Kiến trúc máy chủ không nắm giữ khóa giải mã: máy chủ chuyển tiếp văn bản mã hóa
Sanket (Sanket.Chat) của Tosh Defence không cho máy chủ tiếp cận nội dung: máy chủ chuyển tiếp dữ liệu mã hóa và không bao giờ nắm giữ khóa giải mã tin nhắn, tệp, cuộc gọi, lượt bày tỏ cảm xúc hoặc thông điệp gửi rộng được mã hóa. Nội dung được mã hóa trên thiết bị gửi và chỉ được giải mã trên thiết bị của người nhận, nên Tosh Defence, nhà cung cấp dịch vụ lưu trữ và cả máy chủ của khách hàng đều không thể đọc được.
Việc máy chủ không nắm giữ khóa giải mã làm thay đổi hệ quả khi máy chủ bị xâm nhập. Kẻ tấn công kiểm soát máy chủ không thể đọc nội dung trước đó vì các khóa chưa từng được chuyển đến máy chủ, và cũng không thể âm thầm thêm thiết bị để nghe lén vì người gửi xác minh danh sách thiết bị có chữ ký số của từng tài khoản.
Máy chủ không thể đọc dữ liệu nghĩa là gì
Trong Sanket, máy chủ chỉ chuyển tiếp nội dung đã mã hóa. Tin nhắn, lượt bày tỏ cảm xúc và thông báo gửi hàng loạt đã mã hóa đều là tin nhắn libsignal được mã hóa trên thiết bị của người gửi; tệp đính kèm được mã hóa bằng AES-256-GCM trước khi tải lên; các khung dữ liệu cuộc gọi được mã hóa đầu cuối trước khi đến máy chủ truyền thông. Khóa cho tất cả nội dung này được tạo và lưu giữ trên thiết bị của người dùng.
Ngay cả nhãn phân loại mức độ bảo mật của tin nhắn cũng được truyền trong lớp mã hóa, nên máy chủ không thể đọc hoặc thay đổi nhãn đó.
Máy chủ bị xâm phạm không làm lộ nội dung
Tosh Defence phân tích tình huống từng thành phần phía máy chủ bị xâm nhập. Trong tất cả các trường hợp đó, nội dung tin nhắn, lượt tương tác, thông báo gửi hàng loạt đã mã hóa, nhãn phân loại, nội dung tệp, dữ liệu âm thanh và hình ảnh của cuộc gọi cùng khóa riêng vẫn được bảo vệ, vì tính bí mật của nội dung không bao giờ phụ thuộc vào việc một thành phần máy chủ không bị xâm nhập.
Quy trình khôi phục tuân theo một khuôn mẫu: xây dựng lại từ bản phát hành đã được xác minh và ký số, thay đổi các thông tin bí mật phía máy chủ, buộc xác thực lại và rà soát nhật ký kiểm toán có dấu hiệu nếu bị chỉnh sửa.
- Nội dung tin nhắn và lượt bày tỏ cảm xúc
- Thông báo gửi đến nhiều người được mã hóa và mức độ ưu tiên của chúng
- Nhãn phân loại
- Nội dung tệp
- Dữ liệu âm thanh và hình ảnh của cuộc gọi
- Khóa riêng
Không có người âm thầm theo dõi cuộc trao đổi
Danh sách thiết bị của mỗi tài khoản được ký bằng khóa lưu trên thiết bị chính của chính tài khoản đó, cùng với một nhật ký chỉ cho phép ghi thêm tại hệ thống triển khai. Trước khi mã hóa, người gửi kiểm tra danh sách này và không gửi gì đến thiết bị không có trong danh sách, nên máy chủ do bên xấu kiểm soát không thể thêm thiết bị để nhận bản sao. Mã xác minh an toàn và thông báo thay đổi danh tính cho phép người dùng trực tiếp xác minh lẫn nhau.
Bên trong hệ thống cài đặt của bạn
Sanket không bao giờ là dịch vụ công cộng dùng chung. Mỗi tổ chức vận hành một hệ thống triển khai riêng, nên siêu dữ liệu định tuyến cần để chuyển phát tin nhắn nằm trong hệ thống của khách hàng, dưới sự quản lý của quản trị viên, chính sách lưu giữ và quy trình kiểm toán của chính khách hàng.
Quản trị viên quản lý danh tính, thiết bị và chính sách; họ không nắm giữ khóa mã hóa nội dung và không thể đọc các cuộc trò chuyện.
Bằng chứng kỹ thuật
Đọc thông tin chi tiết trong sách trắng của Sanket
Mọi nội dung trình bày trên trang này đều được nêu đầy đủ trong tài liệu chuyên khảo công khai về kiến trúc và bảo mật kỹ thuật của SANKET, có thể đọc miễn phí mà không cần đăng ký.
Máy chủ không thể đọc dữ liệu có nghĩa là gì?
Máy chủ không nắm giữ khóa giải mã nghĩa là máy chủ chuyển tiếp văn bản mã hóa và không bao giờ nắm giữ khóa của tin nhắn, tệp, cuộc gọi, lượt biểu cảm hoặc thông báo gửi hàng loạt được mã hóa. Chỉ thiết bị của những người tham gia cuộc trò chuyện mới có thể đọc nội dung.
Tosh Defence có thể đọc tin nhắn của khách hàng không?
Không. Tosh Defence không vận hành các hệ thống cài đặt của khách hàng và không có đường truy cập vào đó. Nội dung tin nhắn được mã hóa đầu cuối bằng các khóa chỉ tồn tại trên thiết bị của người dùng.
Quản trị viên của khách hàng có thể đọc tin nhắn không?
Không. Quản trị viên quản lý danh tính, thiết bị và chính sách. Máy chủ không giữ khóa để truy cập nội dung, nên quản trị viên không thể đọc tin nhắn, tệp hoặc nội dung cuộc gọi.
Điều gì xảy ra nếu máy chủ Sanket bị xâm nhập?
Nội dung tin nhắn và tệp trước đó vẫn được giữ bí mật vì chúng được mã hóa bằng các khóa mà máy chủ chưa từng nắm giữ. Danh sách thiết bị có chữ ký số ngăn kẻ tấn công thêm thiết bị để nhận bản sao, còn các mã xác minh an toàn cho phép người dùng xác minh danh tính.
Máy chủ có thể thay đổi hoặc phát lại thông báo gửi đồng loạt không?
Không. Mức ưu tiên, thời hạn xác nhận và thời điểm hết hiệu lực của một thông báo gửi hàng loạt được mã hóa đều nằm trong dữ liệu được mã hóa đầu cuối, nên máy chủ không thể hạ mức ưu tiên hoặc phát lại thông báo đó.
Siêu dữ liệu định tuyến được chuyển đến đâu?
Siêu dữ liệu định tuyến cần thiết để chuyển phát tin nhắn được giữ trong bản cài đặt riêng biệt của khách hàng, chịu sự điều chỉnh của chính sách lưu giữ và kiểm toán riêng của khách hàng.
Tìm hiểu cách thiết kế khiến máy chủ không thể đọc dữ liệu làm thay đổi mô hình mối đe dọa của bạn
Tosh Defence trình bày cho các kiến trúc sư bảo mật về phân tích tình huống máy chủ bị xâm nhập, mức độ tin cậy của thiết bị và cách xử lý siêu dữ liệu của SANKET.