Як iMind захищає дані від витоків у відеоконференції

Перерахуємо причини витоків даних і пояснимо, як iMind захищає від них організації. Як зловмисник може підглянути та підслухати відеоконференцію , прочитати чат? Основних способів 2:

• Зайти з чорного ходу: перехопити відео та чат хакерськими інструментами – так, що ви не дізнаєтесь
• Зайти з парадного входу: залогінитись під кимось із співробітників, переглянути записи конференцій або підслухати онлайн переговори, наприклад, підключившись без відео

Витік даних ризикує обернутися втратою грошей та довіри клієнтів. Деякі випадки витоків даних: Sony у 2011 році та позов на $400 тисяч, французька кінокомпанія Pathe та 19 млн євро .

Як iMind захищає користувачів? Способи 1-3 для чорного ходу та 4-6 – для парадного.

1. Передаємо дані по захищеному каналу – DTLS

iMind побудований на технології WebRTC. WebRTC користується браузером, щоб доставляти відео та аудіо. У браузері вбудовано протокол DTLS. Він шифрує канал передачі і робить перехоплення дуже складним.

Допустимо, я напишу вам листа. Якщо я надішлю його поштою – не складно розкрити конверт і прочитати чи підмінити лист. А якщо найму машину інкасації з охороною зробити це буде набагато складніше.

2. Шифруємо самі дані – AES-256 шифрування

У разі, якщо вдасться перехопити дані, вони зашифровані. Лист, що викрав, у інкасаторів повинен знати код або вгадати його, щоб прочитати.

Як зробити, щоб код не впізнали – тобто не залогинилися під вами – у пунктах 3-5 .

Вгадати – підібрати – код до даних, зашифрованих 256-розрядним шифруванням AES, вважається завданням рівня спецслужб. У цій статті про AES-256 на одну сторінку А4 пояснюється, чому AES – стандарт шифрування Уряду США.

AES вбудований у WebRTC. Якщо розробник відеоконференції увімкнув це шифрування, всі дані передаються у зашифрованому вигляді. Крім цього, iMind підтримує найвищу надійність шифрування з доступних у WebRTC – 256-розрядну.

Подолати AES та DTLS складно. Набагато простіше дізнатися чи зламати пароль. Кажуть, більшість хакерських атак виходять через стікер з паролем на моніторі секретарки. Ось що iMind робить, щоби з вами такого не трапилося.

3. Не змушуємо встановлювати ПЗ

Встановлення будь-яких програм на комп'ютер або смартфон не є безпечним. Потенційні вразливості можна знайти навіть у просунутому ПЗ. Тому у iMind є 2 версії: настільна, яку треба завантажувати та встановлювати, та веб – яку завантажувати не треба. Якщо ви працюєте з комп'ютера, втратити дані з якого – трагедія, – не ризикуйте, використовуйте веб-версію. Наслідки використання версії, що завантажується, – ваша відповідальність

4. Не зберігаємо паролі

Щоб авторизуватись на iMind, пароль не потрібен. Тримати його на своєму сервері = давати можливість для викрадення облікового запису. Зламують навіть таких великих та захищених провайдерів, як Yahoo . Якщо все ж таки хочете використовувати пароль, заходьте через Google - тоді Google і несе відповідальність за безпеку.

5. Використовуємо одноразові ключі

Замість пароля ми надсилаємо код для входу на email. По SMS зручніше, але перехопити SMS зараз простіше, ніж зламати email обліковий запис. Приклад, як це просто, на Хабрі .

6. Показуємо тих, хто “стукає” у конференцію

Докладніше про функцію “кімнати очікування” читайте в наступній статті.