Perché Qypher è sicuro.
Ai tecnici: spieghiamo, a livello di principi di progettazione, con quale approccio Qypher garantisce la sicurezza.
Prima — ciò che questa pagina omette di proposito.
Questa pagina descrive la sicurezza di Qypher nella forma delle « proprietà e principi che la proteggono ». I dettagli implementativi invece — lunghezza delle chiavi, combinazione esatta degli algoritmi, strutture dati interne — non vengono volutamente divulgati: pubblicarli servirebbe solo a un attaccante e non è necessario per comprendere la sicurezza. La sicurezza di Qypher non si regge sul tenere segreto il progetto, ma sulle proprietà stesse qui descritte.
1. Progettato senza password
Le credenziali sono token generati dalla macchina, non password memorizzate dall'uomo. I rischi tipici delle password — riuso, indovinamento, phishing di un segreto memorizzato — non si presentano affatto.
2. Nessuna credenziale grezza viene memorizzata (solo hash a senso unico)
Il database di Qypher non memorizza mai le credenziali in forma reversibile. Conserva solo un hash a senso unico — un valore trasformato da cui l'originale non può essere ricalcolato. Così, anche se il database trapelasse, non se ne potrebbe estrarre alcuna credenziale utilizzabile. Anche i dati personali come nomi e indirizzi sono memorizzati interamente cifrati, così che, anche in caso di fuga, il loro contenuto non potrebbe essere letto direttamente.
3. Generato con un CSPRNG
Le credenziali sono prodotte da un generatore di numeri pseudocasuali crittograficamente sicuro (CSPRNG) e non dipendono mai da input prevedibili come l'ora; perciò non possono essere enumerate né riprodotte indovinando.
4. I token usano cifratura autenticata (a prova di manomissione)
Il token contenuto nel codice QR non è solo cifrato, ma anche protetto nell'integrità. Qualsiasi token alterato o falsificato viene rifiutato con certezza in fase di verifica. Non è possibile comporre un token valido da informazioni parziali.
5. Le credenziali sono verificate come un tutto indivisibile
Più componenti vengono verificati insieme come un'unica unità. Conoscerne solo una parte non basta ad autenticarsi, così non resta margine per attaccare i componenti singolarmente.
6. Il risultato dell'accesso è verificato insieme alla sua destinazione (anti-dirottamento)
Il risultato dell'accesso include l'informazione sulla destinazione — « per quale sito » — ed è sigillato in modo da non poter essere modificato in seguito. Il sito ricevente verifica l'autenticità del sigillo prima di accettarlo. Perciò un attaccante non può intercettare il risultato lungo il percorso e riutilizzarlo su un altro sito (falso).
7. La condivisione dei dati parte dal consenso dell'utente (l'utente mantiene il controllo)
Per impostazione predefinita ogni sito riceve solo il minimo: l'ID Qypher e l'esito della verifica dell'età (sì/no). L'età reale e la data di nascita non vengono mai inviate — solo se l'utente soddisfa il requisito d'età del sito (l'esito è incluso per impostazione predefinita, così che una verifica dell'età richiesta non possa essere aggirata rifiutandosi di inviarla). La condivisione di qualsiasi altro dato è decisa solo quando sono presenti sia la richiesta del sito sia il permesso dell'utente; i dati non autorizzati dall'utente non vengono mai inviati. I dati richiesti e i termini di ogni sito sono mostrati all'accesso, e l'utente può acconsentire dopo averli verificati.
※ Tuttavia, il modo in cui un sito tratta i dati una volta condivisi è responsabilità del sito stesso, e Qypher non lo garantisce.
8. Revoca immediata (la riemissione invalida la Carta Qypher precedente)
Riemettere una Carta Qypher rende la precedente invalida nello stesso istante. In caso di smarrimento, o se qualcosa sembra strano, l'utente può riemetterla in qualsiasi momento per invalidare la credenziale precedente. Anche in caso di fuga di dati, la finestra di esposizione resta minima.
9. Sessioni lato server + timeout per inattività
Le sessioni sono verificate lato server e sul client non viene conservato alcun segreto che faccia da base di fiducia. Dopo un periodo di inattività la sessione scade automaticamente. Per progettazione, sul client non resta nulla il cui furto possa nuocere.
10. Difesa a più livelli sul perimetro
L'API è protetta da più livelli — rilevamento automatico degli abusi, blocco basato sulla reputazione, filtraggio dei bot (criteri e soglie precisi non vengono divulgati).
11. La determinazione dell'età è centralizzata lato Qypher
Qypher determina l'età dalla data di nascita registrata, ma trasmette a ciascun sito solo l'esito di se l'utente soddisfa il requisito d'età del sito (sì/no), non l'età esatta. La data di nascita e l'età reale restano all'interno di Qypher e non raggiungono mai il sito (inviare l'età esatta ogni volta potrebbe permettere di dedurre la data di nascita dal cambiamento del valore; perciò viene condiviso solo l'esito). Così, ogni sito non deve raccogliere né gestire la data di nascita o l'età.
Inoltre, ogni sito può impostare la propria soglia d'età e scegliere se gli utenti al di sotto vengono semplicemente bloccati (limite d'età) o ammessi con la conferma di un tutore (per gli under 13 la conferma del tutore è la regola di base).
※ Si tratta di una determinazione basata sulla data di nascita registrata, non di una verifica dell'età su documenti ufficiali.
12. La stessa cifratura di cui si fidano governi e banche
Anziché crittografia fatta in casa, usiamo cifrature affermate a livello mondiale, adottate anche da enti governativi e dal settore finanziario. Sono metodi affidabili, sottoposti per molti anni al vaglio di esperti di tutto il mondo. Tutte le comunicazioni sono protette da TLS. Non facciamo mai dipendere la sicurezza solo dal nascondere il progetto.
In sintesi, da cosa protegge.
- Anche se il database trapela: le credenziali usate per l'autenticazione sono memorizzate solo come hash a senso unico, quindi non si può ottenere alcuna credenziale utilizzabile.
- Anche se una Carta Qypher viene fotografata o copiata: una riemissione invalida subito la vecchia, e falsificazioni o manomissioni sono rilevate dalla cifratura autenticata.
- Anche se si viene indirizzati a un sito falso: poiché la destinazione del risultato di autenticazione è verificata, non può essere dirottato verso il sito di un attaccante.
- I dati non autorizzati dall'utente non vengono trasmessi: un sito riceve solo ciò che rientra sia nella « sua richiesta » sia nel « permesso dell'utente »; nessuna informazione non autorizzata circola da sola.
Perché non pubblichiamo i dettagli implementativi. Perché sono informazioni che servirebbero solo a un attaccante. La sicurezza del progetto è garantita dalle proprietà elencate sopra. Se individui una vulnerabilità, ti saremmo grati se ce lo segnalassi tramite il modulo di contatto prima che venga sfruttata.
Scopri come installarlo
Contatto / segnala una vulnerabilità
Qypher = QR + Key + Cipher
La sicurezza nasce dalla progettazione, non dalla segretezza.
