Architettura di sicurezza

Ogni segreto è cifrato con una chiave di cifratura dei dati (DEK) univoca. La DEK stessa è cifrata da una chiave master AWS KMS, creando un envelope a due livelli.

Le chiavi master sono gestite da AWS KMS all'interno dell'Unione Europea. Le chiavi non lasciano mai il perimetro di KMS. CifraVault non ha accesso al materiale grezzo delle chiavi.

Per i segreti server-encrypted, il payload archiviato viene rimosso dallo storage a oggetti quando il segreto scade, raggiunge il limite di visualizzazioni, viene aperto con burn-after-read attivo o viene eliminato. Per i segreti end-to-end, il ciphertext archiviato viene azzerato solo dal burn e può permanere dopo scadenza, esaurimento delle visualizzazioni o eliminazione. In entrambi i casi restano metadati e voci di audit; i file allegati mantengono il proprio ciclo di vita.

Email, SMS e app di autenticazione TOTP. Ogni canale verificato in modo indipendente. Configurabile per ogni segreto.

Limiti di frequenza per piano, contatori dei tentativi OTP e blocco automatico dopo tentativi di verifica falliti.

Con burn-after-read attivo, il payload testuale del segreto viene rimosso al raggiungimento del limite di visualizzazioni e il link al testo smette di funzionare. I file allegati non sono interessati: mantengono la propria scadenza, il proprio budget di accessi e la propria revoca.

ID richiesta, data e ora, identità dell'autore, azione ed esito registrati per ogni operazione. I log non possono essere modificati o eliminati durante il periodo di conservazione.

Il contenuto dei segreti, le chiavi di cifratura e i log di audit sono archiviati su infrastruttura nell'Unione Europea. La distribuzione dei contenuti e l'elaborazione dei pagamenti coinvolgono fornitori che operano anche fuori dall'UE con garanzie di trasferimento documentate; il Data Processing Agreement indica ciascuno di essi.

La conservazione dei log di audit segue la finestra del piano scelto, come documentato nella nostra Data Retention Policy, con estensioni contrattuali disponibili per Enterprise. Gli stati di conservazione non risolti sono gestiti in modalità fail-safe — nulla viene eliminato finché non vengono corretti.

Sui piani Business ed Enterprise, i log di audit che si avvicinano alla fine della finestra di conservazione attivano una notifica al proprietario e un periodo di grazia, e il proprietario del workspace può richiedere un'esportazione dei log di audit prima che l'eliminazione proceda. L'esportazione riguarda i log di audit, non gli altri dati del prodotto.