Wir können Ihre Daten nicht lesen
Nicht weil wir es versprechen. Sondern weil wir es so gebaut haben, dass wir es nicht können.
Der eine Satz, der zählt
Jedes Unternehmen, das Ihre Passwörter aufbewahrt, sagt, es nehme Sicherheit ernst. Die meisten meinen das auch so. Und die meisten könnten Ihre Daten morgen früh herausgeben, wenn ein Gericht danach fragt, weil sie den Schlüssel besitzen.
Wir können das nicht. Ihre Zugangsdaten sind verschlüsselt, und wir besitzen nicht, was sie öffnet. Auf unserer Seite gibt es nichts herauszugeben, weder für ein Gericht noch für sonst jemanden.
Das ist keine Richtlinie, die eine künftige Geschäftsführung still und leise ändern könnte. Es ist eine Architektur, und sie gilt von dem Moment an, in dem Ihr Chip eingerichtet wird.
Die Schichten
Der Chip
Ein NXP MIFARE DESFire EV3, dieselbe Klasse von Sicherheitselement, die weltweit hinter kontaktlosem Bezahlen und Verkehrssystemen steckt. Gegenseitige AES-Authentifizierung, ein vom Hersteller signiertes Zertifikat, mit dem wir prüfen können, ob das Silizium echt ist, und ein Schlüssel, der den Chip nie verlässt. Ohne erfolgreiche Authentifizierung verweigert er jede Operation.
Der Hauptschlüssel
Er liegt in einem Hardware-Sicherheitsmodul, eigener manipulationssicherer Hardware. Nie in eine Datenbank geschrieben. Nie exportiert. Nie in gewöhnlichen Serverspeicher geladen.
Transport und Sitzungen
TLS 1.3 mit HSTS-Preload, strikte Content Security Policy, Ratenbegrenzung und Sperre bei der Authentifizierung, Sitzungstoken im Ruhezustand gehasht.
Was das verhindert
Phishing, überall wo Passkeys unterstützt werden. Ein Passkey ist an die Domain gebunden, zu der er gehört. Eine perfekte Kopie einer Anmeldeseite bekommt ein perfektes Nichts, weil der Browser sich weigert, für eine Domain zu signieren, die nicht übereinstimmt. Das ist kein cleverer Einfall von uns, so funktioniert der Standard, und genau deshalb bauen wir darauf auf.
Credential Stuffing. Jede Website erhält eigene Zugangsdaten. Es gibt kein Hauptpasswort zu knacken und nichts, was sich anderswo wiederverwenden liesse.
Ein dupliziertes Implantat. Der Schlüssel verlässt den Chip nie, also lässt sich der Chip nicht duplizieren. Das ist eine Eigenschaft des Siliziums selbst, vom Hersteller entworfen und zertifiziert, und so geprüft, wie diese Chipklasse immer geprüft wird: jahrelange öffentliche Prüfung, Angriffe unabhängiger Labore, wissenschaftliche Arbeiten, die versuchen, sie zu brechen. Wir haben das nicht obendrauf gebaut. Wir haben ein Bauteil gewählt, das Angriffe bereits überstanden hatte.
Ein gestohlener Laptop oder ein gestohlenes Telefon. Die Zugangsdaten waren in keinem von beiden. Sie haben das Gebäude mit der Person verlassen.
Uns. Unsere eigenen Ingenieure können Ihren Tresor nicht entschlüsseln. Sensible Aktionen erfordern die Zustimmung von mehr als einer Person, und jede einzelne wird protokolliert.
Was das nicht verhindert
Das ist der Teil, den die meisten Sicherheitsseiten weglassen.
Das physische Entfernen des Chips. Ihr Körper, Ihre Entscheidung, und nichts, was wir bauen, ändert daran etwas.
Zwang. Sie werden festlegen können, wie viel Sicherheit jeder Teil Ihres Lebens braucht. Aber wie bei jeder je erfundenen Authentifizierungsmethode öffnet eine Waffe am Kopf alles. Wir werden nicht so tun, als wäre es anders.
Ein Gerät, das im Moment des Auflegens bereits kompromittiert ist. Wenn auf Ihrer entsperrten Maschine Schadsoftware läuft, während Sie sich authentifizieren, kann sie innerhalb dieser Sitzung handeln. Das Fenster ist schmal. Es ist nicht null.
Wir hätten diesen Abschnitt weglassen können. Jede Seite wie diese tut das. Aber Sie werden sich das in die Hand setzen lassen, und Sie verdienen es, genau zu wissen, wo die Grenzen liegen.
Unabhängig geprüft
Die Architektur wird vor unserer Öffnung für die Öffentlichkeit von einem externen Kryptografie-Unternehmen auditiert. Wir werden veröffentlichen, was sie finden, auch das, von dem uns lieber gewesen wäre, sie hätten es nicht gefunden.
Entwickelt in der Schweiz. Gebaut von einem Kryptografen mit Doktortitel der ETH Zürich und von IBM Research.