close

Keeper bardzo poważnie podchodzi do kwestii ochrony Twoich informacji

Keeper wykorzystuje najlepsze w swojej klasie zabezpieczenia w celu ochrony Twoich informacji i ograniczenia ryzyka naruszenia danych.

Najlepsze w swojej klasie zabezpieczenia aplikacji Keeper

Prywatne hasło główne

TYLKO użytkownik zna swoje hasło główne i klucz służący do szyfrowania i deszyfrowania swoich informacji.

Szyfrowanie na głębokim poziomie

Dane użytkownika są szyfrowane i deszyfrowane na poziomie urządzenia, a nie na serwerach firmy Keeper lub w chmurze.

Najsilniejsze szyfrowanie

Keeper chroni informacje przy użyciu 256-bitowego szyfrowania AES i PBKDF2. Te metody szyfrowania są powszechnie uznawane za najsilniejsze.

Uwierzytelnianie wieloskładnikowe

Keeper obsługuje uwierzytelnianie wieloskładnikowe, logowanie biometryczne i funkcję Keeper DNA, która używa urządzeń osobistych — takich jak inteligentny zegarek — w celu potwierdzenia tożsamości użytkownika.

Bezpieczny i niezawodny sejf w chmurze

Keeper stosuje usługi Amazon AWS w różnych lokalizacjach geograficznych, aby zapewnić sprawne działanie sejfu Keeper, oraz architekturę gwarantującą klientom najszybsze i najbezpieczniejsze przechowywanie danych w chmurze. Nieużywane, jak również przesyłane dane są oddzielone od siebie w wybranym przez klienta globalnym centrum danych.

Omówienie

Firma Keeper Security , Inc. (KSI) z pasją rozwija oprogramowanie Keeper na urządzenia przenośne i komputery osobiste, aby zapewnić użytkownikowi jak najwyższy poziom zabezpieczeń danych. Miliony klientów bezpośrednich i firm zaufało już aplikacji Keeper w dziedzinie ochrony i dostępu do haseł i danych osobistych.
Oprogramowanie z rodziny Keeper jest nieustannie rozwijane i aktualizowane, aby zapewnić naszym klientom najnowsze rozwiązania technologiczne w dziedzinie zabezpieczeń. Na niniejszej stronie znajduje się omówienie architektury zabezpieczeń aplikacji Keeper, technik szyfrowania oraz środowiska serwerowego z najnowszej wersji aplikacji. Ponadto niniejszy dokument zawiera omówienie strony technicznej aplikacji, w tym metod szyfrowania i systemu zabezpieczeń.
Z naszą polityką prywatności oraz warunkami użytkowania można zapoznać się na naszej stronie internetowej, klikając na poniższe odnośniki:

Ochrona danych

Firma KSI nie ma dostępu do hasła głównego użytkownika ani też nie posiada dostępu do wpisów przechowywanych w sejfie aplikacji Keeper. Firma KSI nie może uzyskać zdalnego dostępu do urządzenia użytkownika ani też odszyfrować jego danych. Jedyne informacje, do których firma KSI posiada dostęp, to adres e-mail użytkownika, rodzaj urządzenia oraz szczegóły abonamentu (np. abonament Keeper Unlimited). W przypadku utraty bądź kradzieży urządzenia użytkownika, firma KSI może pomóc mu uzyskać dostęp do zaszyfrowanego pliku kopii zapasowej, dzięki któremu użytkownik będzie mógł odtworzyć swoje dane na nowym urządzeniu.

Informacje przechowywane i używane w aplikacji Keeper są dostępne wyłącznie użytkownikowi ze względu na to, że są natychmiastowo szyfrowane i odszyfrowywane na urządzeniu użytkownika – nawet w przypadku korzystania z aplikacji internetowej Keeper (Web App). Metoda szyfrowania, wykorzystana w aplikacji Keeper, to znany i godny zaufania algorytm AES (Advanced Encryption Standard) z 256-bitowym kluczem. AES z 256-bitowym kluczem to algorytm szyfrujący o standardzie wojskowym, który jest obecnie wykorzystywany przez rząd Stanów Zjednoczonych do szyfrowania wysoce poufnych danych. Zgodnie z broszurą CNSSP-15, wydaną przez Komisję ds. Systemów bezpieczeństwa narodowego, algorytm AES 256-bit jest dostatecznie bezpieczny, aby szyfrować za jego pomocą dane aż do ŚCIŚLE TAJNEGO poziomu poufności danych wg klasyfikacji rządu Stanów Zjednoczonych.

Klucze szyfrujące wykorzystywane do szyfrowania i odszyfrowywania wpisów użytkownika nie są przechowywane ani przesyłane do chmury aplikacji Keeper (Cloud Security Vault). Jednakże aby umożliwić synchronizację danych pomiędzy licznymi urządzeniami, przechowujemy w chmurze Cloud Security Vault zaszyfrowaną wersję klucza, która jest potem udostępniania urządzeniom przypisanym do konta użytkownika. Ten zaszyfrowany klucz można odszyfrować wyłącznie na urządzeniu w celu wykorzystania go jako klucza szyfrującego dane.

Ochrona danych

Silne hasło główne

Zalecamy używanie silnego hasła głównego do konta w aplikacji Keeper. Hasło główne aplikacji Keeper nie powinno być używane gdziekolwiek indziej. Użytkownicy nie powinni nikomu udostępniać swojego hasła głównego.

Uwierzytelnianie dwuskładnikowe

Aby chronić konto użytkownika przed nieuprawnionym dostępem, aplikacja Keeper oferuje także opcję uwierzytelniania dwuskładnikowego. Uwierzytelnianie dwuskładnikowe to rozwiązanie, które korzysta z dwóch lub więcej z trzech czynników uwierzytelniających: wiedzy, posiadania oraz nierozłączności. Więcej informacji na temat uwierzytelniania dwuskładnikowego znajdziesz tutaj.

Aplikacja Keeper wykorzystuje coś, co wiesz (Twoje hasło) oraz coś, co posiadasz (Twój telefon), aby zapewnić użytkownikom dodatkowe zabezpieczenie w przypadku utraty bądź przechwycenia przez osobę niepowołaną hasła głównego albo urządzenia.W tym celu generujemy tak zwane TOTPs (Time-based One-Time Passwords - Tymczasowe Hasła Jednokrotnego Użycia).

Aplikacja Keeper generuje 10-bitowy, tajny klucz przy pomocy kryptograficznie bezpiecznego generatora liczb losowych. Ten kod jest ważny przez około minutę. Kod jest wysyłany do użytkownika za pośrednictwem wiadomości SMS, narzędzia Google Authenticator lub urządzeń ubieralnych zgodnych z funkcją Keeper DNA.

Kiedy korzystasz z aplikacji Google Authenticator na swoim urządzeniu, na serwerze Keeper generowany jest kod QR zawierający Twój tajny klucz. Kod ten nie jest przekazywany żadnej niepowołanej osobie. Przy każdym włączeniu lub wyłączeniu opcji uwierzytelniania dwuskładnikowego generowany jest nowy, tajny klucz.

Aby włączyć uwierzytelnianie dwuskładnikowe, przejdź do ekranu Ustawienia w aplikacji internetowej Keeper.

Klucze bezpieczeństwa FIDO (U2F)

Keeper obsługuje sprzętowe klucze bezpieczeństwa do uwierzytelniania dwuskładnikowego kompatybilne z FIDO, takie jak YubiKey, spełniające rolę drugiej formy uwierzytelnienia. Klucze bezpieczeństwa zapewniają wygodny i bezpieczny sposób przeprowadzania uwierzytelniania dwuskładnikowego bez konieczności ręcznego wprowadzania przez użytkownika 6-cyfrowych kodów. Dla sejfu jednego użytkownika można skonfigurować kilka kluczy bezpieczeństwa. W przypadku platform, które nie obsługują kluczy bezpieczeństwa, użytkownicy mogą stosować inne metody uwierzytelniania dwuskładnikowego. Aby skonfigurować klucz bezpieczeństwa lub inne metody uwierzytelniania dwuskładnikowego, odwiedź sekcję „Ustawienia” w aplikacji Keeper.

Dostęp alarmowy (cyfrowe dziedzictwo)

Aplikacji Keeper daje możliwość dodania do 5 kontaktów alarmowych, które uzyskają dostęp do sejfu użytkownika na wypadek nadzwyczajnych okoliczności lub śmierci. Po upływie określonego czasu zwłoki kontakt alarmowy uzyska dostęp do sejfu użytkownika. Proces udostępniania sejfu odbywa się przy wykorzystaniu technologii „zero-knowledge”, a hasło główne użytkownika nigdy nie jest udostępniane kontaktowi alarmowemu. Po upływie czasu zwłoki określonego przez właściciela sejfu kontaktowi alarmowemu udostępniany jest 256-bitowy klucz AES. Stosuje się do tego szyfrowanie RSA. Z tego powodu, w celu zaakceptowania zaproszenia, kontakt alarmowy musi posiadać konto Keeper (oraz parę kluczy RSA: prywatny i publiczny).

Odzyskiwanie konta

Podczas rejestracji użytkownicy są proszeni o wybranie pytania zabezpieczającego i odpowiedzi na nie. Ponadto podczas rejestracji Keeper generuje klucz danych, który jest używany do szyfrowania i odszyfrowywania kluczy wpisów przechowywanych z poszczególnymi wpisami w sejfie. Klucz danych użytkownika jest szyfrowany przy użyciu hasła głównego, a każdy klucz wpisu jest szyfrowany przy użyciu klucza danych. Każdy wpis w sejfie użytkownika posiada indywidualny, niepowtarzalny klucz wpisu.

Odzyskiwanie konta polega na przechowywaniu kopii klucza danych użytkownika, który jest zaszyfrowany przy użyciu wybranego pytania zabezpieczającego i odpowiedzi na nie. Aby ukończyć odzyskiwanie konta, użytkownik musi wprowadzić kod weryfikacyjny wysyłany na adres e-mail oraz kod uwierzytelniania dwuskładnikowego (jeśli ta opcja jest włączona na danym koncie). Zalecamy utworzenie silnego pytania zabezpieczającego i odpowiedzi na nie, jak również włączenie funkcji uwierzytelniania dwuskładnikowego w sekcji Ustawienia. W przypadku klientów Keeper dla firm funkcję uwierzytelniania dwuskładnikowego można włączyć również za pośrednictwem konsoli administratora Keeper.

Szyfrowanie na urządzeniu

Dane są szyfrowane i odszyfrowywane na urządzeniu użytkownika, nie zaś w chmurze Cloud Security Vault. Nazywamy to „szyfrowaniem na urządzeniu klienta”, ponieważ urządzenie-klient (np. iPhone, urządzenie z systemem Android, aplikacja internetowa itd.) przeprowadza cały proces szyfrowania. W chmurze Cloud Security Vault jest przechowywany wyłącznie nieprzetworzony plik binarny, który jest w zasadzie bezużyteczny dla potencjalnych intruzów. Nawet jeżeli dane zostaną przechwycone podczas przesyłania ich między klientem a chmurą, nie można ich odszyfrować ani wykorzystać do ataku lub naruszenia prywatnych danych użytkownika.

Złamanie lub zhackowanie symetrycznego, 256-bitowego klucza wymagałoby 2128 razy większej mocy obliczeniowej niż złamanie klucza 128-bitowego. W teorii wymagałoby to wykorzystania urządzenia do złamania klucza przez 3x1051 lat, aby wyczerpać możliwe konfiguracje klucza 256-bitowego.

Szyfrowanie na urządzeniu

Udostępnianie

Każdy użytkownik posiada parę 2048-bitowych kluczy RSA, wykorzystywanych przy udostępnianiu. Udostępniane wpisy w sejfie są szyfrowane za pomocą klucza publicznego odbiorcy. Odbiorca odszyfrowuje wpis swoim kluczem prywatnym. Pozwala to na udostępnianie wpisów wyłącznie wybranemu odbiorcy, ponieważ tylko on będzie mógł je odszyfrować.

Generowanie klucza

Aplikacja Keeper korzysta z algorytmu PBKDF2 z funkcją HMAC-SHA256 do przetwarzania Hasła głównego użytkownika w 256-bitowy klucz szyfrujący z minimalną liczbą rund wynoszącą 1000.

Klucz wygenerowany na bazie hasła głównego nie jest bezpośrednio używany do szyfrowania danych użytkownika, lecz do zaszyfrowania kolejnego klucza ("Klucza danych"). Klucz danych jest z kolei używany podczas szyfrowania danych oraz innych kluczy, jak na przykład prywatnego klucza RSA.

Każdy klucz, który nie jest generowany bezpośrednio na podstawie hasła głównego, jest generowany przez kryptograficznie bezpieczny generator liczba losowych na urządzeniu użytkownika. Na przykład zarówno klucz danych, jak i para kluczy RSA są generowane na urządzeniu. Ponieważ klucze te są generowane na urządzeniu (a nie w chmurze Cloud Security Vault), Keeper nie ma żadnego wglądu w klucze użytkownika.

Przechowywanie klucza

Wszystkie tajne klucze, które muszą być przechowywane (jak np. prywatny klucz RSA każdego użytkownika lub klucz danych), są szyfrowane, zanim zostaną zapisane lub przesłane. Aby odszyfrować którykolwiek klucz, konieczne jest użycie hasła głównego użytkownika. Ponieważ chmura Cloud Security Vault aplikacji Keeper nie posiada dostępu do hasła głównego użytkownika, nie możemy odszyfrować Twoich kluczy ani danych.

Bezpieczny sejf w chmurze Keeper

Określenie „Cloud Security Vault” odnosi się do własnej architektury oprogramowania i sieci firmy KSI, która jest fizycznie hostowana przez infrastrukturę Amazon Web Services (AWS).

Kiedy użytkownik synchronizuje swój sejf aplikacji Keeper z innymi urządzeniami na swoim koncie, zaszyfrowane dane binarne są przesyłane przez zaszyfrowany tunel SSL i zapisywane w chmurze Cloud Security Vault aplikacji Keeper w zaszyfrowanym formacie.

Przechowywanie wersji wpisów

W aplikacji Keeper przechowywana jest pełna zaszyfrowana wersja historii każdego wpisu z sejfu użytkownika, co daje pewność, że nie stracisz nigdy żadnych istotnych danych. W aplikacji Keeper klienci mają dostęp do historii wpisu i mogą przywrócić dowolny wpis zapisany w sejfie. Jeśli zmieniono lub usunięto przechowywane hasło lub plik, można również skorzystać z przywracania do punktu w czasie.

Keeper Business

Klienci, którzy zakupili Keeper dla firm mają zapewniony dodatkowy poziom kontroli nad użytkownikami i urządzeniami. Administratorzy Keeper uzyskują dostęp do konsoli administracyjnej w chmurze, dzięki której mają pełną kontrolę nad wdrażaniem i usuwanie użytkowników. Konsola zapewnia również takie funkcje, jak zezwolenia oparte na roli, administracja delegowana, zespoły, integracja z Active Directory/LDAP, uwierzytelnianie dwuskładnikowe, pojedyncze logowanie oraz polityki dot. egzekwowania zasad w zakresie bezpieczeństwa. Polityki Keeper dot. egzekwowania zasad oparte na rolach są w pełni modyfikowalne i skalowalne, więc można je dostosować do organizacji o każdej wielkości.

Keeper Business

Role, zespoły, foldery udostępnione i delegowany administrator

Keeper for Business zapewnia zestaw bezpiecznych i niezawodnych narzędzi do zarządzania komórkami danej organizacji, rolami, zespołami i folderami udostępnionymi. Zaawansowane wewnętrzne narzędzia kontrolne aplikacji Keeper zapewniają niezawodny poziom kontroli gwarantujący pełną możliwość przydzielania minimalnego dostępu oraz delegowania pełnej roli administratora.

Na poziomie szyfrowania każdy wpis (np. hasło lub dane logowania) przechowywany w aplikacji Keeper posiada swój unikalny identyfikator (UID wpisu). Każdy wpis jest szyfrowany przy użyciu klucza wpisu. Foldery udostępnione mają przypisany klucz folderu udostępnionego, każdy zespół ma przypisany klucz zespołu i każdy użytkownik – klucz użytkownika. Każda rola, która wymaga przeniesienia konta użytkownika ma przypisany klucz wprowadzenia zasady. Dane nieaktywne na urządzeniu użytkownika są szyfrowane przy użyciu klucza użytkownika. Kluz użytkownika jest szyfrowany przy użyciu hasła głównego użytkownika.

Wpisy zostają dodane do folderów udostępnionych poprzez szyfrowanie klucza wpisu i klucza folderu udostępnionego. Wpisy zostają bezpośrednio udostępnione użytkownikowi poprzez szyfrowanie klucza wpisu i klucza użytkownika. Użytkownicy są dodawani do folderu udostępnionego poprzez szyfrowanie klucza folderu udostępnionego i klucza użytkownika. Zespoły są dodawane do folderu udostępnionego poprzez szyfrowanie klucza folderu udostępnionego i klucza zespołu. Użytkownicy są dodawani do zespołu poprzez szyfrowanie klucza zespołu i klucza użytkownika. .

Dla ról, które wymagają przeniesienia konta użytkownika:

Klucz wymuszania jest szyfrowany z kluczem każdego administratora, posiadającego uprawnienia przenoszenia kont.

(Uwaga: oddzielne wymuszenia stosowane w przypadku poszczególnych grup użytkowników mogą być desygnowane do przeniesienia przez oddzielne grupy administratorów.)

Klucze folderu konta są generowane (dla użytkowników, którym przypisana została rola podlegająca wymuszeniu) i szyfrowane przy pomocy klucza wymuszenia. Wszystkie wpisy i foldery udostępnione danego użytkownika mają przypisane swoje klucze szyfrowane z kluczem folderu konta.

Przenoszenie konta wygląda następująco: dane konto zostaje zamknięte, przeniesione, a następnie usuwa się pierwotne konto użytkownika. Dzięki temu operacja ta nie odbywa się bez wiedzy użytkowników. Klucze folderu konta i metadane zapewniają możliwość ewentualnego odszyfrowania wpisów, ale nie zezwalają na bezpośredni dostęp do nich. Dlatego użytkownik, któremu zostały przydzielone wpisy, może z nich korzystać dopiero po ich przydzieleniu. Żadna inna osoba nie ma dostępu do takich wpisów.

Cały proces szyfrowania odbywa się po stronie klienta i na poziomie aplikacji Keeper nie ma możliwości odszyfrowania udostępnianych lub przesyłanych informacji. Dodatkowo, nie udostępnia się kluczy użytkowników. Użytkownik usunięty z zespołu, folderu udostępnianego lub bezpośredniego udostępnienia nie będzie otrzymywał nowych danych i wpisów z zespołu, ani za pośrednictwem folderów udostępnianych. Z tego powodu, nawet jeśli klucz danego użytkownika zostanie naruszony, ten klucz nie jest używany do przydzielania dostępu do danych.

Poszczególnym elementom drzewa hierarchii można przydzielić kilka różnych pozwoleń administracyjnych, dzięki którym członkowie posiadający takie uprawnienia mogą przeprowadzać różne działania za pośrednictwem Kontroli administratora Keeper.

W odniesieniu do ról określających zachowanie klienta wobec grup użytkowników można stosować zarówno politykę wymuszeń po stronie klienta lub po stronie kilku stron.

Zespoły umożliwiają łatwe przydzielanie folderów udostępnionych grupom użytkowników.

Active Directory / LDAP Bridge aplikacji Keeper

Keeper Bridge integruje się z serwerami Active Directory i LDAP, co upraszcza wprowadzanie i wdrażanie użytkowników. Komunikacja Keeper Bridge jest najpierw autoryzowana przez administratora posiadającego uprawnienia zarządzania mostkiem. Klucz transmisji jest generowany i udostępniany dla wszystkich kolejnych komunikacji. Klucz transmisji jest stosowany w celu autoryzacji wszystkich operacji wykonywanych przez mostek z wyjątkiem jego uruchamiania. Klucz transmisji można wygenerować ponownie w dowolnej chwili. Klucz zmienia się automatycznie co 30 dni.

Klucz transmisji służy wyłącznie do transmisji, co oznacza, że dany klucz może zostać ponownie zainicjowany, a także unieważniony bez utraty jakichkolwiek danych czy pozwoleń.

Keeper Bridge może nie nadać uprawnień dla danej roli lub danemu użytkownikowi. Może też nadać użytkownikowi rolę z określonymi uprawnieniami pod warunkiem, że nie są do tego wymagane żadne klucze. Keeper Bridge nie może podnieść rangi swojej ani użytkownika ponad poziom, którym zarządza. Nie wszystkie operacje są dla niego dostępne, np. Bridge może wyłączyć aktywnego użytkownika, ale nie może go usunąć. To administrator decyduje, czy dany użytkownik ma zostać usunięty czy przeniesiony.

Uwierzytelnianie w formie pojedynczego logowania (SAML 2.0)

Klienci Keeper dla firm mogą skonfigurować aplikację Keeper tak, by uwierzytelnianie użytkownika podczas logowania do sejfu Keeper odbywało się przy użyciu standardowych produktów SAML 2.0. Keeper to dostawca usług skonfigurowany dla każdego głównego dostawcy tożsamości SSO, m.in. Google Apps, Microsoft Azure, Okta, czy Ping Identity. Mechanizm stosowany przez Keeper w celu zweryfikowania użytkownika podczas logowania do sejfu w środowisku „zero-knowledge” to rozwiązanie, oczekujące na przyznanie ochrony patentowej, zwane Keeper SSO Connect™ To oprogramowanie instalowane przez administratorów Keeper dla firm w ich własnej infrastrukturze (wewnętrznej lub w chmurze), które pełni funkcję punktu końcowego dla dostawcy usług SAML 2.0. Po aktywacji w określonej jednostce organizacyjnej Keeper SSO Connect zarządza wszystkimi kluczami szyfrującymi użytkowników końcowych aplikacji Keeper dla firm. Po skutecznej weryfikacji użytkownika do usług dostawcy tożsamości SSO dla firm następuje zalogowanie tego użytkownika do aplikacji Keeper przy użyciu niezbędnych kluczy szyfrujących służących do odszyfrowania jego sejfu. Oprogramowanie Keeper SSO Connect jest odpowiednie dla systemu Windows, Mac i Linux.

Keeper SSO Connect

Aby zachować bezpieczeństwo architektury „zero knowledge” oraz zapewnić użytkownikom bezproblemowe korzystanie z funkcji pojedynczego logowania SSO, konieczne jest zainstalowanie Keeper SSO Connect na serwerze klienta. Środowiska Windows, Mac i Linux z trybami operacyjnymi równoważenia obciążenia wysokiej niezawodności (HA) są w pełni obsługiwane.

Keeper SSO Connect automatycznie generuje i przechowuje hasło główne dla każdego zautoryzowanego użytkownika. Jest to generowany losowo 256-bitowy klucz. To hasło główne szyfrowane jest przy użyciu klucza SSO. Z kolei klucz SSO jest szyfrowany za pomocą klucza drzewa (Tree Key). Klucz SSO jest przywracany z serwera po uruchomieniu usługi Keeper SSO Connect, a następnie odszyfrowywany przy użyciu klucza drzewa, który jest przechowywany lokalnie na serwerze, aby umożliwić automatyczne uruchomienie usługi. Komunikacja między SSO Connect a chmurą aplikacji Keeper (Cloud Security Vault) jest zabezpieczana za pomocą klucza transmisji.

Ochrona przed atakami XSS (Cross-Site Scripting)

Sejf internetowy Keeper stosuje restrykcyjną politykę w zakresie bezpieczeństwa zawartości, która ogranicza źródło żądań wychodzących i zapobiega wykonywaniu wszystkich skryptów, z wyjątkiem tych, których źródłem jest Keeper, w tym skryptów wbudowanych i atrybutów HTML obsługujących zdarzenia. Tym samym ogranicza się lub eliminuje większość wektorów dla ataków XSS.


Dostęp do nazw domen: KeeperSecurity.com i KeeperSecurity.eu jest ograniczony do HTTPS z TLS v1.2 i wprowadzony przez mechanizm HTTP Strict Transport Security. Pozwala to zapobiec wielu atakom typu „packet sniffing” i „man-in-the-middle” oraz zmianom danych.


W ramach rozszerzenia przeglądarki Keeper użytkownicy nie będą otrzymywać propozycji logowania do swoich sejfów Keeper w obszarze strony. Logowanie do rozszerzenia odbywa się w obszarze paska zadań rozszerzenia przeglądarki w danej przeglądarce. Logowanie do sejfu w przeglądarce internetowej zawsze przebiega w domenie KeeperSecurity.com lub KeeperSecurity.eu, bądź z paska narzędzi rozszerzenia przeglądarki Keeper, który nie jest częścią strony zawartości.


Rozszerzenie przeglądarki firmy Keeper dla Chrome, Firefox, Edge i Opera korzysta z iFrames w celu wprowadzania danych z wpisu w ekranach logowania na stronach internetowych i zapewnienia, że żadna wroga strona internetowa nie ma dostępu do wprowadzanych treści. Dane logowania wprowadzone do iFrames są również ograniczone do wpisów przechowywanych w sejfach użytkowników, które odpowiadają domenie strony docelowej. Keeper nie będzie oferować automatycznego wypełniania loginów i haseł, chyba że domena strony odpowiada domenie strony przypisanej do wpisu w sejfie Keeper.


Rozszerzenie przeglądarki Internet Explorer do logowania i uzyskiwania dostępy do wpisów korzysta z oddzielnego okna aplikacji natywnej. Te oddzielne okna nie są narażone na ataki XSS, gdyż nie można uzyskać do nich dostępu z przeglądarki. Umożliwia to rozszerzeniu przeglądarki w Internet Explorer zapewnienie okna logowania wewnątrz strony. Rozszerzenie nie będzie wyświetlać wpisów, chyba że będą one odpowiadać głównej domenie adresu strony.


Zewnętrzne rozszerzenia przeglądarki mogą posiadać wyższe uprawnienia w przeglądarkach internetowych i uzyskiwać dostęp do informacji na danej stronie. Z tego powodu zaleca się, by administratorzy Keeper uniemożliwili użytkownikom instalowanie niezatwierdzonych zewnętrznych rozszerzeń przeglądarki ze sklepów internetowych.

Tryb off-line

Tryb off-line umożliwia użytkownikom uzyskanie dostępu do sejfu, wówczas gdy nie mogą połączyć się on-line z Keeper lub dostawcą tożsamości SSO. Funkcja ta jest dostępna w aplikacji mobilnej Keeper i aplikacji na komputery stacjonarne oraz w przypadku użytkowników biznesowych w popularnych przeglądarkach internetowych.


Jest to możliwe dzięki wykonaniu kopii sejfu na lokalnym urządzeniu użytkownika. Dane z sejfu przechowywane off-line są szyfrowane algorytmem AES-GCM przy użyciu generowanego losowo 256-bitowego „Klucza klienta”, który jest chroniony przez PBKDF2-HMAC-SHA512 z ponad 100 000 iteracji i przez losowy ciąg inicjujący. Ciąg inicjujący i iteracje są przechowywane lokalnie. Po wprowadzeniu hasła głównego przez użytkownika przy użyciu ciągu i iteracji tworzony jest klucz i podejmowana jest próba odszyfrowania Klucza klienta. Klucz klienta jest następnie używane w celu odszyfrowania pamięci podręcznej przechowywanego wpisu. Jeśli w opcjach sejfu użytkownika włączona jest ochrona poprzez samo-zniszczeniem, 5 nieudanych prób logowania spowoduje automatyczne usunięcie danych z sejfu przechowywanych lokalnie.

Architektura sieci

KSI korzysta z Amazon AWS w Ameryce Północnej i Europie w celu zapewnienia segregacji zlokalizowanych danych pod względem prywatności i obszaru geograficznego i umożliwić hostowanie i obsługiwanie rozwiązań i architektury aplikacji Keeper. Firma KSI korzysta z systemu Amazon AWS do hostingu i operowania rozwiązaniami i architekturą aplikacji Keeper. Wykorzystanie systemu Amazon AWS pozwala aplikacji Keeper na płynne skalowanie i przydzielanie zasobów w czasie rzeczywistym, dzięki czemu nasi klienci mogą korzystać z najszybszego i najbezpieczniejszego środowiska do przechowywania danych w chmurze. Firma KSI operuje zarówno w środowiskach wielostrefowych, jak i wieloregionowych, aby zmaksymalizować czas ciągłego działania serwerów i zapewnić klientom możliwie krótki czas odpowiedzi.

Architektura sieci

Uwierzytelnianie na serwerze

Cloud Security Vault firmy Keeper jest chroniony przez API, które uwierzytelnia każde żądanie pochodzące z urządzenia klienta. Na urządzeniu klienta 256-bitowy „klucz uwierzytelniający” jest generowany w oparciu o hasło główne przy użyciu PBKDF2-HMAC-SHA256 i losowego ciągu inicjującego. W wyniku operacji skracania hasła głównego przy użyciu SHA-256 powstaje „skrót autoryzacji”. Podczas logowania skrót autoryzacji jest porównywany ze skrótem autoryzacji przechowywanym w Cloud Security Vault. Po zalogowaniu zostaje wygenerowany token sesji, który jest stosowany przez klienta w późniejszych żądaniach. Ten token autoryzacyjny należy odnawiać co 30 dni lub na żądanie serwera.

Architektura sieci

Szyfrowanie przesyłu danych

Firma KSI korzysta ze 256-bitowego i 128-bitowego protokołu SSL do szyfrowania wszelkich danych, przesyłanych pomiędzy aplikacją a serwerem w chmurze. Protokół SSL 128-bit to ten sam standard szyfrowania, któremu na co dzień ufają miliony osób i firm do przeprowadzania transakcji internetowych, wymagających bezpieczeństwa, np. w bankowości online, sklepach online, transakcjach giełdowych, dostępie do danych medycznych pacjenta oraz wypełnianiu zeznań podatkowych.

KSI korzysta z certyfikatów TLS wystawionych przez Digicert przy użyciu algorytmu SHA2 – najbezpieczniejszego algorytmu podpisu oferowanego obecnie przez komercyjne firmy certyfikacyjne. SHA2 jest znacznie bezpieczniejszy niż popularniejszy SHA1, którego stosowanie może wiązać się z nadużyciami ze względu na zidentyfikowane przez algorytm niedociągnięcia pod względem matematycznym. SHA2 pomaga chronić przed wydawaniem fałszywych certyfikatów, które mogłyby zostać wykorzystane przez hakerów do podszywania się pod strony internetowe.

KSI stosuje również tzw. Technologię przejrzystości certyfikatów (Certificate Transparency – CT), która jest nową inicjatywą Google mającą na celu stworzenie dostępnego powszechnie spisu certyfikatów podpisanego przez firmy certyfikacyjne. CT ma pomagać w zapobieganiu wydawaniu certyfikatów przez nieupoważnione do tego podmioty i w chwili obecnej jest obsługiwana przez najnowsze wersje przeglądarki Chrome. Więcej informacji na temat przejrzystości certyfikatów można znaleźć na stronie internetowej: http://www.certificate-transparency.org/

  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_RSA_WITH_AES_256_CBC_SHA256

Przypinanie kluczy

Pierwotni klienci aplikacji Keeper wprowadzają mechanizm HTTP Public Key Pinning (HPKP). To mechanizm, który zabezpiecza strony działające w oparciu o protokół HTTPS przed próbami podszywania się przez atakujących, korzystających z sfałszowanych certyfikatów.

Pęk kluczy systemu iOS i Touch ID®

Funkcja Touch ID na urządzeniach z systemem iOS umożliwia dostęp do sejfu aplikacji Keeper na tych urządzeniach przy użyciu odcisku palca. Aby zapewnić tę wygodną funkcję, niemożliwa do odczytania wersja hasła głównego zostaje zapisana w pęku kluczy systemu iOS. Element pęku kluczy utworzony dla tej funkcji nie jest synchronizowany z pękiem kluczy w usłudze iCloud, przez co nie opuści urządzenia mobilnego z systemem iOS.

Zdecydowanie zaleca się, aby używać złożonego hasła głównego i włączyć uwierzytelnianie wieloskładnikowe w celu zapewnienia maksymalnego bezpieczeństwa zaszyfrowanego sejfu aplikacji Keeper. Funkcja Touch ID umożliwia wygodniejsze korzystanie ze złożonego hasła głównego na urządzeniu mobilnym z systemem iOS. Zaleca się także użycie kodu dłuższego niż 4 cyfry, aby zabezpieczyć pęk kluczy systemu iOS.

Pęk kluczy systemu iOS jest używany przez system iOS i aplikacje do bezpiecznego przechowywania poświadczeń. Aplikacje używają pęku kluczy systemu iOS do przechowywania różnych poufnych informacji, takich jak hasła do witryn internetowych, klucze, numery kart kredytowych i dane Apple Pay™. Keeper nie używa pęku kluczy systemu iOS do przechowywania wpisów aplikacji Keeper - wszystkie takie wpisy są zabezpieczone za pomocą 256-bitowego szyfrowania AES i bezpiecznie przechowywane w sejfie aplikacji Keeper. Także pęk kluczy systemu iOS jest zabezpieczony za pomocą 256-bitowego szyfrowania AES i kodu urządzenia. Nawet jeśli urządzenie zostanie utracone lub skradzione, bądź jeśli osoba atakująca uzyska fizyczny dostęp do urządzenia mobilnego, nie będzie mogła uzyskać dostępu do żadnych zapisanych danych aplikacji Keeper. Pęku kluczy systemu iOS nie można odszyfrować bez kodu, a sejfu aplikacji Keeper nie można odszyfrować bez należącego do użytkownika hasła głównego aplikacji Keeper.

Apple Watch®

Funkcja ulubionych na zegarku Apple Watch umożliwia wyświetlanie wybranych wpisów na sparowanym zegarku. Wpisy aplikacji Keeper muszą zostać jednoznacznie oznaczone w celu wyświetlania na zegarku Apple Watch. Sparowany zegarek Apple Watch komunikuje się z rozszerzeniem Keeper dla zegarka działającym transparentnie w przestrzeni piaskownicy, która jest niezależna od aplikacji Keeper dla systemu iOS. Rozszerzenie Keeper dla zegarka używa także pęku kluczy systemu iOS w celu bezpiecznego przechowywania i uzyskiwania dostępu do kluczy, aby umożliwić płynną i bezpieczną komunikację z aplikacją Keeper dla systemu iOS.

Keeper DNA®

Keeper DNA to nowy i innowacyjny dodatek do uwierzytelniania wieloskładnikowego. W przypadku użycia ze sparowanym zegarkiem Apple Watch, Keeper DNA zapewnia metodę uwierzytelniania wieloskładnikowego, która oferuje niezrównaną wygodę i bezpieczeństwo. Keeper DNA wykorzystuje bezpieczne tokeny zapisane w sejfie aplikacji Keeper do generowania kodów czasowych dla uwierzytelniania wieloskładnikowego. Takie czasowe żądania uwierzytelniania mogą być zatwierdzane i wysyłane automatycznie z zegarka Apple Watch przez dotknięcie ekranu zegarka bądź wprowadzane ręcznie przez użytkownika. Wiele warstw szyfrowania, funkcja Touch ID oraz uwierzytelnianie wieloskładnikowe sprawiają, że Keeper DNA to najbardziej elegancka, bezpieczna i zaawansowana metoda uwierzytelniania, jaka jest dostępna.

Zgodność i audyt

Posiadamy certyfikat SOC 2

Stosujemy rygorystyczne i dokładnie monitorowane procesy kontroli wewnętrznej, które pozwalają chronić wpisy użytkowników w sejfie. Aplikacja Keeper uzyskała certyfikat SOC 2 Type 2 zgodnie z wytycznymi Service Organization Control instytutu AICPA. Zgodność z SOC 2 oznacza, że sejf pozostaje bezpieczny dzięki wprowadzeniu standardowych procedur kontroli określonych w zasadach Trust Service Principles stworzonych przez instytut AICPA.

Certyfikat ISO 27001(System Zarządzania Bezpieczeństwem Informacji)

Keeper posiada certyfikat ISO 27001 w zakresie Systemu Zarządzania Informacjami Keeper Security, który obsługuje platformę Keeper Enterprise. Zakres certyfikatu ISO 27001, który posiada firma Keeper, obejmuje działanie sejfu cyfrowego i usług w chmurze oraz zarządzanie nimi, tworzenie oprogramowania i aplikacji oraz zabezpieczanie aktywów cyfrowych w sejfie cyfrowym i usługach w chmurze.

Zachowanie zgodności z GDPR

Keeper jest zgodny z rozporządzeniem RODO. Dbamy, by nasze procesy biznesowe i produkty zawsze były z nim zgodne, aby zapewnić zadowolenie naszych klientów z Unii Europejskiej. Kliknij tutaj, aby dowiedzieć się więcej o zgodności aplikacji Keeper z rozporządzeniem RODO i pobrać umowę o przetwarzaniu danych.

Ochrona danych medycznych pacjentów

Oprogramowanie Keeper jest zgodne ze światowymi standardami ochrony danych medycznych, w tym m.in. ustawy HIPAA (Health Insurance Portability and Accountability Act) oraz DPA (Data Protection Act).

Testy penetracyjne

Keeper przeprowadza testy penetracyjne wszystkich swoich produktów i systemów z udziałem niezależnych ekspertów, w tym: Secarma, Rhino Security oraz niezależnych badaczy w dziedzinie bezpieczeństwa. Dodatkowo współpracuje z Bugcrowd, który zarządza programem VDP – ujawniania luk w zabezpieczeniach.

Testy zabezpieczeń i skany zabezpieczeń prowadzone przez niezależne firmy

Serwery firmy KSI są codziennie skanowane za pomocą programu McAfee Secure, aby zapewnić bezpieczeństwo aplikacji internetowej Keeper oraz usługi Cloud Security Vault przed obecnością obcych programów, mogących próbować wykorzystać luki w oprogramowaniu („exploits”), wszelkich luk w zabezpieczeniach oraz przed próbami ataków mających na celu przeciążenie serwera („Denial of service”). Na stronie internetowej aplikacji Keeper znajduje się certyfikat McAfee Secure, który potwierdza codzienne przeprowadzanie skanów strony internetowej aplikacji, aplikacji internetowej oraz chmury Cloud Security Vault.

Na stronie internetowej, aplikacji internetowej oraz usłudze Cloud Security Vault co miesiąc przeprowadzany jest dokładny, zewnętrzny skan bezpieczeństwa, prowadzony przez firmę McAfee Secure. Pracownicy firmy Keeper co jakiś czas korzystają z usług firmy McAfee Secure do przeprowadzania zewnętrznych skanów na żądanie.

Przetwarzanie płatności i zgodność z PCI

Firma KSI korzysta z usługi PayPal Payments Pro do bezpiecznego przetwarzania płatności kartami kredytowymi i debetowymi na stronie KSI. PayPal Payments Pro to zgodna ze standardem PCI-DSS usługa do przetwarzania danych transakcyjnych.

Firma KSI posiada certyfikat zgodności ze standardem PCI-DSS od McAfee Secure.

EU-US Privacy Shield

Aplikacja Keeper w wersji internetowej, na systemy Android, na systemy Windows Phone oraz wersji na iPhone'a/iPada oraz jako rozszerzenie przeglądarki posiada certyfikat zgodności z rozporządzeniem EU Privacy Shield, wydany przez program EU-U.S. Privacy Shield ministerstwa handlu Stanów Zjednoczonych (U.S. Department of Commerce). Oznacza to, że aplikacja Keeper spełnia wymagania rozporządzenia o ochronie danych wydanego przez Komisję Europejską.
Więcej informacji na temat programu Privacy Shield (U.S.-EU) znajdziesz tutaj: https://www.privacyshield.gov

Produkt eksportowy licencjonowany przez ministerstwo handlu Stanów Zjednoczonych (U.S. Department of Commerce) zgodnie z rozporządzeniem EAR

Keeper jest produktem certyfikowanym przez biuro przemysłu i bezpieczeństwa (Bureau of Industry and Security) ministerstwa handlu Stanów Zjednoczonych (U.S. Department of Commerce) pod numerem kontrolnym klasyfikacji towarów eksportowych 5D992 zgodnie z rozporządzeniem EAR (Export Administration Regulations).
Więcej informacji na temat rozporządzenia EAR znajdziesz tutaj: http://www.bis.doc.gov

Całotygodniowy, zdalny monitoring

Keeper jest zdalnie monitorowany 24 godziny na dobę, 7 dni w tygodniu przez niezależną sieć monitorującą o światowym zasięgu, aby zapewnić dostęp do naszej strony oraz usługi Cloud Security Vault na całym świecie.

Jeżeli masz pytania pytania dotyczące zabezpieczeń związanych z monitoringiem, skontaktuj się z nami.

Wyłudzanie informacji za pośrednictwem poczty elektronicznej

Jeżeli otrzymasz wiadomość email, której rzekomym nadawcą jest firma KSI, a nie masz pewności, że tak faktycznie jest, może być to wiadomość mająca na celu oszukanie odbiorcy poprzez „podszycie się” pod adres email nadawcy („phishing”/„spoofing”). W takim przypadku wiadomość może zawierać odnośnik do strony internetowej, która przypomina wyglądem stronę KeeperSecurity.com, ale nią nie jest. Strona może prosić o podanie hasła głównego aplikacji Keeper Security lub próbować zainstalować niepożądane oprogramowanie na komputerze użytkownika w celu uzyskania do niego dostępu lub kradzieży danych osobowych. Inne wiadomości tego typu mogą zawierać łączą przekierowujące do innych potencjalnie niebezpiecznych stron internetowych. Mogą też zawierać załączniki, które z reguły zawierają złośliwe oprogramowanie („malware”). Jeżeli nie masz pewności co do autentyczności otrzymanej wiadomości email, należy ją usunąć, nie klikając na zawarte w niej odnośniki i nie otwierając zawartych w niej załączników.

Jeżeli chcesz zgłosić otrzymanie wiadomość email, której nadawca Twoim zdaniem podszywa się pod firmę KSI, lub masz inne wątpliwości dotyczące innych obszarów działalności firmy KSI, skontaktuj się z nami.

Infrastruktura serwerowa certyfikowana zgodnie ze ścisłymi standardami branży

Strona Keeper oraz chmura danych działają w oparciu o bezpieczną infrastrukturę chmurową Amazon Web Services (AWS). Infrastruktura chmury AWS, na której znajduje się architektura systemu Keeper, posiada udokumentowaną zgodność z raportami, orzeczeniami i certyfikatami następujących stron trzecich:

  • SOC 1 / SSAE 16 / ISAE 3402
    (SAS70)
  • SOC 2
  • SOC 3
  • PCI DSS Level 1
  • ISO 27001
  • FedRamp
  • DIACAP
  • FISMA
  • ITAC
  • FIPS 140-2
  • CSA
  • MPAA

Zgłaszanie luk w zabezpieczeniach i program „bug bounty”

Firma Keeper Security przestrzega najlepszych praktyk w branży pod względem odpowiedzialnego informowania o potencjalnych problemów z bezpieczeństwem. Podchodzimy do Twojego bezpieczeństwa i prywatności bardzo poważnie i zależy nam na ochronie prywatności naszych klientów i ich danych osobowych. Misją firmy KSI jest zbudowanie najbezpieczniejszych i najbardziej innowacyjnych aplikacji w zakresie zabezpieczeń i wierzymy, że zgłaszanie luk przez międzynarodową społeczność jest cennym składnikiem, pozwalającym zapewnić bezpieczeństwo produktów i usług oferowanych przez KSI.


Zapewnianie bezpieczeństwa naszym użytkownikom jest kluczową wartością naszej firmy. Doceniamy wkład hakerów działających w dobrej wierze i jesteśmy zdania, że długoterminowa relacja ze społecznością hakerską pomoże nam zapewnić naszym użytkownikom zachowanie bezpieczeństwa i prywatności i sprawić, że Internet stanie się bezpieczniejszym miejscem. W skład tych działań wchodzi odpowiedzialne testowanie bezpieczeństwa i ujawnianie luk w zabezpieczeniach.

Wskazówki

Polityka Keeper w zakresie ujawniania luk w zabezpieczeniach określa nasze oczekiwania podczas pracy z hakerami działającymi w dobrej wierze oraz precyzuje, czego możesz spodziewać się od nas.

Jeśli testowanie i raportowanie odbywa się zgodnie z wytycznymi tej polityki:

  • uznajemy je za dozwolone zgodnie z ustawą o oszustwach i nadużyciach komputerowych (Computer Fraud and Abuse Act);
  • uznajemy je za wyłączone z DMCA i nie pozwiemy Cię za obejście jakichkolwiek kontroli bezpieczeństwa i kontroli technologii;
  • uznajemy je za legalne i nie będziemy wnosić ani wspierać jakichkolwiek spraw sądowych przeciwko Tobie w związku z tym programem;
  • będziemy z Tobą współpracować w celu zrozumienia i szybkiego rozwiązania problemu;
  • Twój wkład zostanie podany do wiadomości publicznej, jeśli zgłosisz problem jako pierwszy/pierwsza i na jego podstawie zmienimy kod lub konfigurację.

Jeśli w dowolnym momencie będziesz mieć wątpliwości w kwestach związanych z testowaniem w sposób zgodny z wytycznymi i zakresem tej polityki, skontaktuj się z nami pod adresem: security@keepersecurity.com zanim rozpoczniesz testowanie.

Aby zachęcać do testowania zabezpieczeń i ujawniania w dobrzej wierze odkrytych luk, oczekujemy, że:

  • nie będziesz naruszać prywatności, wpływać negatywnie na korzystanie z aplikacji przez użytkowników, zakłócać systemów produkcyjnych lub korporacyjnych, niszczyć danych;
  • będziesz prowadzić sprawdzanie zabezpieczeń wyłącznie w niżej określonym zakresie z wyłączeniem systemów i działań, które nie są przez ten zakres objęte;
  • skontaktujesz się z nami natychmiast, wysyłając wiadomość na adres: security@keepersecurity.com, jeśli podczas testowania napotkasz jakiekolwiek dane użytkowników;
  • zapewnisz nam wystarczający czas na zanalizowanie, potwierdzenie i rozwiązanie zgłaszanej kwestii przed podaniem do wiadomości publicznej jakichkolwiek znalezionych luk w zabezpieczeniach.

Przesyłanie raportu

Keeper współpracuje z Bugcrowd w celu zarządzania naszym programem zgłaszania luk w zabezpieczeniach. Prosimy o przesyłanie raportów za pośrednictwem strony [https://bugcrowd.com/keepersecurity].