Швейцарская компания DuoKey SA использует двойной алгоритм для защиты доставки корпоративных файловых ключей

Репортаж от Wedoany，12 ноября швейцарская компания в области кибербезопасности DUOKEY SA раскрыла информацию о ходе внедрения гибридной постквантовой технологии инкапсуляции ключей в рамках решения защиты файлов SecureFolder. Данное решение объединяет традиционный алгоритм обмена ключами на эллиптических кривых P-256 с постквантовым алгоритмом инкапсуляции ключей ML-KEM-768, обеспечивая защиту передачи ключей папок между конечными устройствами и шлюзом управления посредством механизма двойного согласования ключей и производных ключей. Техническая разработка выполнена в соответствии с техническим руководством Федерального ведомства по информационной безопасности Германии (BSI) «TR-02102-1» в редакции 2026 года.

Решение использует трёхуровневую архитектуру управления ключами. Первый уровень — ключ шифрования ключей (KEK), который хранится в собственном аппаратном модуле безопасности (HSM) предприятия или в хранилище ключей и не покидает защищённую среду; второй уровень — 256-битный ключ папки, защищённый шифрованием KEK и управляемый с версионированием на платформе управления ключами; третий уровень — файловый ключ, динамически производный с помощью алгоритма HKDF-SHA256 на основе ключа папки и случайного идентификатора файла, без отдельного хранения. Содержимое файлов шифруется алгоритмом AES-256-GCM и обрабатывается блоками по 64 КиБ.

В процессе доставки ключей конечное устройство и шлюз регистрируют открытый ключ P-256 и открытый ключ инкапсуляции ML-KEM-768 соответственно. При авторизованном высвобождении ключа папки Cockpit выполняет обмен ключами на эллиптических кривых и постквантовую инкапсуляцию ключей по отдельности, затем с помощью HKDF-SHA-384 объединяет два набора ключевого материала, формируя производный ключ для инкапсуляции ключей. Размер блока данных однократной гибридной инкапсуляции ключей составляет 1218 байт. Благодаря такой архитектуре безопасность доставки ключей более не зависит исключительно от традиционных алгоритмов на эллиптических кривых: даже если один из алгоритмов в будущем будет иметь уязвимость, другой алгоритм по-прежнему обеспечит независимую защиту.

SecureFolder также реализует механизм защиты от понижения уровня безопасности. Устройство и шлюз должны одновременно обладать обоими типами открытых ключей; шлюз отклоняет запросы на негибридную инкапсуляцию ключей и не допускает отката системы к традиционному способу доставки ключей с использованием только P-256 в аномальных ситуациях. Информация о папках, версиях ключей и соответствующий контекст также включается в аутентификационные данные для снижения риска подмены ключей и несанкционированного изменения в процессе передачи.

SecureFolder подключается к Nextcloud, openDesk и Collabora Online через специализированный шлюз. При доступе пользователя к файлу система отдельно проверяет права на общий доступ к файлу и права на использование ключа в Cockpit; после авторизации шлюз расшифровывает файл в оперативной памяти и передаёт его в систему онлайн-редактирования; при каждом сохранении файл повторно шифруется и записывается обратно на платформу хранения в зашифрованном виде. Cockpit одновременно регистрирует операции открытия, сохранения файлов, высвобождения ключей и отказа в доступе, а также поддерживает пересылку журналов в систему управления информационной безопасностью и событиями (SIEM).

Согласно опубликованному DUOKEY SA статусу продукта, SecureFolder уже реализует функции гибридной инкапсуляции ключей, шифрования файлов, шлюза и журналирования доступа и прошёл проверку в средах Nextcloud 33, Collabora Online 26.04 и openDesk Community Edition 1.20.0. При этом openDesk подключается через официальный интерфейс расширений без необходимости изменения исходной платформы. Решение для локального развёртывания на предприятии прошло лабораторную проверку; гибридное решение предназначено для заказчиков из государственного сектора и других отраслей; модель независимого программного обеспечения как услуги (SaaS) всё ещё находится на стадии планирования.