Keeper tiene molto alla protezione delle vostre informazioni

Panoramica

Keeper Security, Inc. (KSI) si impegna al massimo per proteggere le informazioni dei suoi clienti con Keeper mobile e desktop. Milioni di consumatori e imprese si affidano a Keeper per la protezione e l'accesso alle proprie password e informazioni riservate.

Il software Keeper viene costantemente migliorato e aggiornato per fornire ai nostri clienti la tecnologia e la protezione più avanzate. Questa pagina offre una panoramica dell'architettura di sicurezza, delle metodologie di crittografia e dell'ambiente di hosting della versione attualmente pubblicata di Keeper. Una panoramica dei dettagli tecnici dei nostri metodi di crittografia e sicurezza viene fornita in questo documento.

La nostra politica sulla privacy e i nostri termini di utilizzo sono disponibili sul nostro sito Web al seguente indirizzo:

• Politica sulla privacy
• Termini di utilizzo

Protezione dei dati

KSI non ha accesso alla Password principale di un cliente né alle voci memorizzate all'interno della Camera di sicurezza di Keeper. KSI non è in grado di accedere a distanza al dispositivo di un cliente né di decrittografarne le informazioni. Le uniche informazioni alle quali Keeper Security ha accesso sono l'indirizzo e-mail, il tipo di dispositivo e i dettagli dell'abbonamento sottoscritto (ad esempio, Keeper Unlimited) di un utente. In caso di smarrimento o furto del dispositivo di un utente, KSI può fornire assistenza durante l'accesso a un file di backup crittografato per ripristinare la cassetta di sicurezza dell'utente, una volta effettuata la sostituzione del dispositivo.

Soltanto l'utente può accedere alle informazioni memorizzate e alle quali si accede in Keeper, in quanto vengono immediatamente crittografate e decrittografate in tempo reale sul dispositivo in uso, anche se si sta utilizzando la Web App di Keeper. Il metodo di crittografia utilizzato da Keeper è un algoritmo affidabile e molto conosciuto chiamato AES (Advanced Encryption Standard) con una chiave a 256 bit. Secondo la pubblicazione del Comitato statunitense per i sistemi di sicurezza nazionali (Committee on National Security Systems) CNSSP-15, l'AES con chiave a 256 bit è sufficientemente sicuro per crittografare informazioni segretate fino al livello TOP SECRET per il Governo statunitense.

Le chiavi di cifratura usate per crittografare e decrittografare le voci dei clienti non vengono memorizzate né trasmesse alla Cloud Security Vault di Keeper. Ciononostante, per permettere la sincronizzazione tra più dispositivi, una versione crittografata di tale chiave di cifratura viene memorizzata nella Cloud Security Vault e fornita ai dispositivi inseriti nell'account dell'utente. Tale chiave di cifratura crittografata può essere decrittografata solamente sul dispositivo, per essere successivamente utilizzata come chiave di cifratura delle informazioni.

Password principale complessa

Si consiglia di scegliere una Password principale complessa per l'account di Keeper. Questa Password principale non deve essere mai utilizzata al di fuori di Keeper. Gli utenti non devono mai condividere la loro Password principale con altri soggetti.

Autenticazione a due fattori

Per prevenire l'accesso non autorizzato alla vostra cassetta di sicurezza, ai siti Web e alle applicazioni, Keeper offre anche l'autenticazione a due fattori. L'autenticazione a due fattori è un metodo di autenticazione che richiede almeno due dei tre fattori di autenticazione: un fattore di conoscenza, un fattore di possesso e un fattore intrinseco. Per maggiori informazioni sull'autenticazione a due fattori, proseguite con questo link.

Keeper utilizza una cosa che conoscete (la vostra password) e una cosa che avete (il telefono in vostro possesso) per fornirvi un livello di sicurezza supplementare nel caso in cui la vostra password principale o il dispositivo siano compromessi. Per fare ciò, vengono generate delle TOTP (Time-based One-Time Password, password temporanee monouso).

Keeper genera una chiave segreta a 10 byte usando un generatore numerico casuale crittograficamente sicuro. Tale chiave resta valida per un minuto circa e viene inviata all'utente tramite SMS, Duo Security, RSA SecurID, applicazione TOTP, Google Authenticator o dispositivi indossabili compatibili con Keeper DNA, quali Apple Watch o Android Wear.

Usando Google Authenticator o altra applicazione TOTP sul vostro dispositivo mobile, il server di Keeper genera internamente un codice QR contenente la vostra chiave segreta che non viene mai comunicata a terze parti. Ogni volta che un utente disattiva e poi riattiva l'autenticazione a due fattori, viene generata una nuova chiave segreta.

Per attivare l'autenticazione a due fattori, aprite la schermata di Keeper DNA o Impostazioni della Web App di Keeper. I clienti di Keeper Business hanno l'opzione di imporre l'utilizzo dell'autenticazione a due fattori per accedere alla cassetta di sicurezza e i metodi di A2F supportati tramite la funzionalità di applicazione delle regole della console di amministrazione di Keeper.

Chiavi di sicurezza FIDO (U2F)

Keeper supporta i dispositivi a base hardware U2F compatibili con FIDO (le cosiddette chiavi di sicurezza) quali YubiKey utilizzati come secondo fattore di autenticazione. Le chiavi di sicurezza rappresentano un modo sicuro e conveniente di eseguire l'autenticazione a due fattori senza che l'utente debba inserire manualmente i codici a 6 cifre. È possibile configurare più chiavi di sicurezza per una sola cassetta. Per piattaforme che non supportano tali dispositivi, è possibile ricorrere ad altri metodi di A2F configurati. Per configurare una chiave di sicurezza e altri metodi di autenticazione a due fattori, aprire la schermata 'Impostazioni' dell'app di Keeper.

Accesso di emergenza (eredità digitale)

Keeper offre la possibilità di aggiungere fino a 5 contatti di emergenza a cui concedere l'accesso alla cassetta di sicurezza in caso di incidente o decesso dell'utente. Una volta trascorso un determinato periodo di attesa, il contatto di emergenza otterrà l'accesso alla cassetta di sicurezza dell'utente. La procedura di condivisione della cassetta è a zero-knowledge e la password principale dell'utente non verrà mai condivisa direttamente. La crittografia RSA viene utilizzata per condividere una chiave AES a 256 bit con il contatto di emergenza allo scadere del tempo di attesa impostato dall'utente proprietario. Pertanto, per accettare l'invito è necessario che il contatto di emergenza sia in possesso di un account di Keeper (e di una coppia di chiavi RSA pubblica/privata).

Recupero account

Durante la registrazione dell'account, agli utenti viene chiesto di selezionare una domanda e una risposta di sicurezza. Sempre durante la registrazione Keeper genera una chiave dati che viene utilizzata per crittografare e decrittografare le chiavi delle voci memorizzate per ognuna delle voci della cassetta di sicurezza. La chiave dati dell'utente viene crittografata con la password principale e ogni chiave della voce viene crittografata con la chiave dati. Ogni voce presente nella cassetta di sicurezza dell'utente ha chiavi delle voci diverse e personali.

Il recupero dell'account avviene tramite la memorizzazione di una seconda copia della chiave dati dell'utente, che viene crittografa con la domanda e la risposta di sicurezza. Per completare il recupero della cassetta di sicurezza, l'utente dovrà inserire un codice di verifica ricevuto per e-mail, insieme al codice di autenticazione a due fattori (se abilitato per l'account). Consigliamo di creare una domanda e una risposta di sicurezza molto forti nonché di attivare la funzione di autenticazione a due fattori di Keeper nella schermata 'Impostazioni'. L'autenticazione a due fattori può anche essere imposta agli utenti di Keeper Business tramite la console di amministrazione di Keeper.

Crittografia dei client

I dati sono cifrati e decifrati sul dispositivo dell'utente e non nella Cloud Security Vault. Chiamiamo questo processo "Cifratura locale" perché il client (iPhone, dispositivo Android, Web App, ecc.) esegue tutte le operazioni di cifratura. La Cloud Security Vault conserva un binario raw che non è di nessuna utilità per un malintenzionato. Anche in caso i dati fossero intercettati durante la trasmissione tra il client e la Cloud Security Vault, non potrebbero essere decifrati o utilizzati per attaccare o compromettere i dati privati dell'utente.

Per forzare o compromettere una chiave simmetrica a 256-bit sarebbe necessaria una potenza computazionale 2¹²⁸ volte più potente di una chiave a 128-bit. In teoria, sarebbe necessario un dispositivo che avrebbe bisogno di 3x10⁵¹ anni per esaurire lo spazio della chiave a 256-bit.

Condivisione

Ciascun utente possiede una coppia di chiavi RSA a 2048 bit che vengono usate per la condivisione. Le voci condivise sono crittografate con la chiave pubblica del destinatario. Il destinatario decrittografa i dati con la chiave privata. Ciò consente all'utente di condividere le voci esclusivamente con il destinatario designato, in quanto solo lui è in grado di decrittografarli.

Generazione della chiave

Keeper utilizza un algoritmo PBKDF2 con codice HMAC-SHA256 per convertire la Password principale dell'utente in una chiave di crittografia da 256 bit con minimo 1.000 round.

La chiave generata dalla Password principale non viene utilizzata direttamente per criptare i dati dell'utente, ma per criptare un'altra chiave (la "Chiave dati"). La Chiave dati viene usata per criptare i dati e altre chiavi di cifratura, quali la chiave privata RSA.

Qualsiasi chiave non direttamente generata dalla Password principale dell'utente viene generata da un generatore di numeri casuali sicuro dal punto di vista crittografico all'interno del dispositivo dell'utente, come, ad esempio, la chiave dati e la coppia di chiavi RSA. Essendo generate all'interno del dispositivo (e non nella Cloud Security Vault di Keeper), Keeper non ha visibilità nelle chiavi dell'utente.

Archiviazione della chiave

Tutte le chiavi segrete (come la chiave privata RSA e la chiave dati di ciascun utente) da memorizzare devono essere tutte criptate prima della loro archiviazione o trasmissione. Per decriptare tutte le chiavi è necessaria la Password principale dell'utente. Poiché Cloud Security Vault di Keeper non ha accesso alla Password principale, non possiamo decriptare nessuna delle tue chiavi o dei tuoi dati.

La Cloud Security Vault di Keeper

La Cloud Security Vault fa riferimento all'architettura software e di rete di proprietà di KSI che è fisicamente ospitata all'interno dell'infrastruttura di Amazon Web Services (AWS).

Quando l'utente sincronizza la sua cassetta di sicurezza con altri dispositivi del suo account, le informazioni binarie crittografate vengono inviate in un tunnel SSL crittografato e conservate nella Cloud Security Vault di Keeper in formato crittografato.

Versioni della voce

Keeper conserva una cronologia delle versioni completamente crittografata per ogni voce archiviata nella cassetta di sicurezza dell'utente, garantendo che nessuna informazione importante vada persa. Dall'applicazione client di Keeper è possibile esaminare la cronologia delle voci ed eseguire un ripristino di ogni singola voce presente nella cassetta. Se una password o un file archiviati in Keeper vengono modificati o eliminati, sarà comunque possibile eseguire un ripristino in un momento preciso nel tempo.

Keeper Business

Ai clienti che acquistano Keeper Business viene offerto un ulteriore livello di controllo sui propri utenti e dispositivi. Agli amministratori Keeper fornisce l'accesso a una console di amministrazione basata sul cloud che consente di avere pieno controllo di: formazione degli utenti (on-boarding), rimozione dei diritti di accesso di un utente (off-boarding), autorizzazioni in base al ruolo, amministrazione delegata, team, Active Directory/integrazione LDAP, autenticazione a due fattori, Single Sign-On e politiche di applicazione della sicurezza. Queste ultime sono completamente personalizzabili in Keeper, per organizzazioni di qualunque dimensione.

Ruoli, team, cartelle condivise e amministratore delegato

Keeper for Business offre un gruppo di comandi sicuro e solido per unità organizzative, ruoli, team e cartelle condivise. I potenti comandi di back-end di Keeper offrono i livelli di sicurezza più intensi insieme all'accesso con privilegi minimi e a un'amministrazione delegata completa.

A livello di crittografia, ogni voce (per es., password o credenziale) archiviata nella piattaforma di Keeper possiede un identificatore univoco (UID voce) e viene crittografata tramite una chiave. Ogni cartella condivisa, ogni team e ogni utente hanno una chiave apposita, mentre ogni ruolo che richiede la trasferibilità dell'account dell'utente possiede una chiave di applicazione del ruolo. I dati non utilizzati ma conservati nel dispositivo dell'utente vengono crittografati con la chiave dell'utente, la quale viene a sua volta crittografata dalla password principale dell'utente.

Le voci vengono aggiunte a una cartella condivisa tramite crittografia della chiave della voce con la chiave della cartella condivisa. Se le voci vengono condivise direttamente con un utente, la loro chiave viene crittografata con quella dell'utente. Gli utenti vengono aggiunti a una cartella condivisa tramite crittografia della chiave della cartella con la chiave dell'utente. I team vengono aggiunti alla cartella condivisa tramite crittografia della chiave della cartella con la chiave del team. Gli utenti vengono aggiunti al team tramite crittografia della chiave del team con la chiave dell'utente.

Per i ruoli che applicano la trasferibilità dell'account dell'utente:

la chiave di applicazione viene crittografata con quella di ogni amministratore autorizzato a effettuare il trasferimento.

(Nota: è possibile progettare il trasferimento di applicazioni separate per gruppi separati di utenti da parte di gruppi separati di amministratori.)

Le chiavi della cartella dell'account vengono generate (per utenti nel ruolo in cui è prevista l'applicazione) e crittografate con la chiave di applicazione. Tutte le chiavi relative alle voci e alle cartelle condivise di un utente vengono crittografate tramite la chiave della cartella dell'account.

Il trasferimento di un account viene effettuato bloccando e poi trasferendo ed eliminando l'account di un utente. In questo modo l'operazione non viene eseguita segretamente. Le chiavi e i metadati della cartella dell'account danno la possibilità di decrittografare i dati della voce, ma non di accederne direttamente. Pertanto, solo dopo la loro assegnazione a un individuo, le voci diventano utilizzabili da quell'individuo e nessun altro può accedervi.

La crittografia viene eseguita client-side e in nessun caso Keeper ha la possibilità di decrittografare le informazioni condivise o trasferite. Inoltre, la chiave dell'utente non verrà mai condivisa. Un utente rimosso da un team, da una cartella condivisa o dalla condivisione diretta non riceverà nuovi dati sul team, sulla cartella condivisa o sulla voce. Pertanto, sebbene venga compromessa insieme a quell'individuo, la chiave non è utilizzabile per ottenere l'accesso ai dati di base.

Diversi privilegi di amministratore potrebbero essere assegnati ad alcune parti dell'albero gerarchico per consentire ai membri con ruolo privilegiato di eseguire operazioni nella nostra console di amministrazione di Keeper.

Le politiche di applicazione server-side e client-side potrebbero riguardare i ruoli che dettano il comportamento del client per gruppi di individui.

I team consentono una facile distribuzione delle cartelle condivise a vari gruppi di utenti.

Active Directory / LDAP Bridge di Keeper

Keeper Bridge si integra con Active Directory e i server LDAP per quanto riguarda il provisioning e la formazione iniziale degli utenti. La comunicazione di Keeper Bridge viene dapprima autorizzata da un amministratore in possesso del privilegio di gestire il bridge. Una chiave di trasmissione viene generata e condivisa con Keeper per tutte le comunicazioni che seguiranno. Usando la chiave di trasmissione vengono autorizzate tutte le operazioni eseguite dal bridge, a eccezione dell'inizializzazione del bridge stesso. Tale chiave potrebbe essere rigenerata in qualsiasi momento e verrà sostituita ogni 30 giorni.

La chiave di trasmissione serve soltanto per la trasmissione; se compromessa, potrebbe essere necessario reinizializzarla o revocarla senza causare alcuna perdita di dati o autorizzazioni.

Keeper Bridge potrebbe non conferire privilegi a un ruolo o un utente, ma potrebbe aggiungere un utente a un ruolo con privilegi, finché non sono richieste chiavi di applicazione. Keeper Bridge potrebbe non portare se stesso o un utente al di sopra della parte dell'albero in gestione. Non tutte le operazioni sono disponibili con il Bridge: per esempio, è possibile disabilitare un utente attivo, ma non eliminarlo. Sarà l'amministratore a decidere se l'utente dovrà essere eliminato o trasferito.

Autenticazione Single Sign-On (SAML 2.0)

Keeper può essere configurato dai clienti Keeper Business in modo tale da autenticarsi e accedere alla propria cassetta di sicurezza usando i prodotti di identità SAML 2.0. Keeper è un fornitore di servizi pre-configurato in tutti i principali SSO Identity Provider quali Google Apps, Microsoft Azure, Okta, Ping Identity e altri. Il meccanismo utilizzato da Keeper per l'autenticazione in un ambiente zero-knowledge è l'implementazione del software (in attesa di brevetto) Keeper SSO Connect™. Keeper SSO Connect è un applicazione software che gli amministratori di Keeper Business installano sulla propria infrastruttura (sia in locale che nel cloud) e che funge da endpoint per il fornitore di servizi SAML 2.0. Quando attivata su una particolare unità dell'organizzazione, Keeper SSO Connect gestisce tutte le chiavi di crittografia per gli utenti finali Keeper Business. Una volta avvenuta l'autenticazione nel provider di identità Single Sign-On aziendale, l'utente accede a Keeper con le chiavi di crittografia richieste per decrittografare la propria cassetta di sicurezza. Il software di Keeper SSO Connect è compatibile con gli ambienti Windows, Mac e Linux.

SSO Connect di Keeper

Per mantenere la sicurezza zero-knowledge e assicurare un'esperienza SSO senza intoppi per gli utenti, l'SSO Connect di Keeper deve essere installato sul server del cliente. Gli ambienti Windows, Mac e Linux sono supportati in modo completo grazie alle modalità operative di distribuzione del carico (load balancing) ad alta affidabilità (High Availability, HA).

L'SSO Connect di Keeper genera e mantiene in automatico la password principale di ogni utente attivato, che è una chiave a 256 bit generata in modo casuale. Questa password principale viene crittografata con la chiave SSO, la quale a sua volta viene crittografata con la chiave dell'albero. La chiave SSO viene recuperata sul server all'avvio del servizio SSO Connect di Keeper, quindi decrittografata usando la chiave dell'albero, che è conservata a livello locale sul server per supportare l'avvio automatico del servizio. La comunicazione tra l'SSO Connect e la Cloud Security Vault di Keeper è protetta da una chiave di trasmissione.

BreachWatch

BreachWatch scansiona costantemente le vostre voci di Keeper per rilevare violazioni pubbliche dei dati e avvisarvi in tempo reale all'interno della vostra cassetta. BreachWatch ha un'architettura zero-knowledge che utilizza una serie di tecniche su più livelli per proteggere le informazioni dei nostri clienti. In breve:

1. Si utilizza una funzione di crittografia con hash e anonimizzazione sicura e con chiave di accesso per effettuare un confronto tra le password e un database contenente informazioni sugli account violati.
2. Le password dell'utente vengono elaborate con un modulo di sicurezza hardware (HSM) e una chiave segreta non esportabile prima di essere confrontate con le password violate o memorizzate sui server di BreachWatch.
3. Gli utenti di Keeper interagiscono con BreachWatch usando identificativi di BreachWatch anonimizzati e slegati da altri identificatori per gli utenti di Keeper.
4. BreachWatch suddivide i nomi utente e le password in servizi separati con identificativi diversi e anonimizzati per scollegare i nomi utente e i domini dalle password.
5. Gli utenti di BreachWatch non caricano mai le informazioni del dominio, ma soltanto i domini di download.

Figura 1. Il percorso di un'informazione hash con password di un cliente attraverso BreachWatch. Solo le password dotate di un HSM e di una chiave non esportabile vengono conservate sui server di BreachWatch. I clienti di BreachWatch utilizzano identificativi anonimizzati quando interagiscono con i server di BreachWatch.

Per creare un servizio sicuro, Keeper suddivide BreachWatch in tre servizi, ciascuno dei quali si occupa della verifica dei domini, dei nomi utente e delle password. Le applicazioni client di Keeper si mettono in contatto con ognuno di questi servizi di back-end utilizzando un'API REST crittografata.

Scansione dominio

Gli utenti di BreachWatch scaricano una lista di domini che risultano essere stati violati ed eseguono la verifica a livello locale.

Scansione nome utente e password

I dispositivi client si collegano ai server di BreachWatch e caricano una lista di nomi utente (o password) crittografati insieme a un identificatore casuale selezionato dal client (gli identificatori sono diversi per i servizi di verifica del nome utente e della password). Queste password crittografate vengono elaborate al momento del loro caricamento con HMAC tramite dispositivo HSM e una chiave segreta memorizzata nel dispositivo HSM contrassegnato come non esportabile (ovvero, il dispositivo HSM elaborerà soltanto il HMAC a livello locale e la chiave non può essere estratta). Le informazioni inserite con HMAC (nomi utente e password) vengono confrontate con i dataset delle violazioni elaborati con lo stesso HMAC e la stessa chiave. Qualsiasi corrispondenza viene segnalata al dispositivo del client e qualsiasi valore che non corrisponde viene memorizzato insieme all'identificativo anonimizzato del client.

Aggiungendo al sistema i nuovi nomi utente e le nuove password violati, questi vengono elaborati con HMAC nel dispositivo HSM, aggiunti al dataset di BreachWatch e confrontati con i valori del clienti già memorizzati. Tutte le corrispondenze trovate vengono incluse in una coda di messaggi per quell'identificativo del client.

Periodicamente i client si confrontano con BreachWatch e presentano i loro identificativi di BreachWatch. Tutti i messaggi in coda vengono scaricati, mentre i client caricano tutti i nomi utente e le password nuovi o modificati, i quali vengono elaborati nello stesso modo.

La sicurezza dei servizi di BreachWatch si basa sul modello "trust-on-first-use" (TOFU): ciò significa che i client devono presupporre che il server di BreachWatch non sia dannoso o nocivo (ovvero, non sia attivamente compromesso dall'attacco di un hacker) al momento di caricare i propri valori crittografati. Non appena tali valori vengono elaborati con un HSM, vengono anche protetti da eventuali tentativi di violazione offline. In altre parole, se un hacker sottrae un dataset di valori del client archiviati, non potrà violarli offline senza la chiave HMAC conservata nel dispositivo HSM.

Se viene rilevata la violazione di una password, il dispositivo client invia una stringa hash con combinazione nome utente+password ai server di BreachWatch, poi esegue lo stesso confronto hash con la chiave HMAC per determinare se una combinazione di nome utente+password era stata violata; in caso di esito positivo, i domini legati a quelle violazioni vengono riconsegnati al dispositivo client in modo che possa stabilire se c'è corrispondenza con nome utente+password+dominio. Se tutti e tre i parametri corrispondono sul dispositivo client, l'utente riceve un avviso sulla gravità della violazione.

BreachWatch Business

Quando BreachWatch viene attivata per i clienti professionali e aziendali, le cassette di sicurezza degli utenti finali vengono scansionate in automatico ogni volta che vi accedono con Keeper. I dati di riepilogo di BreachWatch scansionati sul dispositivo dell'utente vengono crittografati con la chiave pubblica aziendale e decrittografati dall'amministratore aziendale quando accede alla console di amministrazione di Keeper. Tra le informazioni crittografate vi sono l'indirizzo e-mail, il numero di voci a rischio, il numero di voci risolte e il numero di voci ignorate. L'amministratore di Keeper è in grado di visualizzare le statistiche riepilogative a livello utente all'interno dell'interfaccia utente della console di amministrazione.

Registrazione e segnalazione degli eventi

Quando integrati con il Modulo per segnalazioni e avvisi avanzati, i dispositivi dell'utente finale di Keeper possono anche essere configurati per trasmettere eventi dettagliati in tempo reale alle soluzioni SIEM di terze parti e all'interfaccia di segnalazione della console di amministrazione di Keeper. Tra le informazioni sull'evento sono inclusi l'indirizzo e-mail, l'identificativo univoco (UID) della voce, l'indirizzo IP e le informazioni sul dispositivo (ma non sono incluse le informazioni delle voci decrittografate, poiché Keeper è una piattaforma zero-knowledge e non può decrittografare i dati degli utenti).

Di regola, le informazioni dettagliate degli eventi di BreachWatch non vengono inviate al Modulo per segnalazioni e avvisi avanzati né a qualsiasi sistema di accesso esterno collegato. Per attivare la segnalazione a livello di evento delle informazioni di BreachWatch al Modulo per segnalazioni e avvisi avanzati è necessario abilitare la politica di applicazione del ruolo all'evento alla voce del ruolo specifico > Impostazioni relative all'applicazione > schermata Funzionalità della cassetta. Una volta attivata, i dispositivi client dell'utente finale inizieranno a inviare le informazioni sull'evento. Poiché l'integrazione con le soluzioni SIEM di terze parti viene trasmessa dal backend di Keeper alla soluzione SIEM di destinazione, le informazioni sull'evento vengono rese leggibili dalla soluzione SIEM di destinazione e possibilmente utilizzate per identificare le voci e gli utenti di un'organizzazione con password ad alto rischio. Se l'amministratore di Keeper non desidera trasmettere le informazioni sull'evento a livello di voce al Modulo per segnalazioni e avvisi avanzati, tale impostazione può essere lasciata disabilitata.

Modalità offline

La Modalità offline consente agli utenti di avere accesso alla propria cassetta di sicurezza quando non possono connettersi online a Keeper o al loro fornitore di identità SSO. Tale possibilità è disponibile nell'app per dispositivi mobili, nell'applicazione per desktop di Keeper ed è estesa ai più diffusi browser Web per gli utenti Business.

Tale possibilità funziona facendo una copia della cassetta di sicurezza sul dispositivo locale dell'utente. Le informazioni conservate offline nella cassetta vengono crittografate in AES-GCM con una "chiave client" a 256 bit generata in modo casuale e protetta da PBKDF2-HMAC-SHA512 con un massimo di 100.000 iterazioni e del valore sale casuale. Il valore sale e le iterazioni vengono conservate in locale. Quando l'utente inserisce la sua password principale, una chiave viene generata usando il valore sale e le iterazioni e viene effettuato un tentativo per decrittografare la chiave client. Questa viene quindi utilizzata per decrittografare la cache della voce conservata. Se attivata nella cassetta dell'utente, la protezione con auto-distruzione elimina in automatico tutti i dati conservati in locale nella cassetta dopo 5 tentativi falliti di accesso.

Architettura di rete

KSI utilizza Amazon AWS in America del Nord e in Europa per la separazione geografica e la privacy dei dati locali al fine di ospitare e gestire Keeper e la sua architettura. KSI utilizza Amazon AWS per l'hosting e l'operatività della soluzione e dell'architettura Keeper. L'uso di Amazon AWS permette a Keeper di scalare in modo ottimale le risorse on-demand e fornire ai clienti l'ambiente di cloud storage più veloce e sicuro. KSI opera sia su ambienti multi-zona che su ambienti multi-regione per massimizzare i tempi di operatività e fornire il minor tempo di risposta ai clienti.

Autenticazione del server

La Cloud Security Vault di Keeper è protetta da una API che effettua l'autenticazione di ogni richiesta ricevuta dal dispositivo client. Sul dispositivo client, una "Chiave di autenticazione" a 256 bit viene derivata dalla password principale utilizzando PBKDF2-HMAC-SHA256 e un valore sale casuale. Un "Hash di autenticazione" viene generato effettuando l'hash crittografico della "Chiave di autenticazione" con SHA-256. Per accedere, l'Hash di autenticazione viene confrontato con quello conservato nella Cloud Security Vault. Dopo l'accesso, un token di sessione viene generato e utilizzato dal dispositivo client per le successive richieste. Tale token di autenticazione deve essere rinnovato ogni 30 minuti o a ogni richiesta del server.

Crittografia Transport Layer

KSI supporta SSL a 256 bit e a 128 bit per la crittografia di tutti i trasferimenti di dati tra l'applicazione client e lo storage nel cloud di KSI. Si tratta dello stesso livello di crittografia utilizzato ogni giorno da milioni di singoli e aziende per le transazioni web sicure, come banking online, shopping online, scambi azionari, accesso a informazioni sanitarie e presentazione delle dichiarazioni fiscali.

KSI implementa i certificati TLS firmati da Digicert utilizzando SHA2, l'algoritmo di firma più sicuro attualmente offerto dalle autorità di certificazione commerciali. SHA2 è notevolmente più sicuro del più diffuso SHA1, potenzialmente soggetto a exploit a causa di una debolezza matematica identificata nell'algoritmo. SHA2 aiuta a proteggervi dall'emissione di certificati contraffatti che potrebbero essere utilizzati da un utente malintenzionato per impersonare un sito web.

KSI supporta inoltre Certificate Transparency (CT), una nuova iniziativa promossa da Google per creare un record verificabile pubblicamente dei certificati firmati dalle autorità di certificazione. CT rende più facile proteggersi dall'emissione di certificati da parte di soggetti non autorizzati. CT è attualmente supportato nelle versioni più recenti del browser web Chrome. Per ulteriori informazioni su Certificate Transparency è possibile collegarsi all'indirizzo: http://www.certificate-transparency.org/

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_RSA_WITH_AES_256_CBC_SHA256

Key Pinning

I client nativi di Keeper implementano HTTP Public Key Pinning (HPKP), un meccanismo di sicurezza che consente ai siti Web HTTPS di resistere agli attacchi di impersonificazione che utilizzano certificati fraudolenti.

Protezione dagli attacchi alla cross-site scripting (XSS)

La cassetta Web di Keeper implementa una severa politica di sicurezza dei contenuti che limita l'arrivo di richieste dall'esterno e impedisce l'esecuzione di qualsiasi script, ad eccezione di quelli esplicitamente originati da Keeper, inclusi gli script inline e gli attributi HTML di gestione degli eventi, riducendo o eliminando la maggior parte dei vettori degli attacchi alla cross-site scripting (XSS).

L'accesso ai nomi di dominio KeeperSecurity.com e KeeperSecurity.eu è limitato al protocollo HTTPS con TLS v1.2 e viene imposto dalla procedura di sicurezza rigida per il trasporto di HTTP (HTST). In questo modo si impedisce l'intercettazione di una vasta serie di pacchetti (sniffing), la modifica dei dati e gli attacchi MITM (man in the middle).

All'interno dell'estensione per browser di Keeper, Keeper non chiederà ai propri utenti di accedere alla cassetta di sicurezza dall'interno dell'area della pagina di memoria. L'accesso all'estensione avviene nell'area della barra degli strumenti dell'estensione per browser. L'accesso alla cassetta di sicurezza dal browser Web avverrà sempre o nei domini KeeperSecurity.com e KeeperSecurity.eu oppure nella barra degli strumenti dell'estensione per browser di Keeper che esiste al di fuori della pagina contenuto.

L'estensione per browser di Keeper su Chrome, Firefox, Edge e Opera utilizza iFrames per l'inserimento delle informazioni delle voci nella schermata di accesso dei siti Web affinché nessun sito Web dannoso abbia accesso al contenuto inserito. Il contenuto delle voci inserito in iFrames è inoltre limitato alle voci conservate nella cassetta di sicurezza dell'utente che corrispondono al dominio del sito Web target. Keeper non offrirà la compilazione automatica delle informazioni di accesso o delle password se non nel caso in cui il dominio del sito Web corrisponda al campo del dominio del sito Web della voce presente nella cassetta di sicurezza di Keeper.

L'estensione per Internet Explorer utilizza una finestra dell'applicazione nativa separata per l'accesso all'applicazione e alle voci. Tali finestre separate non sono soggette agli attacchi XSS perché non accessibili dal browser. In questo modo l'estensione in Internet Explorer offre una finestra di accesso dall'interno della pagina. L'estensione non visualizza le voci se non quando queste corrispondono al dominio radice dell'indirizzo del sito Web.

Le estensioni per browser di terze parti possono presentare autorizzazioni elevate nei browser Web e accedere alle informazioni dall'interno della pagina. Pertanto, si consiglia agli amministratori di Keeper di impedire agli utenti l'installazione di estensioni per browser di terze parti non approvate dal relativo app store.

Conformità e verifiche

Certificato di conformità SOC 2

Le voci presenti nella cassetta di sicurezza del cliente vengono protette utilizzando operazioni di controllo interne severe e severamente monitorate. Keeper ha ottenuto certificazioni per i report SOC 2 di tipo 2 in conformità con lo standard AICPA per il reporting sui controlli alle organizzazioni che forniscono servizi. La certificazione SOC 2 contribuisce a garantire che la cassetta di sicurezza sia sempre al sicuro tramite l'implementazione di controlli standardizzati previsti dallo standard AICPA per i principi sui servizi di affidabilità.

Certificazione ISO 27001 (Sistemi di gestione della sicurezza delle informazioni)

Keeper è certificata ISO 27001 per il Sistema di gestione della sicurezza delle informazioni di Keeper Security, che supporta la piattaforma di Keeper Enterprise. Tale certificazione si propone di includere la gestione e le funzionalità della cassetta di sicurezza digitale e del servizio in cloud, lo sviluppo del software e delle applicazioni, nonché la protezione delle risorse digitali nella cassetta di sicurezza digitale e nel cloud.

Conformità al GDPR

Keeper si è adeguata al GDPR e si impegna a garantire ai suoi clienti nell'Unione Europea che le procedure aziendali adottate e i suoi prodotti continuino a essere conformi. Fare clic qui per maggiori informazioni sulla conformità di Keeper al GDPR e scaricare gli accordi sul trattamento dei dati.

Protezione delle informazioni medico-sanitarie dei pazienti

Il software di Keeper è conforme agli standard globali sulla protezione delle informazioni medico-sanitarie, che comprendono, senza limitazioni, la normativa statunitense HIPAA (Health Insurance Portability and Accountability Act) e la legge sulla protezione dei dati (Data Protection Act o DPA).

Test di penetrazione

Keeper effettua dei test di penetrazione periodici su tutti i prodotti e sistemi con degli esperti esterni tra cui Secarma, Rhino Security e dei ricercatori sulla sicurezza indipendenti. Inoltre Keeper ha stretto accordi di collaborazione con Bugcrowd per gestire il proprio programma di divulgazione delle vulnerabilità (VDP, vulnerability disclosure program).

Scansione di sicurezza esterna e test di penetrazione

KSI viene testato quotidianamente da McAfee Secure per garantire che l'applicazione Web di Keeper e il Cloud Security Vault di KSI siano protetti da exploit remoti, vulnerabilità e attacchi denial-of-service noti. I badge McAfee Secure sul sito Web di Keeper garantiscono lo svolgimento di test giornalieri del sito Web di Keeper, dell'applicazione Web, e del Cloud Security Vault.

Una scansione di sicurezza esterna completa viene eseguita mensilmente sul sito Web di Keeper, sull'applicazione Web e sul Cloud Security Vault di Keeper da parte di McAfee Secure. Il personale di Keeper svolge periodicamente scansioni esterne on-demand tramite McAfee Secure. Lo staff di Keeper avvia periodicamente scansioni esterne su richiesta tramite McAfee Secure.

Elaborazione dei pagamenti e conformità PCI

KSI utilizza PayPal Payments Pro per elaborare in modo sicuro i pagamenti tramite carta di credito e di debito dal sito Web di pagamento KSI. PayPal Payments Pro è una soluzione di elaborazione delle transazioni conforme allo standard PCI-DSS.

KSI ha conseguito la certificazione di conformità PCI-DSS da McAfee Secure.

EU-US Privacy Shield

Il Web client, l'App per Android, l'App per Windows Phone, l'App per iPhone/iPad e le estensioni per browser di Keeper hanno conseguito la certificazione di conformità con il programma EU-U.S. Privacy Shield dell'U.S. Department of Commerce, soddisfacendo i requisiti della direttiva della Commissione Europea in materia di protezione dei dati.
Per ulteriori informazioni sul programma EU-U.S. Privacy Shield dell'U.S. Department of Commerce, vedere https://www.privacyshield.gov

Licenza ai sensi dell'EAR concessa dall'U.S. Department of Commerce Export

Keeper è certificato dall'U. S. Department of Commerce Bureau of Industry and Security nell'ambito dell'Export Commodity Classification Control numero 5D992, in conformità con le normative Export Administration Regulations (EAR).
Per saperne di più su EAR: http://www.bis.doc.gov

Monitoraggio remoto 24 su 24, 7 giorni su 7

Keeper è monitorato 24 ore al giorno, sette giorni alla settimana, tutto l'anno da un network esterno globale che assicura che il nostro sito internet e la nostra Cloud Security Vault siano disponibili in tutto il mondo.

Se hai domande a proposito di questa comunicazione di sicurezza, non esitare a contattattarci.

Email di phishing o falsificate

Se ricevi un messaggio email che dichiara di essere stato inviato da KSI e non sei sicuro che sia legittimo, potrebbe trattarsi di un'"email di phishing", nella quale l'indirizzo email del mittente è stato falsificato o "spoofed". In questo caso, un'email potrebbe contenere dei link a un sito Web identico a KeeperSecurity.com ma che non è il nostro sito. Il sito Web potrebbe richiedere l'inserimento della tua password principale di Keeper Security o tentare di installare software indesiderati sul tuo computer nel tentativo di rubare informazioni personali o ottenere l'accesso al tuo computer. Altre email contengono dei link che potrebbero reindirizzarti ad altri siti Web potenzialmente pericolosi. Il messaggio può inoltre comprendere degli allegati, solitamente contenenti software indesiderati chiamati "malware". In caso di dubbi sulla provenienza di un'email ricevuta nella casella di posta in arrivo, eliminala senza fare clic su alcun link o aprire eventuali allegati.

Se vuoi segnalare un'email che ritieni sia stata falsificata in modo da farla apparire come se fosse stata inviata da KSI o in caso di altri dubbi sulla sicurezza che coinvolgono altri aspetti relativi a KSI, contattaci.

Infrastruttura di hosting certificata secondo gli standard più rigidi del settore

Il sito Web di Keeper e il cloud storage sono compatibili con l'infrastruttura di cloud computing Amazon Web Services (AWS). L'infrastruttura cloud AWS che ospita l'architettura del sistema di Keeper ha ottenuto la certificazione di conformità con i seguenti attestati, rapporti e certificazioni di terze parti:

• SOC 1 / SSAE 16 / ISAE 3402
  (SAS70)
• SOC 2
• SOC 3
• PCI DSS Level 1
• ISO 27001
• FedRamp
• DIACAP
• FISMA
• ITAC
• FIPS 140-2
• CSA
• MPAA

Segnalazione vulnerabilità e programma Bug Bounty

Keeper Security si impegna ad applicare le migliori strategie del settore per una divulgazione responsabile dei potenziali problemi relativi alla sicurezza. Noi di KSI prendiamo molto seriamente la vostra sicurezza e la vostra riservatezza e ci impegniamo a proteggere la privacy e i dati personali dei nostri clienti. La missione di KSI è quella di realizzare le app sulla sicurezza più sicure e innovative del mondo ed è convinta che la segnalazione dei problemi da parte di tutti i ricercatori della comunità mondiale sulla sicurezza sia un fattore prezioso per garantire la sicurezza dei prodotti e dei servizi offerti da KSI.

Proteggere i nostri clienti è il valore principale della nostra azienda. Per noi è importante il contributo dei cosiddetti "hacker etici" e crediamo che coltivare con costanza una relazione con la community degli hacker possa aiutarci a garantire la sicurezza e la privacy dei nostri clienti e a rendere Internet un luogo più sicuro. Ciò include l'incoraggiamento a effettuare test di sicurezza responsabili e a divulgare le vulnerabilità della sicurezza.

Linee guida

La Politica di divulgazione delle vulnerabilità di Keeper stabilisce cosa aspettarsi quando si lavora con hacker etici nonché cosa aspettarsi da noi di Keeper Security.

Se il testing e le segnalazioni sulla sicurezza vengono effettuati secondo le linee guida di tale politica, noi di KSI:

• li consideriamo autorizzati in base alla legge statunitense sulle frodi e sugli abusi informatici (Computer Fraud and Abuse Act);
• li consideriamo non soggetti alla DMCA (Digital Millennium Copyright Act, legge statunitense sul copyright) e non emetteremo alcuna richiesta di risarcimento contro di voi per aver aggirato uno qualsiasi dei controlli di sicurezza o tecnologici;
• li consideriamo legali e non intenteremo o sosterremo nei vostri confronti alcuna azione legale riguardante questo programma;
• collaboreremo con voi per capire e risolvere in breve tempo il problema;
• riconosceremo pubblicamente i vostri contributi se sarete i primi a segnalare il problema e da parte nostra verrà effettuata una modifica al codice o alla configurazione in base al problema riscontrato e risolto.

Se in qualsiasi momento avete dubbi o incertezze sul test secondo un metodo coerente con le linee guide e l'ambito di applicazione di tale politica, contattateci all'indirizzo security@keepersecurity.com prima di procedere.

Per incoraggiare il testing etico sulla sicurezza e la divulgazione delle vulnerabilità scoperte, vi chiediamo di:

• evitare di violare la privacy, danneggiare l'esperienza degli altri utenti, interrompere i sistemi di produzione o aziendali e/o distruggere i dati;
• effettuare ricerche esclusivamente all'interno dell'ambito stabilito sopra e rispettare i sistemi e le attività che non rientrano in tale ambito.
• Contattateci immediatamente all'indirizzo security@keepersecurity.com in caso di dati utente riscontrati durante il test e
• concedeteci tempo a sufficienza per analizzare, confermare e risolvere il problema segnalato prima di divulgare pubblicamente qualsiasi punto debole scoperto.

Inviare una segnalazione

Keeper ha instaurato una partnership con Bugcrowd per la gestione del nostro programma di divulgazione delle vulnerabilità. Inviate le segnalazioni tramite [https://bugcrowd.com/keepersecurity].