// Securitate
Securitatea CloudSeif, de la simplu la tehnic
Această pagină explică, în ordine, ideea simplă din spatele managerului de parole pentru echipe CloudSeif, garanția pe care o oferă și, pentru cine vrea, standardele tehnice exacte.
Pe înțelesul tuturor
Gândește-te la un seif fizic, cu o cutie separată pentru fiecare secret și o cheie separată pentru fiecare persoană. Fiecare cutie se deschide doar cu cheia potrivită, iar cheile persoanelor sunt, la rândul lor, protejate de propria lor parolă. Nimeni — nici administratorul, nici echipa BOCP — nu cunoaște parola ta de seif.
Vrei exemple concrete, pas cu pas? Vezi cum funcționează CloudSeif →
// Zero-knowledge
Doar tu deții cheia
Parola ta de seif nu este trimisă niciodată sub formă brută către nimeni și nu este stocată niciodată — nici în baza de date, nici în jurnalele aplicației, nici într-o copie de siguranță. Fără ea, sau fără codul de recuperare din seiful fizic al firmei, secretele rămân definitiv criptate.
✓ Criptare pe mai multe straturi
Nicio informație stocată de BOCP — bază de date, backup, cod sursă, chei interne de server — nu este suficientă, de una singură, pentru a decripta un secret.
✓ Parola, folosită o singură dată
Parola de seif nu este niciodată stocată, nici măcar temporar în formă recuperabilă; doar rezultatul ei criptografic e folosit, o singură dată, pentru a debloca o cheie.
✓ Fiecare acces, înregistrat
Orice vizualizare sau descărcare este scrisă mai întâi în jurnalul de acces imuabil, înainte ca secretul să fie decriptat — nu există o citire „tăcută”.
✓ Recuperare fără compromis
Dacă administratorul își pierde parola, codul de recuperare de 40 de caractere, păstrat fizic de companie, este singura cale de acces — nu există o resetare „din partea BOCP”.
// Sub capotă
Standardele tehnice, pentru cei cărora le plac detaliile
Nu suntem aici să vă cerem încredere oarbă. Iată exact ce se întâmplă, tehnic, cu fiecare secret, în ordine.
Fiecare secret e criptat cu o cheie aleatoare de 256 de biți, prin encrypt-then-MAC: pe lângă criptare, o semnătură de integritate detectează orice modificare a datelor stocate.
Fiecare utilizator, fiecare grup și codul de recuperare au propria pereche de chei RSA de 4096 de biți. Cheia unui secret este „ambalată” separat pentru fiecare, într-un plic criptografic propriu.
Cheia privată a fiecărui utilizator este criptată cu o cheie derivată din parola sa de seif printr-un procedeu deliberat lent — 200.000 de iterații — special construit ca ghicirea parolei să fie impracticabilă.
Peste toate cheile împachetate se aplică un al doilea strat de criptare cu o cheie internă a contului, astfel încât o copie izolată a bazei de date nu permite nici măcar începerea unei încercări de ghicire.
Fiecare înregistrare din jurnalul de acces include amprenta criptografică a înregistrării anterioare, formând un lanț legat de cheia internă a contului. O modificare ascunsă rupe lanțul, verificabil oricând.
Fișierele atașate sunt comprimate înainte de a fi criptate, ca să ocupe mai puțin spațiu — fără să afecteze cu nimic protecția conținutului.
Cinci parole de seif greșite în cinci minute blochează temporar accesul, cu fiecare încercare înregistrată în jurnal.
Confortul de a nu retasta parola la fiecare click funcționează doar prin HTTPS, ține câteva minute și moare la închiderea browserului — niciodată stocat permanent.
Vrei toate detaliile tehnice, cu formatul exact al plicurilor criptografice și fluxul complet de chei? Articolul din baza de cunoștințe BOCP intră în profunzime, cu diagrame și explicații pas cu pas pentru administratori și dezvoltatori. Citește articolul tehnic complet ↗
Continuă lectura
O arhitectură serioasă, pentru secrete serioase
Activează CloudSeif în contul tău BOCP și pune ordine reală în parolele firmei.