Шифрование при передаче

Все узлы принимают соединения по TLS 1.3. TLS 1.2 с AEAD-шифрами оставлен для старых устройств и отключается в настройках домена.
Сертификаты для доменов клиентов выпускаются и продлеваются автоматически, включены HSTS и OCSP stapling.
Узлы и shield-регионы общаются по взаимно аутентифицированному TLS (mTLS) с внутренним удостоверяющим центром.
Запросы к origin выполняются по HTTPS с проверкой цепочки сертификатов. Отключить проверку можно только для тестового окружения.

Шифрование хранения

Оригиналы и сконвертированные варианты хранятся на дисках, зашифрованных AES-256-GCM.
Используется конвертное шифрование: у каждого клиента свой ключ данных, который зашифрован мастер-ключом в изолированном кластере управления ключами.
Мастер-ключи ротируются каждые 90 дней, ключи данных при каждом пересоздании хранилища клиента.
Кэш в оперативной памяти узлов не сбрасывается на диск в открытом виде.

Дата-центры

Shield-регионы, где лежат оригиналы, размещены в дата-центрах уровня Tier III и Tier IV в Москве, Санкт-Петербурге и Новосибирске. Эдж-узлы работают в площадках не ниже Tier III.

доступ в машинные залы по пропускам и биометрии, круглосуточная охрана и видеонаблюдение;
резервирование питания и охлаждения по схеме не хуже N+1;
носители выводятся из эксплуатации с криптографическим стиранием и физическим уничтожением.

Изоляция клиентов и контроль доступа

Файлы каждого клиента хранятся в отдельном пространстве имён и шифруются его собственным ключом.
В панели действуют роли «Владелец», «Инженер», «Аналитик» и «Бухгалтер». Второй фактор (TOTP) можно сделать обязательным для всей команды.
API-ключи выпускаются с ограниченными правами (только чтение, загрузка, сброс кэша) и сроком действия.
Для закрытых медиа доступны подписанные адреса с HMAC и временем жизни от 30 секунд.
Все действия в панели и API пишутся в журнал аудита, который хранится 12 месяцев и выгружается в SIEM клиента.

Защита сети и origin

Узлы фильтруют сетевые и прикладные атаки, применяют лимиты запросов на уровне домена и отдельных путей.
Origin shield скрывает адрес вашего сервера от посетителей: к origin обращаются только адреса shield-регионов, их список опубликован в панели для настройки правил межсетевого экрана.
Загружаемые файлы проверяются на соответствие заявленному типу, исполняемые файлы и скрипты не обрабатываются конвертером.

Отказоустойчивость

Каждый оригинал хранится в двух копиях в разных дата-центрах, целостность сверяется по SHA-256 при каждом чтении.
Подтверждённая загрузка не теряется: запись считается успешной только после сохранения обеих копий.
При отказе узла трафик переключается на соседний через anycast-маршрутизацию, обычно за время меньше минуты.

Процессы и соответствие требованиям

Обработка персональных данных выполняется по требованиям 152-ФЗ, данные аккаунтов и оригиналы хранятся в России. Для клиентов из ЕС подписывается соглашение об обработке данных по GDPR.
Система управления информационной безопасностью выстроена по модели ISO/IEC 27001. Ежегодно независимая команда проводит тестирование на проникновение, краткий отчёт доступен клиентам под NDA.
Сотрудники получают доступ к продуктивной среде по принципу минимальных привилегий, только через бастион с MFA и с записью сессий.
Изменения в инфраструктуре проходят ревью кода и автоматические проверки зависимостей на известные уязвимости.

Инциденты

Мы уведомляем владельцев затронутых аккаунтов об инциденте безопасности в течение 24 часов с момента его подтверждения, а при утечке персональных данных информируем Роскомнадзор в сроки, установленные 152-ФЗ. Статус сервиса и разборы инцидентов публикуются в панели.

Ответственное раскрытие уязвимостей

Если вы нашли уязвимость в QuickStore, напишите на support@speeddock-cloud.ru с темой «Уязвимость». Опишите шаги воспроизведения, затронутые адреса и возможное влияние.

В рамках программы

сайт speeddock-cloud.ru и его поддомены, панель управления и публичный API;
узлы доставки и механизмы подписанных адресов.

Вне рамок программы

атаки на отказ в обслуживании и массовое сканирование;
социальная инженерия и физический доступ к площадкам;
доступ к данным других клиентов сверх минимально нужного для демонстрации.

Наши обязательства

подтверждаем получение отчёта в течение 2 рабочих дней и даём оценку в течение 7 дней;
устраняем критичные уязвимости в течение 30 дней и сообщаем вам о результате;
не преследуем исследователей, которые действуют добросовестно и в рамках этих правил;
с вашего согласия указываем ваше имя в списке благодарностей.

Безопасность