Архитектура безопасности

Модель угроз и принцип Zero-Knowledge

Мы проектируем Сервис так, будто наши серверы уже скомпрометированы. Злоумышленник с полным доступом к базе данных и хранилищу получит шифротекст, зашифрованные метаданные и хеши, повторно защищённые Argon2id. Ни мастер-пароль, ни ключ сейфа не покидают устройство пользователя.

Модель не защищает от вредоносного кода на самом устройстве в момент, когда сейф открыт. Против последствий такой атаки работают неизменяемые версии и детектор массовых изменений.

Криптография на стороне клиента

Проверочный хеш для входа выводится из отдельного подключа и на сервере ещё раз хешируется Argon2id с серверной солью. Утечка базы не даёт ни входа в учётную запись, ни ключа шифрования.

Транспорт

• только TLS 1.3, устаревшие версии протокола отключены;
• наборы шифров с совершенной прямой секретностью: AES-256-GCM и ChaCha20-Poly1305;
• HSTS с включением в список предзагрузки браузеров;
• закрепление открытого ключа сертификата в мобильных и настольных клиентах.

TLS здесь второй слой: данные уже зашифрованы на устройстве до установки соединения.

Хранение

• шифрование AES-256 на уровне дисков поверх клиентского шифрования, ключи дисков хранятся в аппаратных модулях безопасности;
• помехоустойчивое кодирование блоков и синхронная репликация между двумя площадками;
• хранилище объектов с блокировкой Object Lock в режиме Compliance для всех версий;
• ежедневная проверка целостности блоков по контрольным суммам.

Дата-центры

Основная площадка в Москве соответствует уровню надёжности Tier IV, резервная в Санкт-Петербурге соответствует Tier III. Обе площадки работают под охраной 24/7, с биометрическим контролем доступа в машинные залы, видеонаблюдением и независимыми вводами электропитания.

Оборудование CloudStash Pro размещено в выделенных запираемых стойках. Персонал дата-центра не имеет логического доступа к серверам.

Защита от шифровальщиков

Каждое сохранение файла создаёт новую версию под блокировкой хранения на 30-365 дней в зависимости от тарифа и политики. Если программа-вымогатель зашифрует файлы на устройстве, их испорченные копии станут новыми версиями, а предыдущие останутся неизменными.

Клиент отслеживает аномалии: если за минуту переименовано или перезаписано больше 200 файлов, синхронизация приостанавливается, а владелец получает уведомление. Откат папки к выбранному моменту выполняется одним действием.

Доступ сотрудников

• принцип минимальных привилегий и раздельные роли для разработки и эксплуатации;
• вход в производственную инфраструктуру только с аппаратными ключами FIDO2;
• все административные действия записываются в неизменяемый журнал;
• ежеквартальный пересмотр прав доступа.

Даже при полном административном доступе сотрудник видит только шифротекст.

Соответствие требованиям

• 152-ФЗ. Персональные данные учётных записей хранятся и обрабатываются на территории России, приняты организационные и технические меры защиты.
• GDPR. Для пользователей из Европейской экономической зоны соблюдаются права субъектов данных и принцип минимизации.
• Процессы. Управление информационной безопасностью выстроено по модели ISO/IEC 27001: реестр рисков, управление изменениями, план реагирования на инциденты.
• SOC 2 Type II. Проводится аудит по критериям Trust Services. Отчёт предоставляется по запросу под NDA клиентам тарифа «Команда».
• Внешняя проверка. Ежегодный независимый аудит криптографии клиентов и тестирование на проникновение. Отчёт доступен клиентам тарифа «Команда» по соглашению о неразглашении.

Ответственное раскрытие уязвимостей

Если вы нашли уязвимость, сообщите о ней на security@cachepoint-online.ru. Ключ PGP для шифрования отчёта пришлём в ответ на первое письмо.

Что включить в отчёт

• описание уязвимости и возможные последствия;
• шаги воспроизведения, версию клиента или адрес страницы;
• ваши контакты и пожелание об упоминании в благодарностях.

Правила

• тестируйте только на собственных учётных записях и не обращайтесь к чужим данным;
• не проводите атаки на отказ в обслуживании, социальную инженерию и физическое проникновение;
• не раскрывайте информацию публично до выпуска исправления или 90 дней с момента отчёта.

При добросовестном соблюдении правил мы не будем предъявлять претензий и инициировать преследование.

Сроки и вознаграждение