Шифрование при передаче

Все публичные точки входа (S3 API, консоль, API управления, канал агента) принимают соединения только по HTTPS. По умолчанию согласуется TLS 1.3. Для совместимости со старыми S3-клиентами поддерживается TLS 1.2 исключительно с AEAD-наборами (ECDHE с AES-GCM или ChaCha20-Poly1305). SSL 3.0, TLS 1.0 и 1.1 отключены.

Сертификаты с ключами ECDSA P-256, автоматический перевыпуск за 30 дней до окончания срока.
HSTS с max-age два года и includeSubDomains для консоли и сайта.
Агент устанавливает исходящее соединение и проверяет сертификат по закреплённому корневому центру. Входящие порты на сервере базы открывать не нужно.

Шифрование при хранении

Каждый объект и каждый блок резервной копии шифруется алгоритмом AES-256-GCM до записи на диск. Используется схема конвертного шифрования:

Для каждого объекта генерируется собственный ключ данных (DEK).
DEK шифруется мастер-ключом проекта (KEK), который хранится в KMS с аппаратными модулями безопасности и не покидает их в открытом виде.
Мастер-ключи ротируются каждые 90 дней, старые версии сохраняются только для расшифровки ранее записанных данных.

Дополнительно доступны два режима, при которых ключ остаётся у вас:

SSE-C: ключ передаётся с каждым запросом и не сохраняется на нашей стороне.
Шифрование в агенте: бэкап шифруется на вашем сервере ключом из вашего хранилища секретов. CloudCrate получает только шифротекст.

Дата-центры

Регион ru-msk-1 размещён в двух дата-центрах в Москве, сертифицированных по уровню Tier III (Uptime Institute), и разделён на три зоны доступности с независимым электропитанием, охлаждением и сетевыми каналами. Асинхронная реплика для тарифа «Платформа» располагается в дата-центре Tier III в Санкт-Петербурге.

Круглосуточная охрана, система контроля доступа с двухфакторной проверкой, видеонаблюдение с хранением записей 90 дней.
Наши стойки расположены в выделенных запираемых модулях. Доступ получают только сотрудники эксплуатации из утверждённого списка.
Резервирование питания по схеме N+1, дизель-генераторы с запасом топлива на 24 часа работы.
Диски, выведенные из эксплуатации, проходят криптографическое стирание и физически уничтожаются на территории дата-центра.

Целостность и долговечность

Объекты разбиваются кодом Рида-Соломона на 8 блоков данных и 4 блока чётности, по 4 блока в каждую из трёх зон. Данные восстанавливаются из любых 8 блоков из 12, поэтому выход из строя целой зоны не приводит к потере и не останавливает чтение. Проектная долговечность составляет 99,999999999% в год.

Контрольные суммы CRC32C проверяются при каждой записи и чтении, SHA-256 хранится в метаданных объекта.
Фоновая проверка (scrubbing) перечитывает все блоки не реже раза в неделю и восстанавливает повреждённые.
Object Lock в режиме compliance защищает бэкапы от удаления и перезаписи до окончания срока, в том числе от действий владельца проекта.

Управление доступом

Для клиентов

Роли проекта и ключи доступа с ограничением по бакету, префиксу, операциям и IP-адресам источника.
Вход через SAML 2.0 или OpenID Connect, обязательная двухфакторная аутентификация на уровне проекта.
Журнал аудита всех вызовов API управления и операций с объектами выгружается в выбранный вами бакет.

Для сотрудников CloudCrate

Доступ к продуктивной среде только через защищённый шлюз с аппаратным ключом второго фактора и записью сессий.
Права выдаются на ограниченное время по заявке и автоматически отзываются. Пересмотр прав раз в квартал.
Доступ к Данным клиента возможен только по письменному запросу клиента и фиксируется в журнале, доступном клиенту.

Сетевая защита

Фильтрация атак на отказ в обслуживании на уровне сети и приложения, ограничения частоты запросов на ключ доступа.
Приватные точки подключения к хранилищу через выделенные каналы связи для тарифа «Платформа».
Сегментация внутренней сети, взаимная аутентификация сервисов по mTLS, запрет исходящих соединений из узлов хранения в интернет.

Соответствие требованиям

152-ФЗ: данные хранятся на территории РФ, меры защиты соответствуют требованиям постановления Правительства РФ № 1119 и приказа ФСТЭК России № 21. Мы подписываем поручение на обработку персональных данных.
GDPR: для клиентов, обрабатывающих данные резидентов ЕС, предоставляем соглашение об обработке данных (DPA) и описание технических и организационных мер.
Процессы управления ИБ выстроены с опорой на ISO/IEC 27001 и 27017: реестр активов и рисков, управление изменениями, обучение сотрудников, ежегодный пересмотр политик.
Внешний тест на проникновение проводится не реже раза в год. Краткое заключение предоставляется клиентам тарифа «Платформа» по запросу под соглашение о неразглашении.

Реагирование на инциденты

Дежурная команда работает круглосуточно. При инциденте, затрагивающем данные клиентов, мы уведомляем владельцев проектов не позднее 24 часов с момента обнаружения и сообщаем, какие данные затронуты и что предпринято.

Об инцидентах с персональными данными мы уведомляем Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 152-ФЗ: первичное уведомление в течение 24 часов, результаты расследования в течение 72 часов.

Ответственное раскрытие уязвимостей

Если вы нашли уязвимость в CloudCrate, сообщите о ней на security@packetdrive-lab.ru. Опишите затронутый компонент, шаги воспроизведения и возможное влияние. Пожалуйста, не публикуйте информацию до выпуска исправления.

Что мы обещаем

Подтвердим получение в течение 2 рабочих дней.
Оценим критичность и сообщим план исправления в течение 5 рабочих дней.
Исправим критические уязвимости в течение 30 дней и будем держать вас в курсе.
С вашего согласия упомянем вас в благодарностях после исправления.

Область проверки

Сайт packetdrive-lab.ru и консоль управления.
S3 API и API управления в регионе ru-msk-1.
CLI crate и агент резервного копирования последних версий.

Вне области проверки

Атаки на отказ в обслуживании и нагрузочное тестирование.
Социальная инженерия в отношении сотрудников и клиентов, физический доступ к дата-центрам.
Доступ к данным других клиентов сверх минимального объёма, который нужен для подтверждения уязвимости.

Мы не будем предъявлять претензий исследователям, которые действуют добросовестно, соблюдают эти правила и используют для проверки собственные тестовые проекты.

Как CloudCrate защищает ваши данные