Sunset Docs je navržen tak, aby omezil zbytečné kopie dokumentů a dobu, po kterou jsou aktivní soubory dostupné. Tato stránka popisuje opatření, která používáme, a jejich praktické limity. Nejde o certifikaci ani o záruku, že lze předejít každé hrozbě.
1. Sdílená odpovědnost
Sunset Docs chrání službu a data, která zpracovává. Zákazníci zůstávají odpovědní za to, že mají ke shromažďování každého dokumentu zákonný důvod, že zvolí vhodné datum smazání, že spravují členství v pracovním prostoru a že chrání kopie stažené nebo uchovávané mimo službu.
Samotné používání Sunset Docs nezajišťuje, že zákazník splňuje GDPR nebo jiný právní či oborový požadavek.
2. Účty a přístup do pracovního prostoru
Každý požadavek na dokument se ověřuje vůči členství přihlášeného uživatele v pracovním prostoru. Vlastníci pracovních prostorů řídí přístup členů a oprávnění ke stahování originálů. Dvoufázové ověření je k dispozici pro každý účet a po zapnutí je při přihlášení vyžadováno.
Hesla jsou hašována algoritmem Argon2id. Relace vyprší po sedmi dnech a používají cookies s atributy Secure a SameSite, ochranu proti CSRF a odvolání na straně serveru. Obnovení hesla ukončí stávající relace.
3. Šifrování a úložiště
Originály dokumentů, náhledy a vygenerované kopie aplikace před uložením šifruje pomocí AES-256-GCM. Každý dokument má vlastní datový klíč, který je samostatně zabalen hlavním klíčem služby.
Aktivní šifrované objekty jsou uloženy na soukromé infrastruktuře Hetzner a zrcadleny do soukromého bucketu Cloudflare R2. Veřejné adresy URL objektů se nepoužívají a cesty v úložišti neobsahují názvy souborů zákazníků. Data při přenosu chrání TLS.
4. Příjem souborů a kontrola malwaru
Podporované soubory se kontrolují podle obsahu, umístí se do karantény a před zpřístupněním se prověří. Soubory chráněné heslem, poškozené, nepodporované nebo podezřelé jsou odmítnuty. Soubory v karanténě webová aplikace nezpřístupňuje.
Kontrola malwaru a validace snižují riziko, ale nedokážou odhalit každý škodlivý soubor. Úspěšná kontrola nedokazuje, že je soubor bezpečný nebo pravý.
5. Hranice prohlížeče a stahování
Režim jen pro čtení zobrazuje vygenerované obrázky stránek, nikoli původní soubor. Požadavky na stránky, tisk a originál používají krátkodobou podepsanou autorizaci a restriktivní hlavičky mezipaměti. Vodoznaky v prohlížeči identifikují přihlášeného uživatele a čas.
Kdokoli, kdo dokument vidí, může stále vyfotit nebo zachytit obrazovku. Tisk vytváří další kopii: vlastníci pracovních prostorů rozhodují, zda budou mít vytištěné kopie vodoznak, a každý tisk se zaznamená do protokolu aktivit. Vlastníci pracovních prostorů mohou samostatně povolit stahování originálů.
6. Plánované a ruční mazání
Každý dokument má datum smazání. Plánované nebo oprávněné ruční smazání odstraní z místního úložiště i z R2 aktivní originály, náhledy, dočasné tiskové výstupy, zabalené klíče, názvy souborů, údaje o odesílateli a další citlivá metadata.
Po dobu 12 měsíců zůstává minimální záznam bez obsahu. Ten zaznamenává, že ke smazání došlo, ale neuchovává dokument, název souboru ani totožnost odesílatele.
7. Zálohy a obnova
Šifrované zálohy databáze jsou oddělené od běžného přístupu aplikace a vyprší do 30 dnů. Pokud smazaná data zůstanou jako zbytek v chráněné záloze, neobnovují se pro běžný přístup zákazníka a vyprší spolu s danou zálohou.
Životní cyklus objektů v R2 slouží jako bezpečnostní limit. Za dodržení přesného data smazání každého dokumentu odpovídá mazací úloha aplikace.
8. Provozní opatření
Aplikace běží za reverzní proxy, úložiště dokumentů je mimo veřejný webový adresář a podstatné akce s dokumenty se zaznamenávají. Přístup k produkčnímu prostředí mají jen osoby, které ho potřebují k provozu nebo zabezpečení služby a které jsou vázány povinností mlčenlivosti.
Transakční e-maily neobsahují přílohy s dokumenty, názvy souborů, náhledy, totožnost odesílatele ani odkazy, které by zpřístupnily dokument. Příchozí e-maily s dokumenty přijímá přímo Sunset Docs a přílohy se po přijetí ze zpracování pošty odstraní.
9. Bezpečnostní incidenty
Podezřelé incidenty vyšetřujeme, potvrzené problémy omezujeme, uchováváme důkazy potřebné k vyšetřování a dotčené zákazníky bez zbytečného odkladu informujeme, pokud se incident týká osobních údajů zákazníků. Pokud ještě nejsou známy všechny podrobnosti, poskytujeme informace postupně.
10. Limity mimo Sunset Docs
Příjem e-mailem nemůže odstranit kopie, které už existují v odeslané poště odesílatele, na poštovním serveru, v záloze nebo v jiném externím systému. Smazání dokumentu ze Sunset Docs neodstraní kopie, které si zákazník nebo jiná osoba stáhla, vytiskla, vyfotila nebo uložila jinde.
11. Nahlášení zranitelnosti
Bezpečnostní hlášení posílejte na [email protected]. Nepřikládejte osobní dokumenty ani informace o zákaznících. Nepřistupujte k datům, která nejsou vaše, nenarušujte provoz služby a nepoužívejte sociální inženýrství. Pokud narazíte na data zákazníků, přestaňte a nahlaste jen minimum informací, které potřebujeme k vyšetření.