Jak działa szyfrowanie end-to-end w sygnadesk
Treść zgłoszeń jest szyfrowana w przeglądarce sygnalisty i odczytywana wyłącznie w przeglądarce upoważnionej osoby. Klucz powstaje z jej hasła i nigdy nie trafia na serwer, więc ani sygnadesk, ani partner nie mają czym odczytać treści.
A. Na czym polega różnica: gdzie leży klucz
W trybie standardowym (domyślnym) treść zgłoszeń jest zaszyfrowana w bazie kluczami, którymi zarządza platforma. To chroni przed wyciekiem dysków i kopii, ale klucz jest po stronie serwera: personel operatora może w wyjątkowych, rejestrowanych sytuacjach (zgłoszenie serwisowe na Twoje żądanie, obowiązek prawny) dostać się do treści.
W trybie end-to-end klucz istnieje tylko w przeglądarkach: sygnalisty, który szyfruje, i upoważnionej osoby, która odszyfrowuje. Serwer dostaje i oddaje wyłącznie szyfrogram. Nie ma klucza, więc nie może odczytać treści, nawet gdyby chciał lub musiał. Tryb włączasz jednym ustawieniem, a organizacja bierze na siebie odpowiedzialność za klucze.
B. Skąd biorą się klucze i dlaczego serwer ich nie ma
Każda upoważniona osoba ma klucz osobisty, który powstaje z jej hasła w przeglądarce. Hasło nie opuszcza przeglądarki, a klucz prywatny jest zapisywany na serwerze wyłącznie w postaci zaszyfrowanej. Klucz organizacji, który odszyfrowuje zgłoszenia, leży w sejfie organizacji zamkniętym osobno dla każdej upoważnionej osoby: jej klucz osobisty otwiera jej kopię, cudzej nie.
Strona zgłoszeń dostaje tylko publiczną część klucza organizacji. Publiczną częścią można wyłącznie zaszyfrować, nie odszyfrować. Dlatego strona zgłoszeń, serwer i każdy, kto tę część zobaczy, mogą włożyć treść do sejfu, ale nie mogą go otworzyć.
C. Droga zgłoszenia: gdzie treść jest jawna, a gdzie zaszyfrowana
Sygnalista pisze zgłoszenie na stronie pod marką firmy. Zanim cokolwiek zostanie wysłane, przeglądarka szyfruje treść, pliki i dane kontaktowe publiczną częścią klucza organizacji. Od tej chwili istnieje szyfrogram: przechodzi przez sieć brzegową, trafia do bazy w Unii Europejskiej i do kopii zapasowych w EOG.
Upoważniona osoba wpisuje hasło w panelu. Hasło tworzy klucz osobisty, klucz osobisty otwiera sejf, sejf oddaje klucz organizacji i treść pojawia się w jej przeglądarce. Odpowiedź do sygnalisty wraca tą samą drogą, tak samo zaszyfrowana; sygnalista czyta ją po wejściu numerem sprawy i PIN-em. Operator przez cały czas widzi numer sprawy, status i terminy, a treści i tożsamości nie.
D. Co się dzieje, gdy…
-
Pracownik odchodzi
Administrator rotuje sejf organizacji: nowy klucz jest zamknięty tylko dla pozostałych osób, a odchodzący traci dostęp natychmiast.
-
Ktoś zapomni hasła
Otwiera sejf osobistym kodem awaryjnym wydanym przy nadawaniu dostępu. Kod trzyma poza systemem, np. w sejfie firmowym lub menedżerze haseł.
-
Wszyscy stracą hasła i kody
Treści nie odzyska nikt, także sygnadesk. Dlatego organizacja utrzymuje co najmniej dwie osoby z działającym dostępem.
-
Organ żąda danych od operatora
Operator ma szyfrogram i metadane. Nie ma klucza, więc nie ma czego wydać; żądanie trafia do organizacji, która decyduje z własnym działem prawnym.
-
Organizacja wyłącza E2E
Okno 48 godzin z anulowaniem z linku w e-mailu. Po przejściu do trybu standardowego oryginalny szyfrogram zostaje jako dowód.
Jak włączyć tryb E2E
Decyzję podejmuje organizacja. Administrator włącza tryb w panelu, składa oświadczenia o skutkach (w tym o braku odzyskania treści po utracie kluczy), potwierdza e-mailem, a wpis trafia do dziennika audytu. Następnie wyznacza upoważnione osoby: każda tworzy klucz osobisty ze swojego hasła i dostaje kod awaryjny. Zasady są zapisane w regulaminie (pkt 3) i umowie powierzenia (pkt 3.2).
Regulamin, pkt 3: tryb E2E Umowa powierzenia, pkt 3.2 Jak działa cały system
Włącz E2E na koncie testowym
Tryb end-to-end jest w każdym pakiecie. Załóż konto, przejdź ceremonię włączenia i sprawdź, że w bazie zostaje tylko szyfrogram.