Шифрование в пути
Все соединения между клиентами BoxSync, браузером, API и нашей инфраструктурой защищены TLS 1.3 с наборами шифров AES-256-GCM и ChaCha20-Poly1305 и обменом ключами ECDHE, что даёт совершенную прямую секретность. TLS 1.0 и 1.1 отключены, TLS 1.2 оставлен только для старых корпоративных шлюзов и только с AEAD-шифрами. Домен включён в HSTS с долгим сроком действия.
Настольный агент проверяет сертификат сервера по закреплённому открытому ключу, поэтому подмена сертификата в сети филиала не позволит прочитать трафик синхронизации. Внутри дата-центров сервисы общаются по mTLS.
Шифрование при хранении
- Файлы делятся на блоки по 4 МБ, каждый блок шифруется AES-256-GCM собственным ключом данных.
- Ключи данных зашифрованы ключом рабочего пространства, а он, в свою очередь, мастер-ключом в аппаратном модуле безопасности (HSM). Мастер-ключи не покидают HSM в открытом виде.
- Ключи рабочих пространств ротируются каждые 90 дней без перешифрования всех данных.
- На тарифе Корпорация доступен собственный ключ клиента (BYOK): отзыв ключа делает данные пространства нечитаемыми для всех, включая нас.
- Метаданные, индексы и резервные копии шифруются так же, как сами файлы.
Дата-центры и резервирование
Сервис размещён в двух дата-центрах уровня Tier III в Москве и Санкт-Петербурге. Площадки работают в режиме active-active: каждый блок хранится в трёх копиях, минимум одна из которых находится на второй площадке.
- резервирование питания и охлаждения N+1, независимые вводы и дизель-генераторы;
- круглосуточная охрана, доступ в машинные залы по биометрии и журналу посещений;
- целевые показатели восстановления при потере площадки: RPO до 15 минут, RTO до 4 часов;
- учения по переключению площадок проводятся раз в квартал.
Доступность сервиса закреплена в SLA 99.99%.
Доступ и идентификация
Для пользователей клиента
- единый вход по SAML 2.0 и OpenID Connect, синхронизация пользователей и групп по SCIM 2.0;
- двухфакторная аутентификация через TOTP или аппаратные ключи FIDO2, принудительное включение для всей организации;
- роли и права на уровне папок, срок действия и пароль для внешних ссылок, запрет скачивания для отдельных папок;
- ограничение входа по IP-адресам офисов и удалённое отключение утерянного устройства.
Для сотрудников BoxSync
Инженеры не имеют постоянного доступа к данным клиентов. Доступ к производственной среде выдаётся по заявке на ограниченное время, через бастион с аппаратным ключом, и каждая сессия записывается. Доступ к содержимому файлов возможен только по обращению клиента в поддержку.
Аудит и мониторинг
Каждое действие пользователя с файлом, правами и ссылками попадает в аудит-лог клиента, который хранится в режиме WORM. Администратор может искать события по сотруднику, папке и типу, выгружать журнал в CSV и JSON, а на тарифе Корпорация отправлять его в SIEM по syslog (RFC 5424). Наша собственная инфраструктура круглосуточно наблюдается дежурной сменой, аномалии входа и массовое скачивание файлов вызывают оповещения.
Безопасная разработка
- обязательное ревью кода двумя инженерами для изменений в модулях аутентификации, шифрования и прав;
- статический анализ и проверка зависимостей на известные уязвимости при каждой сборке;
- подписанные сборки настольных клиентов и проверка подписи при обновлении;
- внешнее тестирование на проникновение не реже раза в год и после крупных изменений архитектуры.
Комплаенс
152-ФЗ «О персональных данных»
Персональные данные российских пользователей записываются и хранятся в базах на территории России. Меры защиты определены моделью угроз и соответствуют требованиям Постановления Правительства РФ № 1119 и приказа ФСТЭК России № 21. Для клиентов мы выступаем обработчиком по поручению и закрепляем это в договоре.
GDPR
Для клиентов из ЕС подписываем соглашение об обработке данных по ст. 28 GDPR, поддерживаем запросы субъектов на доступ, исправление и удаление, ведём реестр операций обработки.
Система управления ИБ
Процессы управления информационной безопасностью выстроены по модели ISO/IEC 27001: оценка рисков, политика доступа, управление изменениями, обучение сотрудников. Описание мер и результаты последнего тестирования на проникновение предоставляем клиентам по соглашению о неразглашении.
Реагирование на инциденты
При подтверждённом инциденте, затрагивающем данные клиента, мы уведомляем администратора без неоправданной задержки и не позднее 24 часов, сообщаем, какие данные затронуты и какие меры приняты. Об инцидентах с персональными данными Роскомнадзор уведомляется в сроки, установленные ст. 21 152-ФЗ. После разбора клиент получает письменный отчёт с причинами и изменениями, которые исключат повторение.
Ответственное раскрытие уязвимостей
Если вы нашли уязвимость в BoxSync Drive, напишите на security@datacrate-cloud.ru. Опишите шаги воспроизведения, затронутые адреса или версии клиента и возможные последствия. Мы благодарим исследователей и не преследуем тех, кто действует добросовестно по этим правилам.
В рамках программы
- сайт datacrate-cloud.ru и его поддомены;
- веб-интерфейс, публичный API и механизм внешних ссылок;
- настольные клиенты для Windows, macOS, Linux и мобильные приложения актуальных версий.
Вне программы
- атаки на отказ в обслуживании и нагрузочное тестирование;
- социальная инженерия в отношении сотрудников и клиентов, физический доступ к офисам и дата-центрам;
- отчёты автоматических сканеров без подтверждённого сценария эксплуатации;
- отсутствие отдельных заголовков безопасности, если это не ведёт к реальной атаке.
Правила
- используйте только свои тестовые рабочие пространства и не обращайтесь к данным других клиентов;
- при случайном доступе к чужим данным остановитесь, не сохраняйте их и сразу сообщите нам;
- не раскрывайте подробности публично, пока мы не выпустим исправление или не пройдёт 90 дней с момента отчёта.
Наши сроки
- подтверждение получения отчёта: 2 рабочих дня;
- первичная оценка критичности: 10 рабочих дней;
- исправление критических уязвимостей: до 30 дней, остальных по приоритету с регулярным статусом для исследователя.
С согласия исследователя мы указываем его имя на этой странице после выпуска исправления.