Il contenuto del PDF
Il server conserva una copia cifrata. Con le sole chiavi e i file che conserva, Fide non può decifrarla autonomamente.
Dentro Fide / Documenti
Una chiave sul telefono. Un file cifrato sul server.
Il cedolino viene preparato e cifrato nel browser dell'azienda. Fide conserva la versione cifrata; il dipendente la apre sul proprio dispositivo. Qui spieghiamo il percorso, i dati visibili e i limiti reali di questa scelta.
fide-doc-v1
La chiave privata del documento nasce e resta sul dispositivo del lavoratore.
Al portale arriva solo la chiave pubblica necessaria per cifrare il file destinato a quel dispositivo.
Il percorso del cedolino
Chi vede che cosa, in ogni passaggio
Il diagramma descrive il formato attuale dei documenti, fide-doc-v1.
-
01
Browser HR
Controllo del destinatario
Il portale divide il PDF cumulativo e propone un destinatario per pagina. L'HR apre e conferma ogni associazione prima della pubblicazione. L'originale è leggibile dall'HR in questo passaggio.
-
02
Browser HR
Cifratura locale
Il browser genera una chiave casuale per il file e cifra il PDF con XChaCha20-Poly1305. Poi sigilla quella chiave con la chiave pubblica X25519 del dispositivo destinatario. Il buffer della chiave temporanea viene azzerato anche se l'operazione fallisce.
-
03
Server Fide
Conservazione e consegna
Il server riceve il PDF cifrato, la chiave del file sigillata, i dati tecnici necessari alla verifica e i metadati di consegna. Non riceve la chiave privata del lavoratore né il PDF in chiaro.
-
04
Telefono del lavoratore
Apertura sul dispositivo
Solo dopo lo sblocco locale, l'app usa la chiave privata conservata nel dispositivo per aprire la chiave del file, scarica il contenuto cifrato e lo decifra sul telefono. Il lavoratore può anche salvarne una copia leggibile dove sceglie.
La cifratura autentica lega il file al documento e al destinatario: se il contenuto o l'associazione vengono alterati, l'apertura fallisce.
Confine della protezione
Cosa Fide può conoscere
I metadati
Fide tratta comunque dati come azienda, destinatario, categoria e data del documento, stato di consegna e accessi registrati. La cifratura del PDF non nasconde questi dati.
Una richiesta dell'autorità
Fide deve valutare e rispondere alle richieste legittime secondo la legge. Può consegnare ciò che detiene, inclusi file cifrati e metadati; non può produrre il contenuto in chiaro dal solo archivio cifrato, se non possiede la chiave privata.
Senza promesse assolute
Che cosa non copre la cifratura
- Il browser HR vede l'originale. L'azienda carica il documento e può conservarne una copia nei propri sistemi. Un dispositivo HR compromesso o codice web malevolo potrebbe leggere il file prima della cifratura.
- Il telefono vede il documento aperto. Chi controlla un dispositivo sbloccato potrebbe accedervi. Una copia che il lavoratore salva o condivide esce dalla protezione del file cifrato in Fide.
- La perdita della chiave non ha una scorciatoia. Se il vecchio dispositivo non è disponibile, HR deve emettere di nuovo i documenti per la nuova chiave del lavoratore. Fide non conserva una chiave di recupero capace di aprirli.
- La verifica del destinatario richiede una persona. Il codice fiscale aiuta a separare le pagine, ma non sostituisce il controllo visivo dell'HR prima dell'invio.
Dettagli tecnici
Un'architettura da poter controllare
Il formato fide-doc-v1 usa una chiave casuale per ogni documento, XChaCha20-Poly1305 per il PDF e crypto_box_seal per consegnare la chiave del file alla chiave pubblica X25519 del dispositivo. Sono primitive di libsodium, non un algoritmo inventato da Fide.
La chiave privata è conservata nel contenitore sicuro del sistema operativo con accesso limitato al dispositivo. Le autorizzazioni di lettura dei documenti vengono controllate dal server; la cifratura è una protezione aggiuntiva, non un sostituto dei permessi.
Descrizione tecnica del sistema attuale. Non costituisce una certificazione indipendente né sostituisce la documentazione contrattuale e le informative fornite dall'azienda ai lavoratori.