• V0.3 Ostatnia aktualizacja: 12/03/2020

1  Polityka bezpieczeństwa

Niniejsza polityka bezpieczeństwa dotyczy usługi Revoke („Usługa”) obsługiwanej przez Atam ID Technologies Limited („Revoke”, „nas”, „my” lub „nasz”). Revoke jest nazwą handlową Atam ID Technologies Ltd. („Atam”), firmy zarejestrowanej w Jersey Financial Services Commission, numer rejestracyjny 124314.

W Revoke dbamy głęboko o prywatność i bezpieczeństwo.

Niniejsza polityka określa kroki, które podjęliśmy, aby zapewnić, że wszelkie dane, które przechowujemy lub przekazujemy, są bezpieczne i odpowiednio chronione.

Używamy zaawansowanych poziomów szyfrowania danych w spoczynku i podczas transportu w warstwie wiadomości i transportu, w tym następujące:

• Kryptografia Krzywej Eliptycznej za pomocą klawiszy Ed25519 i Curve25519
• Uwierzytelnione szyfrowanie z powiązanymi danymi (AEAD)
• Kluczowy Protokół Diffiego-Hellmana
• Sealed Boxes
• DNSSEC
• HTTPS
• IPSec
• Szyfrowanie AES256
• Certyfikaty X509
• BlakeB Hashing

2  Dane osobowe

Dane osobowe traktujemy bardzo ostrożnie.

Zapewniamy, że wszystkie dane są szyfrowane, gdy znajdują się na Twoim urządzeniu, kiedy są przesyłane i kiedy są przechowywane w Revoke.

2.1  Aplikacja mobilna

Każdy użytkownik ma w swoim telefonie unikalny klucz prywatny do odszyfrowania. Ten klucz prywatny jest uzyskiwany w procesie generowania liczb losowych. Odpowiedni klucz publiczny służy do szyfrowania. Te klucze są znane jako para kluczy.

Aby upewnić się, że para kluczy jest całkowicie losowa i niemożliwa do ponownego wygenerowania, użytkownik musi wykonać nieprzewidywalne, niepowtarzalne działania.

Działania są zależne od uprawnień urządzenia i aplikacji, ale obejmują co najmniej jeden z następujących elementów:

• Wejście dźwięku mikrofonu
• Wejście kamery wideo
• Losowa interakcja na ekranie (przeciągnij, przesuń palcem, dotknij)
• Odczyty akcelerometru.

2.1.1  Szyfrowanie danych w spoczynku

Wszystkie dane na urządzeniu użytkownika są szyfrowane przy użyciu szyfrowania AES256 z losowo generowanym hasłem. Hasło do każdego elementu danych jest szyfrowane przy użyciu odpowiedniego Klucza Publicznego.

Dane są odszyfrowywane przy użyciu Klucza Prywatnego, do którego dostęp można uzyskać za pomocą kodu PIN zdefiniowanego przez użytkownika.

2.1.2  Szyfrowanie danych w transporcie

Informacje przesyłane do i od stron trzecich zawierające ograniczone lub wrażliwe dane osobowe są chronione i zabezpieczone certyfikatami kryptograficznymi.

Certyfikaty są oparte na standardzie X509, ale wykorzystują format json, aby umożliwić rozszerzone atrybuty nieobsługiwane w macierzystym formacie certyfikatu x509.

Oprócz szyfrowania w warstwie wiadomości, HTTPS służy do szyfrowania warstwy transportowej między wszystkimi usługami.

3  Firma API i dopasowanie klienta

Revoke zapewnia interfejs API do wyszukiwania i dopasowywania zapisów klientów w celu automatyzacji odpowiedzi na żądania.

Istotne jest, aby żadne dane osobowe nie były ujawniane w ramach tego procesu, a dane klientów firmy były chronione.

3.1  Dopasowywanie klientów

Wszystkie dane przesyłane przez firmę do Revoke są maskowane i anonimowe przy użyciu operacji kryptograficznych w celu zapewnienia bezpiecznego magazynu danych bez narażania danych osobowych klienta lub danych wrażliwych firmy z handlowego punktu widzenia.

Rejestr Klienta z firmy klienta składa się z dwóch podstawowych elementów:

Unikalny numer referencyjny klientów

Każdy rejestr firmy wymaga unikalnego odwołania, które ma znaczenie w bazie danych klientów firmy klienta. Ma to na celu zapewnienie mechanizmu powiązania zapisu Revoke lub żądania ochrony danych z rzeczywistym klientem.

Aby chronić pole referencyjne Klienta, firma szyfruje dane zawierające swój Klucz Prywatny Curve25519 przy użyciu szyfrowania tajnych skrzynek.

3.1.1  Pola kryteriów dopasowywania

Zapis klienta zawiera jedno lub więcej pasujących pól. Pole kryteriów to unikalna informacja związana z klientem końcowym. Może to dotyczyć takich elementów, jak „adres e-mail”, „imię”, „nazwisko”, „kod pocztowy” itp. Firma może dostarczyć dowolną liczbę pasujących pól w zależności od wielkości i rodzaju danych klientów zawartych w ich systemach.

Przed transmisją dane dotyczące dopasowywania pól chronione przez dwie rundy mieszania BlakeB. Zapewnia to, że wszelkie wrażliwe informacje handlowe lub osobowe są całkowicie chronione przed niewłaściwym wykorzystaniem przez osoby trzecie. Mechanizm chroniony danymi Revoke oferuje trzy podstawowe poziomy bezpieczeństwa:

• Nie ma praktycznej metody na odwrócenie procesu mieszania (the hashing process) i odzyskanie danych klienta wysłanych za pośrednictwem interfejsu API Revoke.
• Ponieważ proces kodowania odbywa się przed transmisją danych, Revoke nie ma widoczności wysyłanych danych i zajmuje się jedynie dopasowaniem konkretnych żądań użytkowników do odpowiedniej firmy.
• Ponieważ mieszane dane są mieszane za pomocą klucza publicznego firmy, końcowy wynik jest unikalny między danym klientem a relacją firmy. Te same informacje o użytkowniku (takie jak adres e-mail, numer telefonu) będą miały bardzo różne wynikowe wartości dopasowania dla różnych firm źródłowych. Zapobiega to wyciekom prywatności interakcji użytkownika między wieloma różnymi podmiotami firmy.

Matching Field Algorithm

Aby odpowiednio chronić wrażliwe dane przesyłane przez firmę do Revoke, wdrożony jest następujący algorytm:

• Silnik Funkcji BlakeB hash jest tworzony i uruchamiany za pomocą 32-bajtowego klucza publicznego Revoke Ed25519 uzyskanego za pomocą jednej z kluczowych metod dystrybucji.
• Pojedynczy fragment dopasowanych danych jest przetwarzany przez silnik mieszający BlakeB hash, co daje wynik 32-bajtowy.
  Uwaga: Aby zachować spójność i dokładność dopasowania, wszystkie dane dopasowania powinny zostać przetłumaczone na duże litery przed przetworzeniem.
• Prywatny Klucz Curve25519 firmy i publiczny Klucz Curve25519 Revoke są łączone za pomocą funkcji uzgadniania klucza Diffiego-Hellmana w celu wygenerowania wspólnego 32-bajtowego klucza tajnego.

Uwaga: Aby zwiększyć bezpieczeństwo, surową wartość tajnego Klucza należy chronić, korzystając z funkcji wyprowadzania Klucza (KDF), takiej jak HMAC lub hash.

• Obliczony wspólny sekret jest używany do inicjowania drugiego silnika mieszającego BlakeB.
• Dane wyjściowe pierwszego procesu mieszania w kroku 2 są przetwarzane przez drugi silnik mieszający BlakeB, co daje końcową 32-bajtową wartość wyjściową. Ta wartość to dane, które firma prześle do Revoke w celu przetworzenia żądań dopasowania.

Uwagi:

• Wspólne tajne wyjście obliczone jako część procesu uzgadniania klucza Diffego-Hellmana (krok 3) jest stałe i może być bezpiecznie ponownie użyte w procesie wsadowym, jeśli klucze firmy i Revoke pozostaną niezmienione.

Powyższy proces ma następujące zalety:

• Proces można odtworzyć na serwerze Revoke, umożliwiając wstępne obliczenie wyników dla danej firmy w celu poprawy wydajności odpowiedzi.
• Ponieważ skrót wykorzystuje elementy Klucza prywatnego firmy, nieuczciwa firma nie może wysyłać wniosków dochodzeniowych w celu sprawdzenia, czy adres e-mail został zarejestrowany w firmie zewnętrznej.

Użytkownicy wysyłają te same pasujące informacje do Revoke, stosując podobne podejście. Istotną różnicą jest to, że proces jest podzielony na dwie części, podczas gdy urządzenie użytkownika wykonuje początkową wartość skrótu za pomocą Klucza publicznego Revoke.

Usługi Revoke wykorzystują następnie dane wysłane z urządzenia użytkownika, aby wstępnie obliczyć tabelę skrótów zawierającą odpowiednie dane dla wdrożonych firm. Proces ten wykorzystuje klucz prywatny Revoke i klucz publiczny konkretnej firmy do wygenerowania tego samego wspólnego klucza tajnego używanego przez firmę.

System Revoke pobierze wszystkie nowe zamaskowane dane przesłane przez użytkowników i zbuduje odpowiedni system referencyjny, aby umożliwić wyszukiwanie w odpowiednim czasie. System w efekcie wstępnie obliczy wszystkie potencjalne wyniki dopasowania dla bazy klientów i firm przechowywane w wydajnym i bezpiecznym magazynie danych.

3.2  Transport API firmy

Żądanie jest przesyłane za pośrednictwem komunikacji HTTPS / SSL przy użyciu prostego wywołania REST / SOAP.

Każde żądanie wysłane do firmowego interfejsu API zawiera:

• Nagłówki
  • Klucz publiczny: Klucz publiczny firmy wysyłającej jest dodawany jako nagłówek żądania.
  • Firma wysyłająca używa swojego tajnego klucza do podpisania zawartości ładunku żądania.
• Ładowność: Wszystkie ładunki żądań zawierają datownik UTC z dokładnością do milisekundy jako część podpisanej treści. Wszelkie żądania otrzymane poza okresem zdefiniowanym przez serwer zostaną zignorowane.

Żądania ładunku są szyfrowane przy użyciu tajnego szyfrowania skrzynki, ponieważ eliminuje to potrzebę śledzenia i utrzymywania przez firmę unikalnego numeru, który był kiedyś używany.