La sicurezza in lionbackup

Come proteggiamo i vostri dati – spiegato in modo chiaro per i decisori e documentato in dettaglio per tecnica e audit.

Panoramica per il management

lionbackup è costruito fin dalle fondamenta perché nessuno tranne voi possa leggere i vostri contenuti – nemmeno noi come gestore. Lo garantisce un concetto di sicurezza continuo fatto di cifratura lato client, storage immutabile, zone rigorosamente separate e tracciabilità completa.

A integrazione, le misure tecniche e organizzative (TOM), la descrizione del servizio e il contratto di trattamento dati (AVV/DPA) documentano contrattualmente le misure di protezione (in tedesco).

Dettagli tecnici

1. Cifratura end-to-end lato client

La cifratura avviene interamente nel client open source di lionbackup, prima di qualsiasi trasferimento. Ogni file riceve una chiave dati (DEK) nuova e casuale; i dati utili vengono cifrati a blocchi in modo autenticato con XChaCha20-Poly1305. La DEK viene incapsulata in modo ibrido – classicamente via X25519 e in modo post-quantum-sicuro via ML-KEM-768 (schema ibrido age). Le chiavi private non lasciano mai il vostro sistema e vengono salvate localmente con permessi restrittivi. Conseguenza: il server vede esclusivamente testo cifrato. Se la vostra chiave va persa, il ripristino è tecnicamente impossibile – per scelta.

2. Storage immutabile (WORN) con periodo di conservazione

I backup finiscono in un sistema di storage indurito e ridondante. Per i progetti immutabili è la piattaforma stessa a garantire che ogni oggetto non possa essere né sovrascritto né cancellato per il periodo di conservazione configurato dal cliente (Write Once, Read Never) – indipendentemente dai singoli componenti di storage. Le vostre copie restano intatte anche se un sistema compromesso cerca di distruggerle.

3. Zone separate & traffico interamente cifrato

La piattaforma è divisa in una zona di backup centrale (gestione, portale, controllo) e più zone di storage geograficamente separate. Gli upload dei clienti vanno direttamente all’endpoint di storage (“Citadel”) della zona scelta – non attraverso la zona di gestione. Il traffico di controllo e metadati tra le zone (p. es. sincronizzazione, inoltro audit) passa esclusivamente per una rete di interconnessione fortemente cifrata e mutuamente autenticata con connessione separata per zona. Ogni zona è isolata a livello di rete.

4. Single sign-on centrale & autenticazione multi-fattore obbligatoria

L’unico modo di accedere è il single sign-on tramite una piattaforma d’identità centrale e dedicata. Nel portale non esistono password locali. L’autenticazione a due fattori via TOTP è obbligatoria e non aggirabile. Utenti e gruppi sono gestiti centralmente; il portale valuta esclusivamente attestazioni di autorizzazione firmate crittograficamente.

5. Accesso al database least-privilege

L’applicazione si connette con un utente di database dedicato e non privilegiato (nessun superuser), i cui diritti sono limitati allo schema applicativo. Le query di lettura vengono instradate dove possibile su una replica; le scritture vanno sul database primario. Le credenziali non sono nel codice ma vengono lette a runtime da un archivio segreti protetto e possono essere ruotate.

6. Audit logging centrale & rilevamento anomalie

Gli eventi di sicurezza e applicativi (accessi, voci di audit, upload completati) vengono inviati come record strutturati a un sistema di analisi centrale e ad accesso protetto, dove sono analizzabili. Inoltre l’endpoint di storage verifica euristicamente ogni upload: una misura di entropia (Shannon, bit/byte) rileva se i dati caricati sono davvero cifrati. Se l’entropia misurata scende sotto una soglia (sospetto di dati non cifrati o cifrati debolmente), viene generato un evento di anomalia. Altre irregolarità come dimensioni insolite o abuso di token confluiscono nella stessa analisi.

7. Segmentazione di rete & egress controllato

Le zone sono suddivise in segmenti di rete privati e separati. Il traffico in uscita è strettamente controllato: le sorgenti esterne necessarie vengono fornite solo tramite un intermediario controllato legato alla rete privata della zona, e l’egress verso internet passa per un nodo di uscita dedicato. La superficie d’attacco verso l’esterno resta minima.

8. Trasporto cifrato & replica

Tutto il trasporto è cifrato: il trasferimento tra client ed endpoint di storage avviene via HTTPS/TLS, il traffico di controllo tra zone su connessioni fortemente cifrate e mutuamente autenticate. Nel sistema di storage la chiave dati incapsulata per file viene inoltre avvolta lato server – i vostri contenuti restano comunque illeggibili grazie alla cifratura lato client.

Questa pagina descrive lo stato attuale dell’architettura. Le dichiarazioni vincolanti, garantite contrattualmente, derivano dalle TOM, dalla descrizione del servizio e dal rispettivo contratto (in tedesco).