Шифрование при передаче
Все соединения с ShareHub, включая веб-интерфейс, API и загрузку частей файла, выполняются только по TLS 1.3. Устаревшие версии протокола отключены, сервер принимает исключительно AEAD-шифры (AES-256-GCM и ChaCha20-Poly1305) с совершенной прямой секретностью. Для домена включены HSTS с preload и OCSP stapling.
TLS защищает канал, но не является единственным барьером: содержимое каждой части уже зашифровано в браузере отправителя, поэтому даже при компрометации канала злоумышленник получит только шифротекст.
Шифрование при хранении
Файл делится на части по 64 МиБ, и каждая часть шифруется в браузере алгоритмом AES-256-GCM с уникальным вектором инициализации. Тег аутентификации проверяется при сборке файла у получателя, поэтому любая подмена или повреждение части обнаруживается.
Второй уровень защиты обеспечивают сами хранилища: диски с зашифрованными частями дополнительно шифруются AES-256 на уровне томов с ключами, которые хранятся в аппаратных модулях безопасности (HSM) отдельно от данных.
Ключи и PIN-коды
- Для каждой ссылки в браузере отправителя создаётся отдельный 256-битный ключ передачи. Ключи разных ссылок никак не связаны.
- Ключ передачи оборачивается ключом, полученным из PIN-кода функцией Argon2id с параметрами, подобранными так, чтобы одна попытка подбора стоила около секунды вычислений.
- Число попыток ввода PIN-кода ограничено пятью. После этого ссылка блокируется на стороне сервера, обёрнутый ключ перестаёт выдаваться, а отправитель получает уведомление.
- Ссылки без PIN-кода хранят ключ во фрагменте адреса после символа #. Фрагмент не передаётся на сервер браузером и не попадает в журналы.
Уничтожение данных
Ссылка уничтожается при наступлении первого из событий: исчерпан лимит скачиваний, истёк срок жизни, отправитель отозвал ссылку вручную или ссылка заблокирована из-за неверных PIN-кодов.
- обёрнутый ключ удаляется из базы данных немедленно, включая реплики;
- зашифрованные части затираются в хранилище в течение 10 минут;
- резервные копии ключей передачи не создаются, поэтому восстановление невозможно ни для Клиента, ни для нас;
- в журнале ссылки остаются только метаданные: время событий, размер файла и факт уничтожения.
Центры обработки данных
Инфраструктура размещена в двух географически разнесённых центрах обработки данных в Москве и Санкт-Петербурге, спроектированных по уровням Tier III и Tier IV: резервирование питания и охлаждения по схеме N+1 и 2N, физическая охрана круглосуточно, доступ в машинные залы по биометрии и журналированию.
Зашифрованные части хранятся с избыточным кодированием и реплицируются между площадками. Отказ одной площадки не приводит к потере данных и не прерывает работу активных ссылок.
Доступ сотрудников
- Доступ к продуктивной среде есть только у дежурных инженеров эксплуатации и выдаётся на время по заявке с обязательной второй подписью.
- Все сессии администрирования проходят через бастион с двухфакторной аутентификацией по аппаратным ключам и записываются.
- Сотрудники технически не могут расшифровать файлы клиентов: у инфраструктуры нет ключей передачи.
- Ежегодное обучение по информационной безопасности и проверки при приёме на работу обязательны для всех, у кого есть доступ к системам.
Соответствие требованиям
Обработка персональных данных ведётся в соответствии с 152-ФЗ: базы данных с персональными данными граждан РФ размещены на территории России, назначен ответственный за организацию обработки, выполнены организационные и технические меры защиты, предусмотренные требованиями к защите персональных данных.
Система управления информационной безопасностью выстроена по модели ISO/IEC 27001. Для пользователей из Европейского союза обработка учитывает требования GDPR. Клиенты на тарифах Команда и Корпоративный могут запросить описание мер защиты, заполненные опросники безопасности и отчёт об аудите SOC 2 Type II под NDA.
Мониторинг и реагирование на инциденты
События безопасности собираются в центральную систему мониторинга и разбираются круглосуточно. Мы проводим внешнее тестирование на проникновение не реже раза в год и после крупных изменений архитектуры. При инциденте, затрагивающем персональные данные, мы уведомляем пострадавших клиентов и Роскомнадзор в сроки, установленные законом.
Ответственное раскрытие уязвимостей
Если вы нашли уязвимость в ShareHub, сообщите о ней на support@databreeze-app.ru с темой «Security report». Опишите шаги воспроизведения, затронутые адреса и возможные последствия.
- подтверждаем получение отчёта в течение 2 рабочих дней и сообщаем оценку в течение 10;
- не преследуем исследователей, действующих добросовестно и в рамках этих правил;
- указываем автора в списке благодарностей, если он этого хочет, а за критичные находки выплачиваем вознаграждение.
Что запрещено при исследовании
- доступ к данным и ссылкам других пользователей, их изменение или удаление;
- нагрузочные атаки, массовый перебор адресов ссылок и PIN-кодов;
- социальная инженерия в отношении сотрудников и физические проверки площадок;
- публикация сведений об уязвимости до её исправления без согласования с нами.