Hva er Vedoy Shield?
Vedoy Shield er Vedøys konsept for et felles sikkerhetslag rundt digitale tjenester. Planene omfatter blant annet kryptering, nøkkelhåndtering og beskyttelse av API-er. Konseptets eksistens er ikke i seg selv dokumentasjon på at en komplett ende-til-ende-kryptert eller postkvantesikker løsning er i produksjon.
Bruk etablerte byggeklosser
Det tryggeste utviklingsprinsippet er å bruke standardiserte og gjennomgåtte algoritmer i godt vedlikeholdte biblioteker. Egne sammensetninger og flere krypteringslag skal ikke markedsføres som sikrere uten en eksplisitt trusselmodell og etterprøvbar dokumentasjon.
Mål sikkerhet på kontroller, ikke prosentpoeng
Det er ikke faglig forsvarlig å si at et prosjekt blir 10 prosent sikrere bare ved å installere et bibliotek. Bruk målbare kontroller, sikkerhetstester og konkrete funn. For webapplikasjoner er OWASP ASVS relevant, mens OWASP MASVS er relevant for mobilapper. https://owasp.org/www-project-application-security-verification-standard/
Forslag til verifisering
Dokumenter nøkkelrotasjon, gjenoppretting, håndtering av kompromitterte enheter, kryptering under overføring og lagring, avhengigheter og trusselmodell. Gjør testvektorer og revisjonsrapporter tilgjengelige, og merk tydelig hva som er eksperimentelt.
Kvantepåstander krever presisjon
Postkvantealgoritmer kan kjøres på klassisk maskinvare. Tilgang til en kvantedatamaskin eller en kvantetilfeldighetskilde er ikke alene en sikkerhetssertifisering. Først etter reelle implementasjonstester og uavhengig revisjon kan konkrete garantier vurderes.