# Databeamer voor security- en privacyfunctionarissen Het beschermingsmodel op één pagina, wat de server wel en niet kan zien, de bewuste uitzonderingen, en waar elk cryptografisch detail in deze documentatie staat. Deze pagina is voor de mensen die Databeamer moeten beoordelen voordat hun organisatie het in gebruik neemt: security officers, functionarissen gegevensbescherming, auditors en IT. Ze vat het model samen, benoemt de grenzen zonder omhaal en wijst waar de details staan. De details zelf staan in de ingeklapte blokken **Beveiligingsdetails** door de hele documentatie; zie [hoe je die leest](https://databeamer.eu/docs/getting-started/welcome#beveiligingsdetails). ## Het model in het kort - **End-to-end-versleuteling.** Bestanden, berichten, antwoorden en logboekitems worden op het apparaat van de gebruiker versleuteld en bij de ontvanger ontsleuteld. De servers van Databeamer bewaren en versturen ciphertext. - **Sleutels bestaan alleen op apparaten.** De master key van een gebruiker wordt in de browser gegenereerd, nooit opgeslagen en nooit verstuurd. Hij wordt 2-van-3 gesplitst in een device share (beschermd met de pincode), een server share en een herstelzin; elke twee bouwen hem weer op. Databeamer heeft één share en kan de sleutels van een gebruiker niet herstellen of resetten. - **Post-quantum hybriden.** Sleuteluitwisseling is X25519 + ML-KEM-768, handtekeningen zijn Ed25519 + ML-DSA-65, inhoud wordt versleuteld met ChaCha20-Poly1305. Een aanvaller moet het klassieke én het post-quantum algoritme breken. - **Elke gebruiker is een groep van één.** Persoonlijke opslag en gedeelde groepen gebruiken hetzelfde sleutelmodel: een key set met versies, per lid gewrapt met ECIES. Delen is een lid toevoegen; intrekken is een lid verwijderen en de sleutel roteren. - **Ondertekend auditspoor.** Elke wijzigende handeling draagt een auditentry die het apparaat van de gebruiker ondertekent, opgeslagen in dezelfde transactie en elk uur verzegeld in aaneengeschakelde epochs. > **Beveiligingsdetails** > De sleutelhiërarchie, algoritmen en afleidingsstappen staan beschreven bij [Je account aanmaken](https://databeamer.eu/docs/getting-started/create-your-account), [Herstelzin en shares](https://databeamer.eu/docs/account/recovery-phrase) en [Groepen](https://databeamer.eu/docs/groups/groups). De publieke [technologiepagina](https://databeamer.eu/technology) geeft het architectuuroverzicht buiten de documentatie. ## Wat de server kan zien Zero-knowledge gaat over inhoud. Metadata staat leesbaar op de server, en je beoordeling hoort daar rekening mee te houden: | Zichtbaar voor de server | Niet zichtbaar | | -------------------------------------------------------------------------------------------- | ----------------------------------------------------------- | | Accountidentiteiten, e-mailadressen, namen van organisaties en groepen, ledenlijsten, rollen | Bestandsinhoud, bestandsnamen, mapnamen | | Wie wat met welk object deed en wanneer (auditlog, activiteit) | Berichttekst, tags, antwoorden, logboekitems | | Versleutelde groottes, aantallen blokken, tijdstempels | Antwoorden op requests, geüploade documenten, privénotities | | Documenttypes, statussen en labels, groepstypes | Wachtwoordzinnen, pincodes, private keys, group keys | | Chatkanaal, afzender, key version, lees- en typstatus | Namen en types van bijlagen | | E-mailadressen van gasten en toegangsgebeurtenissen | | Twee gevolgen voor beleid: labels en groepsnamen mogen nooit persoonsgegevens of zaakgegevens bevatten, en verkeersanalyse (wie wisselt met wie, hoe vaak, hoeveel) is mogelijk voor wie de server beheert. ## Bewuste uitzonderingen Dit zijn de punten waar Databeamer wat zero-knowledge inruilt voor bruikbaarheid. Elk punt staat gedocumenteerd bij de functie, en elk is een keuze waar je organisatie beleid op kan maken. - **Ontgrendelen door gasten met een code per e-mail.** Kiest een verzender "code per e-mail" in plaats van een wachtwoordzin, dan staat de envelope key in escrow bij een beheerde key management service en wordt hij vrijgegeven nadat de gast aantoont de mailbox te beheren. Voor die transfer kan Databeamer de bestanden tijdens een geverifieerde toegang openen, en de vrijgave wordt gelogd. De wachtwoordzin kent zo'n escrow niet. Zie [Een transfer versturen](https://databeamer.eu/docs/transfers/send-a-transfer). Bepaal welke modus je organisatie toestaat voor welke gegevens. - **Dreigingsscan op hash.** De client meldt een SHA-256-hash van de inhoud van elk geüpload bestand, zodat die tegen lijsten met bekende malware kan worden gecontroleerd. De server ziet daardoor wanneer twee gebruikers hetzelfde bestand hebben, niet wat het is. Het resultaat is adviserend. Zie [Bestanden uploaden en ordenen](https://databeamer.eu/docs/files/upload-and-organise). - **Sleutelrotatie beschermt wat daarna komt.** Een groepslid verwijderen laat wat diegene al ontsleuteld had in diens handen; de rotatie die bij het verwijderen automatisch start, beschermt alles wat daarna wordt toegevoegd. Zie [Groepen](https://databeamer.eu/docs/groups/groups). - **Een accountreset** door Databeamer vernietigt de sleutels en persoonlijke gegevens van een gebruiker als zowel de apparaten als de herstelzin verloren zijn. Zie [Databeamer invoeren bij je gebruikers](https://databeamer.eu/docs/administrators/roll-out-to-your-users). ## Identiteit en toegang Authenticatie loopt via de identiteitsdienst van Databeamer (Zitadel), met optioneel single sign-on over OpenID Connect of SAML 2.0. Identiteit en sleutels staan los van elkaar: inloggen geeft geen sleutels, en een gecompromitteerde identity provider levert op zichzelf geen leesbare gegevens op. Een nieuwe SSO-gebruiker krijgt de sleutels van de organisatie pas als het apparaat van een beheerder ze wrapt. Autorisatie is beleidsgestuurd per object; rollen zijn eigenaar, beheerder, lid en lezer op groepsniveau, en eigenaar, beheerder en lid op organisatieniveau. Zie [Organisaties](https://databeamer.eu/docs/groups/organizations). ## Beleid voor apparaten en herstel Elk apparaat heeft een eigen, met de pincode beschermde share en kan vanaf een ander apparaat worden ingetrokken. Passkeys (WebAuthn PRF) kunnen de pincode per apparaat vervangen. Alle apparaten kwijt maakt de herstelzin de enige weg terug; die ook kwijt betekent dat het account niet te herstellen is. Je organisatie hoort daarom een schriftelijke regel te hebben over waar medewerkers hun zin bewaren, en een besluit over wanneer een reset wordt aangevraagd. Zie [Apparaten en ontgrendelen](https://databeamer.eu/docs/account/devices-and-unlock) en [Herstelzin en shares](https://databeamer.eu/docs/account/recovery-phrase). ## Aanknopingspunten voor incidenten | Als | Dan | | --------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Een apparaat is kwijt of gestolen | Trek het in vanaf een ander apparaat; genereer de herstelzin opnieuw als die erop stond. [Gids](https://databeamer.eu/docs/account/lost-my-phone) | | Iemand verlaat de organisatie | Verwijder diegene uit elke groep; de sleutel roteert bij het verwijderen. Draag eerst het eigenaarschap over. [Gids](https://databeamer.eu/docs/groups/offboard-someone-who-left) | | Een transfer of mail ging naar de verkeerde persoon | Verwijder de transfer of trek de levering aan de gast in; al opgehaalde inhoud is niet terug te halen. [Referentie](https://databeamer.eu/docs/transfers/track-a-transfer) | | Een wachtwoordzin is uitgelekt | Verwijder de transfer en verstuur opnieuw met een nieuwe zin. | | Iets lijkt niet te kloppen in een account | Lees het auditlog en de beveiligingsmeldingen; ondertekende entries kan de server niet vervalsen. [Referentie](https://databeamer.eu/docs/account/audit-log) | ## Waar de details staan | Onderwerp | Pagina's met Beveiligingsdetails | | ------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Sleutels genereren, secret sharing, herstel | [Je account aanmaken](https://databeamer.eu/docs/getting-started/create-your-account), [Herstelzin en shares](https://databeamer.eu/docs/account/recovery-phrase) | | Pincode, passkeys, apparaatgoedkeuring, intrekken | [Apparaten en ontgrendelen](https://databeamer.eu/docs/account/devices-and-unlock) | | Bestandsversleuteling, integriteit, dreigingsscan | [Bestanden uploaden en ordenen](https://databeamer.eu/docs/files/upload-and-organise), [Prullenbak en verwijderen](https://databeamer.eu/docs/files/trash) | | Logboeken | [Logboeken](https://databeamer.eu/docs/files/journals) | | Group keys, lidmaatschap, rotatie | [Groepen](https://databeamer.eu/docs/groups/groups) | | Transfers naar accounts en gasten, verlopen | [Een transfer versturen](https://databeamer.eu/docs/transfers/send-a-transfer), [Transfers volgen en ontvangen](https://databeamer.eu/docs/transfers/track-a-transfer), [Een transfer openen](https://databeamer.eu/docs/recipients/open-a-transfer) | | Secure Mail | [Secure Mail](https://databeamer.eu/docs/transfers/secure-mail) | | Requests en inzendingen | [Een request aanmaken](https://databeamer.eu/docs/requests/create-a-request), [Inzendingen beheren](https://databeamer.eu/docs/requests/manage-submissions), [Een request beantwoorden](https://databeamer.eu/docs/recipients/answer-a-request) | | Chat | [Chat en directe berichten](https://databeamer.eu/docs/chat/messaging) | | Contacten en identiteit | [Contacten](https://databeamer.eu/docs/chat/contacts) | | Auditlog | [Auditlog](https://databeamer.eu/docs/account/audit-log) | | SSO, organisatiemetadata | [Organisaties](https://databeamer.eu/docs/groups/organizations) | Voor hosting, verwerkers, certificeringen en de normen waaraan Databeamer wordt getoetst, zie de [compliancepagina](https://databeamer.eu/compliance). Volgende: [Databeamer beoordelen vóór ingebruikname](https://databeamer.eu/docs/security-officers/adoption-review).