Uniqkey – często zadawane pytania

Bezpieczeństwo i architektura

1. Co się stanie, jeśli serwery Uniqkey zostaną przejęte?

Dzięki architekturze opartej na zasadzie zerowej wiedzy przejęcie serwera spowodowałoby jedynie ujawnienie zaszyfrowanego tekstu szyfrowego. Atakujący uzyskaliby dostęp do zaszyfrowanych danych w sejfie, ale bez kluczy deszyfrujących (które nigdy nie opuszczają urządzeń klientów) dane te pozostają zabezpieczone kryptograficznie. Do odszyfrowania jakiejkolwiek zawartości sejfu niezbędne są klucze EKEK przechowywane na urządzeniach mobilnych oraz klucze MPDK wygenerowane na podstawie haseł głównych.

2. Czy pracownicy Uniqkey mają dostęp do haseł firmowych?

Nie. Uniqkey działa w oparciu o zasadę zerowej wiedzy. Cały proces szyfrowania i deszyfrowania odbywa się na urządzeniach użytkowników. Serwery Uniqkey przechowują wyłącznie zaszyfrowane dane, a producent oprogramowania nie ma dostępu do hasła głównego ani kluczy szyfrujących użytkowników. Nawet mając pełny dostęp do bazy danych, pracownicy Uniqkey nie są w stanie odszyfrować danych uwierzytelniających użytkowników.

3. Dlaczego aplikacja mobilna jest wymagana do standardowego uwierzytelniania?

Aplikacja mobilna służy jako bezpieczne miejsce przechowywania klucza szyfrującego pracownika (EKEK). W przeciwieństwie do przeglądarek lub aplikacji komputerowych, które mają większą powierzchnię ataku, urządzenia mobilne zapewniają bezpieczeństwo na poziomie sprzętowym dzięki funkcji iOS Keychain i Android Keystore, uwierzytelnianiu biometrycznemu oraz izolacji aplikacji w środowisku sandbox. Takie podejście oparte na jednym punkcie bezpieczeństwa oznacza, że nawet w przypadku włamania do komputera osoby atakujące nie będą miały dostępu do kluczy szyfrujących.

Sposób użytkowania i funkcjonalności

4. Jaka jest różnica między trybem „Trusted Browser” a trybem „Phoneless”?

Tryb „Trusted Browser” wymaga jednorazowego zatwierdzenia za pomocą urządzenia mobilnego, po czym przeglądarka może automatycznie wypełniać dane logowania bez konieczności korzystania z telefonu. EKEK jest szyfrowany za pomocą klucza CAEK i przechowywany na serwerze jako „Trusted Action”. Tryb „Phoneless” nigdy nie wymaga użycia urządzenia mobilnego. Podczas wstępnej konfiguracji użytkownik wprowadza w przeglądarce hasło główne, które jest szyfrowane za pomocą klucza CAEK i przechowywane na serwerze jako „zaufana akcja w trybie bez telefonu”. W codziennym użytkowaniu rozszerzenie automatycznie pobiera i odszyfrowuje tę akcję przy użyciu klucza CAEK, wygenerowując klucz MPDK w celu odszyfrowania klucza EKEK – nie ma potrzeby wprowadzania hasła przy każdej sesji.

5. Czy w razie zgubienia telefonu będę mieć dostęp do swoich haseł?

Tak. Masz kilka możliwości:

1. Jeśli masz włączoną funkcję „Zaufana przeglądarka”, możesz nadal uzyskiwać dostęp do danych uwierzytelniających za pośrednictwem tej przeglądarki.
2. Jeśli dla Twojego konta włączono tryb „Bez telefonu”, możesz uwierzytelnić się za pomocą hasła głównego.
3. Administratorzy organizacji mogą pomóc w odzyskaniu konta, korzystając z mechanizmu tworzenia kopii zapasowych OKEK.
4. Czym jest Private Keychain i kto ma do niego dostęp?

Private Keychain to osobisty sejf, którego zawartość jest zaszyfrowana za pomocą Twojego indywidualnego klucza EKEK. Kopia zapasowa zaszyfrowana kluczem OKEK służy wyłącznie do odzyskiwania konta, na przykład w przypadku utraty telefonu i konieczności odzyskania dostępu. W takich przypadkach administrator może zainicjować proces odzyskiwania, ale odszyfrowana zawartość sejfu jest ujawniana wyłącznie użytkownikowi na jego urządzeniu, nigdy administratorowi. Dzięki temu pracownicy mogą przechowywać dane uwierzytelniające osobiste obok danych organizacyjnych, mając w razie potrzeby dostęp do opcji odzyskiwania, ale bez narażania prywatności.

7. Czy mogę uzyskać dostęp do moich haseł bez połączenia z Internetem?

Tak, za pośrednictwem aplikacji mobilnej. Aplikacja mobilna przechowuje w pełni zaszyfrowaną lokalną pamięć podręczną wszystkich danych sejfu, do której dostęp można uzyskać za pomocą uwierzytelniania biometrycznego nawet bez połączenia z Internetem. Deszyfrowanie odbywa się całkowicie na Twoim urządzeniu, więc do wyświetlenia danych uwierzytelniających z pamięci podręcznej nie jest potrzebne połączenie z serwerem. Zmiany wprowadzone w trybie offline są automatycznie synchronizowane po przywróceniu łączności. Należy pamiętać, że tryby „Zaufana przeglądarka” i „Bez telefonu” wymagają połączenia z serwerem i nie obsługują dostępu w trybie offline.

Przedsiębiorstwo i administracja

8. Co się dzieje, gdy pracownik odchodzi z organizacji?

Po zarchiwizowaniu pracownika jego uprawnienia dostępu są natychmiast cofane. Administratorzy organizacji nadal mają dostęp do wszystkich danych w Vault organizacji za pośrednictwem OKEK, co zapewnia ciągłość działania. Grupowe secrets są rotowane, aby uniemożliwić byłemu pracownikowi dostęp do współdzielonych poświadczeń. Dane Private Keychain pozostają prywatne; kopia zapasowa zaszyfrowana za pomocą OKEK służy wyłącznie do odzyskiwania kont i nie daje administratorom możliwości przeglądania zawartości Vault.

9. W jaki sposób Uniqkey może się integrować z naszym obecnym dostawcą tożsamości?

Uniqkey obsługuje standard SCIM 2.0 w celu automatycznego przyznawania i cofania uprawnień użytkownikom. Po zintegrowaniu z dostawcami tożsamości konta użytkowników są automatycznie tworzone, aktualizowane i dezaktywowane na podstawie zmian w katalogu. Członkostwo w grupach można również synchronizować, aby zapewnić spójną kontrolę dostępu.

10. Czy możemy egzekwować zasady dotyczące haseł w całej organizacji?

Tak. Administratorzy mogą konfigurować zasady obowiązujące w całej organizacji, w tym: minimalne wymagania dotyczące złożoności haseł, wymagania dotyczące hasła głównego, obowiązkowe uwierzytelnianie dwuskładnikowe (2FA), ograniczenia dotyczące zaufanych przeglądarek, limity częstotliwości logowania oraz kontrolę dostępu opartą na adresach IP. Zasady te są egzekwowane na poziomie platformy.

11. Czy możemy importować istniejące dane uwierzytelniające lub eksportować nasze dane?

Tak. Uniqkey obsługuje import danych uwierzytelniających za pomocą plików CSV, co jest kompatybilne z eksportami z większości menedżerów haseł i przeglądarek. W przypadku eksportu administratorzy mogą wyodrębnić dane z sejfu organizacji (hasła, bezpieczne notatki, karty kredytowe) w formacie CSV, przy czym uprawnienia do eksportu są kontrolowane zarówno na poziomie organizacji, jak i grupy. Wszystkie operacje importu i eksportu są obsługiwane po stronie klienta, aby zapewnić, że dane uwierzytelniające nie zostaną ujawnione podczas tego procesu.

Passkeys i WebAuthn

12. Czym różni się sposób obsługi passkeys przez Uniqkey w porównaniu z hasłami?

Passkeys wykorzystują kryptografię klucza publicznego zamiast współdzielonych kluczy tajnych. Podczas tworzenia passkey Uniqkey generuje parę kluczy, bezpiecznie przechowuje klucz prywatny w Twoim sejfie (zaszyfrowany tak samo jak hasła) oraz rejestruje klucz publiczny w serwisie. Uwierzytelnianie odbywa się za pomocą podpisów kryptograficznych zamiast przesyłania danych uwierzytelniających, dzięki czemu passkeys są odporne na phishing i bezpieczniejsze niż hasła.

13. Czy passkeys można udostępniać członkom zespołu?

Tak. Uniqkey przechowuje klucze prywatne passkeys w zaszyfrowanych sejfach, dzięki czemu można je udostępniać grupom lub poszczególnym osobom, tak samo jak hasła. Umożliwia to zespołom korzystanie z passkeys do wspólnych kont usługowych przy jednoczesnym zachowaniu korzyści związanych z bezpieczeństwem uwierzytelniania bezhasłowego.

14. Czy passkeys zarządzane przez Uniqkey są kompatybilne ze wszystkimi usługami obsługującymi WebAuthn?

Uniqkey obsługuje standard WebAuthn i może zarządzać passkeys dla każdej strony internetowej lub usługi, która wdraża uwierzytelnianie FIDO2/WebAuthn. Rozszerzenie przeglądarki działa jako wirtualny autentykator, przechwytując żądania WebAuthn i wykorzystując bezpiecznie przechowywane klucze prywatne z Twojego sejfu w celu zakończenia uwierzytelniania. Oznacza to, że zyskujesz odporność passkeys na phishing wraz z wygodą dostępu na różnych urządzeniach dzięki zaszyfrowanej synchronizacji Uniqkey.

Discovery

15. Czy z Discovery można korzystać bez menedżera haseł Uniqkey?

Tak. Discovery jest dostępne jako samodzielny produkt. Administratorzy włączają tę funkcję i przeglądają wyniki w portalu administracyjnym, natomiast pracownicy nie potrzebują konta Uniqkey i nie muszą podejmować żadnych działań. Można z niego korzystać również równolegle z menedżerem haseł.

16. Czy Discovery ma wgląd w hasła pracowników lub ich aktywność w przeglądarce?

Nie. Discovery monitoruje wyłącznie aktywność związaną z logowaniem (formularze logowania, monity o podanie klucza dostępu oraz przekierowania kończące proces logowania) i sprowadza każde logowanie do metadanych w przeglądarce: nazw hostów, sposobu przeprowadzenia logowania, oceny siły hasła oraz informacji o tym, czy zastosowano uwierzytelnianie dwuskładnikowe lub klucz dostępu. Zwykła aktywność w przeglądarce nie jest rejestrowana, a hasła, kody jednorazowe, wartości pól, ścieżki stron i treść stron nigdy nie są gromadzone. Tożsamość użytkownika logującego się jest zgłaszana tylko wtedy, gdy jest to adres e-mail należący do jednej z własnych, zweryfikowanych domen organizacji. Funkcja Discovery jest domyślnie wyłączona, a jej włączenie i wdrożenie leży w gestii administratorów organizacji.

17. Jakie przeglądarki i urządzenia obsługuje Discovery?

Discovery obsługuje przeglądarki Google Chrome i Microsoft Edge w systemach Windows i macOS, na urządzeniach zarządzanych centralnie. Wdrażane jest za pośrednictwem korporacyjnych zasad przeglądarki przy użyciu szablonów, skryptów i profili konfiguracyjnych dostarczanych przez Uniqkey.

18. Jak można wyłączyć Discovery?

Administratorzy mogą wyłączyć Discovery dla całej organizacji lub unieważnić token rejestracji w portalu administracyjnym, po czym instalacje nie będą już mogły uzyskać tokenów dostępu. Usunięcie zasad przeglądarki powoduje usunięcie rozszerzenia z zarządzanych przeglądarek.

Zgodność z przepisami i ochrona danych

19. Czy Uniqkey jest zgodny z RODO i innymi przepisami dotyczącymi ochrony danych?

Tak. Architektura Uniqkey oparta na zasadzie zerowej wiedzy z natury rzeczy spełnia wymogi ochrony danych, gwarantując, że dane uwierzytelniające użytkownika pozostają zaszyfrowane i niedostępne dla nikogo poza samym użytkownikiem. Producent przetwarza wyłącznie minimalną ilość danych niezbędną do działania usługi, a całe szyfrowanie odbywa się po stronie klienta. Taka konstrukcja jest zgodna z zasadami RODO dotyczącymi minimalizacji danych oraz „prywatności w fazie projektowania”.

20. Gdzie przechowywane są dane Uniqkey?

Wszystkie dane są przechowywane wyłącznie w Niemczech, co gwarantuje pełną lokalizację danych na terenie UE bez transgranicznego przekazywania ich do krajów spoza UE. Zaszyfrowane dane z sejfu, tokeny uwierzytelniające i metadane są przechowywane na infrastrukturze posiadającej certyfikat ISO 27001 oraz atest BSI C5. Dzięki architekturze typu „zero-knowledge” nawet przechowywane dane nie mogą zostać odczytane przez nikogo bez kluczy deszyfrujących użytkownika.

21. Czy Uniqkey posiada certyfikaty bezpieczeństwa?

Uniqkey posiada zaświadczenia ISAE 3000 typu 2 oraz ISAE 3402 typu 2, zweryfikowane przez PwC. Certyfikat ISAE 3402 jest weryfikowany pod kątem wszystkich punktów kontroli normy ISO 27001, a firma Uniqkey od czterech lat z rzędu przechodzi audyty bez żadnych zastrzeżeń. Dostawca infrastruktury producenta posiada certyfikat ISO 27001 oraz atest BSI C5. Uniqkey poddaje się również regularnym niezależnym audytom bezpieczeństwa i testom penetracyjnym w celu weryfikacji własnego stanu bezpieczeństwa.