Segurança
O que é de facto verdade, com as lacunas à vista.
As páginas de segurança são normalmente um muro de selos. Esta descreve como a coisa está construída e diz com clareza onde uma afirmação exigiria um certificado que não temos.
- 2regiões de processamento
- Por sessãochaves de cifra
- 0modelos biométricos conservados
Controlos
Os que importam a quem integra
- Em trânsito
- TLS 1.3, HSTS
- Em repouso
- AES-256, keys per session
- Biometria
- Não é conservada
- Acesso
- Privilégio mínimo, revisto
- Segredos
- Nunca no cliente
- Prova
- Imutável depois de selado
Nenhum ponto de entrada oferece via de degradação, nem o envio da captura.
Uma carga capturada fica circunscrita à verificação a que pertence.
O modelo existe para a comparação e é descartado na decisão.
O acesso aos dados de produção é delimitado por perfil e fica registado; esse registo faz parte do rasto de prova e não corre à parte.
As chaves de API são do lado do servidor; o cliente recebe fichas de passo válidas quinze minutos e para uma só verificação.
Um processo não pode ser editado a posteriori, e é isso que faz com que valha a pena recuperá-lo.