferite. Inoltre, la chiave dell'utente non verrà mai condivisa. Un utente rimosso da un team, da una cartella condivisa o dalla condivisione diretta non riceverà nuovi dati sul team, sulla cartella condivisa o sulla voce. Pertanto, sebbene venga compromessa insieme a quell'individuo, la chiave non è utilizzabile per ottenere l'accesso ai dati di base.

Diversi privilegi di amministratore potrebbero essere assegnati ad alcune parti dell'albero gerarchico per consentire ai membri con ruolo privilegiato di eseguire operazioni nella nostra console di amministrazione di Keeper.

Le politiche di applicazione server-side e client-side potrebbero riguardare i ruoli che dettano il comportamento del client per gruppi di individui.

I team consentono una facile distribuzione delle cartelle condivise a vari gruppi di utenti.

Active Directory / LDAP Bridge di Keeper

Keeper Bridge si integra con Active Directory e i server LDAP per quanto riguarda il provisioning e la formazione iniziale degli utenti. La comunicazione di Keeper Bridge viene dapprima autorizzata da un amministratore in possesso del privilegio di gestire il bridge. Una chiave di trasmissione viene generata e condivisa con Keeper per tutte le comunicazioni che seguiranno. Usando la chiave di trasmissione vengono autorizzate tutte le operazioni eseguite dal bridge, a eccezione dell'inizializzazione del bridge stesso. Tale chiave potrebbe essere rigenerata in qualsiasi momento e verrà sostituita ogni 30 giorni.

La chiave di trasmissione serve soltanto per la trasmissione; se compromessa, potrebbe essere necessario reinizializzarla o revocarla senza causare alcuna perdita di dati o autorizzazioni.

Keeper Bridge potrebbe non conferire privilegi a un ruolo o un utente, ma potrebbe aggiungere un utente a un ruolo con privilegi, finché non sono richieste chiavi di applicazione. Keeper Bridge potrebbe non portare se stesso o un utente al di sopra della parte dell'albero in gestione. Non tutte le operazioni sono disponibili con il Bridge: per esempio, è possibile disabilitare un utente attivo, ma non eliminarlo. Sarà l'amministratore a decidere se l'utente dovrà essere eliminato o trasferito.

Single Sign-On (SAML 2.0) Authentication

Keeper can be configured by Keeper Business customers to authenticate a user into their Keeper vault using standard SAML 2.0 identity products. Keeper is a pre-configured service provider in every major SSO Identity Provider such as Google Apps, Microsoft Azure, Okta, Ping Identity and others. The mechanism that Keeper utilizes to authenticate users into their vault in a Zero-Knowlege environment is the patent-pending implementation called Keeper SSO Connect™. Keeper SSO Connect is a software application that Keeper Business administrators install on their own infrastructure (either on-premise or cloud), which serves as a SAML 2.0 service provider endpoint. When activated on a particular organizational unit, Keeper SSO Connect manages all of the encryption keys for Keeper Business end-users. Upon succcessful authentication in to the business Single Sign-On Identity Provider, the user is logged into Keeper with the necessary encryption keys to decrypt their vault. Keeper SSO Connect software operates on Windows, Mac and Linux environments.

Architettura di rete

KSI utilizza Amazon AWS in America del Nord e in Europa per la separazione geografica e la privacy dei dati locali al fine di ospitare e gestire Keeper e la sua architettura. KSI utilizza Amazon AWS per l'hosting e l'operatività della soluzione e dell'architettura Keeper. L'uso di Amazon AWS permette a Keeper di scalare in modo ottimale le risorse on-demand e fornire ai clienti l'ambiente di cloud storage più veloce e sicuro. KSI opera sia su ambienti multi-zona che su ambienti multi-regione per massimizzare i tempi di operatività e fornire il minor tempo di risposta ai clienti.

Autenticazione del server

Per impedire l'accesso non autorizzato alle informazioni custodite, la Cloud Security Vault di Keeper deve autenticare ciascun utente durante la fase di trasmissione delle informazioni. L'autenticazione viene eseguita confrontando un hash, generato mediante l'algoritmo PBKDF2 dalla Password principale. Il dispositivo dell'utente utilizza l'algoritmo PBKDF2 per generare l'hash dalla Password principale e il server mette a confronto tale hash con un hash memorizzato.

Utilizzando l'hash generato dall'algoritmo PBKDF2 al posto della Password principale, la Cloud Security Vault può autenticare l'utente senza richiedere la Password principale. Usando lo stesso algoritmo PBKDF2 per l'autenticazione eseguita per la crittografia delle informazioni, il massimo livello di protezione della Password principale è assicurato.

Crittografia Transport Layer

KSI supporta SSL a 256 bit e a 128 bit per la crittografia di tutti i trasferimenti di dati tra l'applicazione client e lo storage nel cloud di KSI. Si tratta dello stesso livello di crittografia utilizzato ogni giorno da milioni di singoli e aziende per le transazioni web sicure, come banking online, shopping online, scambi azionari, accesso a informazioni sanitarie e presentazione delle dichiarazioni fiscali.

KSI implementa i certificati SSL/TLS firmati da Digicert utilizzando SHA2, l'algoritmo di firma più sicuro attualmente offerto dalle autorità di certificazione commerciali. SHA2 è notevolmente più sicuro del più diffuso SHA1, potenzialmente soggetto a exploit a causa di una debolezza matematica identificata nell'algoritmo. SHA2 aiuta a proteggervi dall'emissione di certificati contraffatti che potrebbero essere utilizzati da un utente malintenzionato per impersonare un sito web.

KSI supporta inoltre Certificate Transparency (CT), una nuova iniziativa promossa da Google per creare un record verificabile pubblicamente dei certificati firmati dalle autorità di certificazione. CT rende più facile proteggersi dall'emissione di certificati da parte di soggetti non autorizzati. CT è attualmente supportato nelle versioni più recenti del browser web Chrome. Per ulteriori informazioni su Certificate Transparency è possibile collegarsi all'indirizzo: http://www.certificate-transparency.org/

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

Key Pinning

I client nativi di Keeper implementano HTTP Public Key Pinning (HPKP), un meccanismo di sicurezza che consente ai siti Web HTTPS di resistere agli attacchi di impersonificazione che utilizzano certificati fraudolenti.

Verifiche, scansioni e prove di sicurezza

Scansione di sicurezza esterna e test di penetrazione

KSI viene testato quotidianamente da McAfee Secure per garantire che l'applicazione Web di Keeper e il Cloud Security Vault di KSI siano protetti da exploit remoti, vulnerabilità e attacchi denial-of-service noti. I badge McAfee Secure sul sito Web di Keeper garantiscono lo svolgimento di test giornalieri del sito Web di Keeper, dell'applicazione Web, e del Cloud Security Vault.

Una scansione di sicurezza esterna completa viene eseguita mensilmente sul sito Web di Keeper, sull'applicazione Web e sul Cloud Security Vault di Keeper da parte di Trustwave. Il personale di Keeper svolge periodicamente scansioni esterne on-demand tramite Trustwave. Lo staff di Keeper avvia periodicamente scansioni esterne su richiesta tramite Trustwave.

Certificato di conformità SOC2

Le voci presenti nella cassetta di sicurezza del cliente vengono protette utilizzando operazioni di controllo interne severe e severamente monitorate. Keeper ha ottenuto certificazioni per i report SOC 2 di tipo 2 in conformità con lo standard AICPA per il reporting sui controlli alle organizzazioni che forniscono servizi. La certificazione SOC2 contribuisce a garantire che la cassetta di sicurezza sia sempre al sicuro tramite l'implementazione di controlli standardizzati previsti dallo standard AICPA per i principi sui servizi di affidabilità.

Elaborazione dei pagamenti e conformità PCI

KSI utilizza PayPal Payments Pro per elaborare in modo sicuro i pagamenti tramite carta di credito e di debito dal sito Web di pagamento KSI. PayPal Payments Pro è una soluzione di elaborazione delle transazioni conforme allo standard PCI-DSS.

KSI ha conseguito la certificazione di conformità PCI-DSS da Trustwave.

Il Web client, l'App per Android, l'App per Windows Phone, l'App per iPhone/iPad e le estensioni per browser di Keeper hanno conseguito la certificazione di conformità con il programma EU-U.S. Safe Harbor dell'U.S. Department of Commerce, soddisfacendo i requisiti della direttiva della Commissione Europea in materia di protezione dei dati.
Per ulteriori informazioni sul programma EU-U.S. Safe Harbor dell'U.S. Department of Commerce, vedere http://export.gov/safeharbor/index.asp

Licenza ai sensi dell'EAR concessa dall'U.S. Department of Commerce Export

Keeper è certificato dall'U. S. Department of Commerce Bureau of Industry and Security nell'ambito dell'Export Commodity Classification Control numero 5D992, in conformità con le normative Export Administration Regulations (EAR).
Per saperne di più su EAR: http://www.bis.doc.gov

Monitoraggio remoto 24 su 24, 7 giorni su 7

Keeper è monitorato 24 ore al giorno, sette giorni alla settimana, tutto l'anno da un network esterno globale che assicura che il nostro sito internet e la nostra Cloud Security Vault siano disponibili in tutto il mondo.

Se hai domande a proposito di questa comunicazione di sicurezza, non esitare a contattattarci.

Email di phishing o falsificate

Se ricevi un messaggio e-mail che dichiara di essere stato inviato da KSI e non sei sicuro che sia legittimo, potrebbe trattarsi di un'"e-mail di phishing", nella quale l'indirizzo e-mail del mittente è stato falsificato o "spoofed". In questo caso, un'e-mail potrebbe contenere dei link a un sito Web identico a KeeperSecurity.com ma che non è il nostro sito. Il sito Web potrebbe richiedere l'inserimento della tua password principale di Keeper Security o tentare di installare software indesiderati sul tuo computer nel tentativo di rubare informazioni personali o ottenere l'accesso al tuo computer. Altre e-mail contengono dei link che potrebbero reindirizzarti ad altri siti Web potenzialmente pericolosi. Il messaggio può inoltre comprendere degli allegati, solitamente contenenti software indesiderati chiamati "malware". In caso di dubbi sulla provenienza di un'e-mail ricevuta nella casella di posta in arrivo, eliminala senza fare clic su alcun link o aprire eventuali allegati.

Se vuoi segnalare un'e-mail che ritieni sia stata falsificata in modo da farla apparire come se fosse stata inviata da KSI o in caso di altri dubbi sulla sicurezza che coinvolgono altri aspetti relativi a KSI, contattaci.

Infrastruttura di hosting certificata secondo gli standard più rigidi del settore

Il sito Web di Keeper e il cloud storage sono compatibili con l'infrastruttura di cloud computing Amazon Web Services (AWS). L'infrastruttura cloud AWS che ospita l'architettura del sistema di Keeper ha ottenuto la certificazione di conformità con i seguenti attestati, rapporti e certificazioni di terze parti:

• SOC 1 / SSAE 16 / ISAE3402
  (SAS70)
• SOC 2
• SOC 3
• PCI DSS Level 1
• ISO 27001
• FedRamp
• DIACAP
• FISMA
• ITAC
• FIPS 140-2
• CSA
• MPAA