Безбедност и приватност
Како е изграден Domi Gate, што чува, каде и колку долго. Без маркетиншки придавки. Ако нешто сè уште не е направено, така и пишува.
Седум принципи на дизајнот
-
Една точка на средба
Сите уреди се поврзуваат излезно кон серверот на Domi Gate. Телефоните и панелите никогаш не се поврзуваат меѓусебно и во зградата не се отвора ниту една порта.
-
Пристапот работи офлајн
Акредитивите се чуваат шифрирани на панелот. Одлуката за отворање на вратата се носи на вратата.
-
Панелот никогаш не ја активира бравата
Тоа го прави контролер на вратата со сопствено напојување, и тоа само по автентицирани команди, заштитени од повторување, од панелот со кој е спарен.
-
Снимките стандардно остануваат локално
Снимките го напуштаат панелот само по овластено барање, преку линк што истекува, а секое преземање се евидентира.
-
Сè што е чувствително се ревидира
Отклучувања, промени на акредитиви, пристап до снимки, спарување, администраторски дејства.
-
Модуларно
Повиците, пристапот, снимањето и порталот се одвоиви. Зградата може да почне со дел од нив.
-
Изградено за една зграда сега, за повеќе подоцна
Секој запис ја носи зградата на која ѝ припаѓа од првиот ден.
Што се чува каде и колку долго
| Податоци | Каде | Колку долго |
|---|---|---|
| Видео и звук од повик во живо | Се пренесуваат меѓу панелот и телефонот | Никогаш не се чуваат |
| Снимки од движење | Само на панелот, шифрирани | 48 часа во круг, плус ограничување на просторот |
| Снимки од пропуштени повици | На панелот, шифрирани. Привремена копија на серверот постои само додека некој гледа | 48 часа. Веднаш се бришат ако на повикот е одговорено или е отфрлен. По првото гледање, повторно гледање 30 минути |
| Преземени снимки | На серверот, привремено | Додека не истече линкот, потоа автоматско бришење |
| PIN-кодови | На серверот и на панелот | Само еднонасочен хаш (Argon2id), до отповикување |
| Броеви на NFC-картички | Сервер: бројот. Панел: само хаш со клуч | До отповикување; се бришат заедно со лицето |
| QR-кодови за гости | Сервер: 40-цифрениот број. Панел: само хаш со клуч | До отповикување, истекување или искористување; се прикажуваат 30 дена по отповикувањето |
| Историја на повици и настани на пристап | Сервер | Се чуваат; операторот го одредува рокот (автоматско бришење во развој) |
| Ревизорски дневник | Сервер, псевдонимни идентификатори на актери | Се чува од безбедносни и правни причини |
| Регистрација за push и сесии | Сервер | Додека апликацијата не се преинсталира или лицето не се избрише; токени за освежување 30 дена |
Шифрирање, како што е денес
-
TLS за секоја врска меѓу апликациите, панелот, порталот и серверот.
-
Медиумите од повикот се шифрирани меѓу панелот и телефонот. Релејот препраќа пакети што не може да ги декодира и не ги снима.
-
Базата на податоци на панелот е шифрирана (SQLCipher).
-
Снимките се шифрирани при складирање (AES-GCM), со клучеви заштитени од Android Keystore.
-
Идентитетот на панелот е ECDSA P-256 клуч во Android Keystore, кој никогаш не го напушта уредот.
-
Врската меѓу панелот и контролерот на вратата се автентицира со тој идентитет. Клучевите се договараат за секоја врска (потпишан ефемерен ECDH, HKDF-SHA256, AES-256-GCM), повторувањата се отфрлаат, а минатата сесија не може да се дешифрира подоцна.
-
PIN-кодовите и лозинките се хашираат со Argon2id.
-
Броевите на картичките и QR-кодовите стигнуваат до панелите само како HMAC-SHA256 под клуч што ѝ припаѓа на зградата.
-
Краткотрајни токени за пристап со ротирачки токени за освежување.
Ревизија
Секое чувствително дејство се запишува во ревизорски дневник, со тоа кој го направил и кога: далечинско отклучување, создаден или отповикан PIN, запишана картичка, побарана снимка, спарен контролер, оневозможено лице.
Снимка што ја презел управник остава целосна низа: барање, прикачување од панелот, преземање преку линкот што истекува, бришење на привремената копија.
Контролерот на вратата
Панелот никогаш не ја активира бравата. Тоа го прави контролер со сопствено напојување, по команди што се автентицирани со хардверскиот клуч на панелот, шифрирани и заштитени од повторување. Бравата е од типот fail-secure: без напојување, вратата останува заклучена. Ако контролерот не работи, ништо не ја отвора вратата, а управникот добива известување.
Што не правиме
-
Без аналитика и без известување за падови во апликациите. Единствената библиотека од Google е push-услугата.
-
Без реклами.
-
Без стриминг во облак и без трајно снимање во облак.
-
Без препознавање лица. Тоа не е дел од овој систем.
-
Без локација, контакти или датотеки од вашиот телефон.
-
Ништо не се продава ниту споделува за туѓи цели.
Прегледи и сертификати
Внатрешен преглед на безбедноста и зависностите: јули 2026. Сè уште нема независна ревизија. Сè уште не се тврдат сертификати за производот.
Каде живеат податоците
Снимките остануваат на панелот. Акредитивите стигнуваат до панелот како хашови со клуч. Повиците во живо се пренесуваат и никогаш не се чуваат.
Прашања за безбедноста или приватноста?
Пишете на privacy@domigate.com. Целосното известување за приватност е на /privacy.