Integritetspolicy

Din, så väl som ditt datas säkerhet är viktiga för oss. Passwork följer dessa grundläggande säkerhetsprinciper:

  1. Allt kritiskt data krypteras i din webbläsare och överförs inte till servern i klartext. Detta innebär att ingen utom du, så väl som de som du beviljat åtkomst till dina valv i Passwork, kan få tillgång till krypterad information. Anställda hos Passwork har inte tillgång till ditt data.
  2. Vi samlar inte in och lagrar dina privata och personliga uppgifter.
  3. Vi ger inte tredje parter åtkomst till våra servrar och vi delar inget data som matats in av användare.
  4. Ditt data genomgår en rad ytterligare åtgärder (kryptering på servern osv.).
  5. De anställdas tillgång till servrarna är strikt reglerad och begränsad.

Grundprinciperna för Passwork

  1. Servern tar emot data som redan krypterats.
  2. Krypteringsnyckeln lagras i användarens webbläsare och skickas aldrig till servern.
  3. Alla operationer med data sker i webbläsaren (kryptering) och servern bara lagrar datat.

Master-lösenordet — Denna nyckel krypterar allt data på klienten. Master-lösenordet lagras i webbläsaren och skickas inte till servern.

Passwork använder valv för att stöda grupparbete. Användarna kan skapa valv och bjuda in andra användare, så väl som tilldela åtkomst osv. Lösenorden sparas i valv.

Varje valv har en egen 256-bitars inbjudningskod (valvets lösenord). Allt data i valvet är krypterat med valvets inbjudningskod.

Valvets inbjudningskod är i sin tur krypterad med Master-lösenordet och därefter lagrad på servern tillsammans med användarens data.

Auktoriseringslösenordet

Vid registrering anger användaren sin e-postadress och sitt auktoriseringslösenord. Auktoriseringslösenordet behövs bara för att logga in. Om du glömmer det, kan det enkelt återställas.

Eftersom datat är krypterat med Master-lösenordet, men inte auktoriseringslösenordet, tillåter inte auktoriseringslösenordet åtkomst till de sparade lösenorden. Därför kommer du att bli ombedd att ange Master-lösenordet efter återställandet av auktoriseringslösenordet.

Om ditt auktoriseringslösenord blir stulet, är det en olägenhet, men lyckligtvis har angriparna inte tillgång till dina lösenord, eftersom de inte vet Master-lösenordet.

Eftersom Master-lösenordet lagras i webbläsaren, kräver systemet att användaren anger Master-lösenordet i samband med varje funktion (om den inte kan hitta det, till exempel om du använder en annan dator eller webbläsare). Du kan besluta att inte spara Master-lösenordet i webbläsaren (till exempel om du använder någon annans dator).

Master-lösenordet skickas aldrig till servern, så vi kan inte återställa det. Om du glömmer Master-lösenordet, förlorar du åtkomsten till allt ditt data.

Viktigt

För att hjälpa dig att komma igång med Passwork, genereras Master-lösenordet på basen av ditt auktoriseringslösenord vid registreringstillfället. När användaren loggar in i systemet, visas ett meddelande om att förbättra datasäkerheten, där användaren uppmanas att ange ett nytt Master-lösenord.

Vi rekommenderar starkt att du väljer och anger ett nytt Master-lösenord istället för att använda auktoriseringslösenordet.

Komplexitet av lösenord

Vi tror att alla användare förstår hur viktigt det data är, som de kommer att lagra i systemet, Därför påtvingar vi inte restriktioner för komplexiteten av auktoriseringslösenordet och Master-lösenordet.

Skapa ett nytt valv

  1. Användaren väljer "Lägg till valv".
  2. Systemet genererar valvets inbjudningskod - slumpmässig 256-bitars nyckel (på klienten).
  3. Valvets inbjudningskod krypteras med Master-Lösenordet.
  4. Den krypterade inbjudningskoden sparas på servern.

Bjud in till valv

  1. Användaren anger e-postadressen till personen som skall få tillgång till valvet.
  2. Den krypterade inbjudningskoden till valvet laddas från servern, avkrypteras med Master-lösenordet och visas för användaren.
  3. Användaren måste skicka valvets inbjudningskod till mottagaren med hjälp av en tredjeparts kanal (om båda användarna redan finns i systemet, kan du också skicka valvets inbjudningskod genom att överföra det - mer information finner du i stycket «RSA kryptering»).
  4. Om e-postadressen inte finns i systemet, skickas ett e-postmeddelande innehållande en länk, med vilken personen kan navigera till Passwork-snabbregistreringen.
  5. Användaren ser inbjudan till valvet och måste ange valvets inbjudningskod.
  6. Valvets inbjudningskod krypteras med den andra användarens Master-lösenord och lagras sedan på servern.

Skicka lösenord

  1. När du skickar ett lösenord, skapar systemet en kopia och skickar den till mottagaren.
  2. Om mottagaren inte är registrerad, kommer mottagaren att styras till registrering.
  3. Om användaren finns i systemet och har genererat ett RSA-nyckelpar, skickas lösenordet krypterat:
    • avsändaren tar emot mottagarens publika nyckel
    • avsändaren krypterar lösenordet och skickar det till servern
    • mottagaren avkrypterar lösenordet med sin privata nyckel på klienten
  4. Användaren kan ange en engångskod för ytterligare skydd under överföringen av lösenordet (detta behövs, om du inte använder RSA-kryptering):
    • lösenordet krypteras med engångskoden på avsändarens klient;
    • avsändaren måste meddela engångskoden till mottagaren med hjälp av en tredjeparts kommunikationskanal.
  5. Om RSA-nycklar inte har genererats eller mottagaren inte finns i systemet och en engångskod inte angivits
    • skickas lösenordet okrypterat till servern, där det krypteras före det lagras i databasen
    • efter att lösenordet mottagits, tas det bort från databasen

Spara lösenord

  1. Klienten tar emot den krypterade inbjudningskoden till valvet från servern.
  2. Klienten avkrypterar valvets inbjudningskod med hjälp av Master-lösenordet.
  3. Klienten krypterar datat med valvets inbjudningskod.
  4. Det krypterade datat sänds till servern.

Hämta ett lösenord från ett valv

  1. Klienten tar emot den krypterade inbjudningskoden till valvet från servern.
  2. Klienten avkrypterar valvets inbjudningskod med hjälp av Master-lösenordet.
  3. Klienten avkrypterar lösenordet med hjälp av valvets inbjudningskod.

Åtkomst

  1. Det finns följande rättigheter till ett valv:
    1. Administratör — fullständig åtkomst
    2. Skriv — fullständig åtkomst till lösenord, utan rättighet att bjuda in och hantera användare
    3. Skrivskyddad — skrivskyddad åtkomst
  2. För enkel lagring av lösenord, kan användare skapa mappar inom valvet och tilldela dem åtkomstnivåer:
    1. Full — fullständig åtkomst till lösenord i mappen
    2. Skrivskyddad — skrivskyddad åtkomst till lösenord i mappen
    3. Ingen åtkomst — användaren har ingen åtkomst till mappen (och kan inte ens se den)
  3. Åtkomsten till en mapp har högre prioritet än åtkomsten till valvet.

Förvara Master-lösenordet i en webbläsare

  1. Vid registrering får varje användare en slumpmässigt genererad kod från servern.
  2. När klienten får den slumpmässiga koden, används den för att skapa ett unikt lösenord.
  3. Master-lösenordet krypteras och lagras i ett lokalt datalager i webbläsaren.
  4. Således leder inte analysering av det lokala datalagret till avkryptering av Master-lösenordet.
  5. Användaren kan besluta att inte lagra Master-lösenordet i det lokala datalagret. I det här fallet frågar systemet Master-lösenordet i samband med varje funktion.

RSA kryptering

  1. Under inloggningsprocessen genereras ett RSA-nyckelpar.
  2. Den publika nyckeln skickas till servern
  3. Den privata nyckeln krypteras med Master-lösenordet och skickas till servern
  4. Vid alla operationer med data som sker mellan registrerade användare används den normala RSA-krypteringsmetoden.
Funktionerna relaterade till RSA befinner sig för närvarande i teststadiet och ingår inte i produktionsversionen.