Segurança
Modelo de segurança
O Riversoft® STCP Gemini aplica os controles da transferência gerenciada de arquivos (MFT) às trocas pelo protocolo OFTP: só parceiros autenticados trocam arquivos, os dados trafegam cifrados, cada conexão e cada arquivo são validados contra as regras do usuário, a entrega é confirmada e tudo fica registrado. A segurança é organizada em camadas:
| Camada | Como o Riversoft STCP Gemini protege |
|---|---|
| Transporte | OFTP 2.0 com TLS 1.2 ou TLS 1.3; o OFTP 1.x também pode ser usado sobre TLS. A Riversoft STCP Gemini API e o Riversoft Console Portal são acessados por HTTPS. Veja TLS. |
| Autenticação dos parceiros | Cada parceiro se identifica com as credenciais OFTP cadastradas para o usuário, e a conexão é recusada se o modo de autenticação ou o modo de conexão não corresponder à configuração. No OFTP 2.0, a autenticação pode usar certificados digitais. |
| Proteção dos arquivos | No OFTP 2.0, os arquivos podem ser cifrados, assinados e comprimidos, com criptografia simétrica e assimétrica. Também há integração com soluções externas de proteção de dados, como PGP, GPG e Voltage. Veja OFTP. |
| Confirmação de entrega | O recebedor confirma cada arquivo com EERP ou recusa com NERP, informando o motivo; as confirmações ficam registradas. |
| Retomada | Uma transferência interrompida é retomada do ponto em que parou, sem reenviar o arquivo inteiro. |
| Regras de acesso | Cada conexão e cada arquivo são validados contra as regras do usuário: bloqueio do usuário, limite de conexões e de tempo de sessão, limite de sessões da instância, filtros de nome e tamanho e janela de horário. |
| Gestão | O Riversoft Console Portal aceita SSO e MFA, e a Riversoft STCP Gemini API usa tokens de acesso. Veja Acesso e identidade. |
| Configuração | Senhas de banco, chaves e segredos ficam em arquivos de configuração com acesso restrito ao usuário e ao grupo do serviço. |
| Rastreabilidade | Cada sessão e cada transferência são registradas com usuário, direção, arquivo, tamanho, tempo, hash e resultado. Veja Monitoramento e auditoria. |
O Riversoft STCP Gemini transfere arquivos somente pelo protocolo OFTP (OFTP 1.x e OFTP 2.0). A segurança dos demais protocolos e conectores, como SFTP e AS2, está em Segurança do Riversoft STCP DirectLink.
TLS 1.2 e TLS 1.3
O TLS (Transport Layer Security) protege as conexões OFTP e o acesso à Riversoft STCP Gemini API e ao Riversoft Console Portal. Há suporte a TLS 1.2 e TLS 1.3, com configuração de cipher suites e definição de políticas de segurança.
| Finalidade | Algoritmos |
|---|---|
| Autenticidade | RSA, ECDSA, EdDSA (Ed25519) |
| Confidencialidade | AES-GCM 128/256, ChaCha20-Poly1305 |
| Integridade | SHA-256, SHA-384, SHA-512 |
OFTP 1.x e OFTP 2.0
O OFTP 2.0 tem mecanismos próprios de segurança. O OFTP 1.x não tem criptografia própria; no Riversoft STCP Gemini, ele pode ser usado sobre TLS para proteger a conexão. Sempre que o parceiro permitir, prefira o OFTP 2.0.
No OFTP 2.0, a proteção inclui criptografia simétrica e assimétrica, certificados digitais, compressão, configuração de cipher suites e políticas de segurança.
| Finalidade | Algoritmos |
|---|---|
| Autenticidade | RSA, ECDSA, EdDSA (Ed25519) |
| Confidencialidade | AES-128, AES-256 |
| Integridade | SHA-256, SHA-384, SHA-512 |
Nota
A disponibilidade e a configuração dos algoritmos variam conforme a versão do protocolo, a versão do produto e as políticas de segurança do ambiente.
Acesso e identidade
Os recursos abaixo valem para a gestão: o Riversoft Console Portal e a Riversoft STCP Gemini API.
Single Sign-On
O Riversoft Console Portal suporta Single Sign-On (SSO) com provedores de identidade corporativos, como Microsoft Entra ID, Okta, Google, Keycloak, AWS Cognito e outros compatíveis. Com o SSO, a autenticação dos operadores fica centralizada no provedor da organização.
Protocolos suportados no login: SAML 2.0, OAuth 2.0 e LDAP. Provedores do tipo JWT são usados pelo Riversoft STCP DirectLink na troca de tokens (token exchange) e não aparecem no login do Riversoft Console Portal.
Tokens de acesso
O Riversoft Console Portal e a Riversoft STCP Gemini API usam JWT (JSON Web Token) para representar as autorizações. Os tokens valem 60 minutos por padrão (ajustável em session_duration, até 720 minutos) e controlam o acesso aos recursos conforme as permissões dos grupos do operador autenticado. Veja Autenticação da Riversoft STCP Gemini API.
Autenticação multifator
O Riversoft Console Portal e a Riversoft STCP Gemini API têm autenticação de dois fatores (2FA) própria, por código TOTP gerado em aplicativo autenticador (como Microsoft Authenticator e Google Authenticator). A 2FA é habilitada no cadastro da API (API/Supervisão). No primeiro login, o operador cadastra a conta no aplicativo pelo QR code exibido.
Nota
Com SSO, o provedor de identidade pode exigir outros fatores, conforme as políticas da organização.
As políticas de senha, também definidas no cadastro da API, controlam o tamanho mínimo, a complexidade, a validade, o histórico de senhas e o número de falhas até o bloqueio do operador.
Controle de acesso
A integração com os mecanismos corporativos de identidade permite aplicar políticas centralizadas de autenticação e autorização. Defina operadores, grupos, permissões e políticas de acesso conforme as regras de segurança da organização.
Autenticação dos usuários de transferência
Os usuários de transferência são autenticados pela instância do Riversoft STCP Gemini Server. A configuração fica no cadastro da instância, na seção de autenticação:
| Recurso | Opções |
|---|---|
| Tipo de autenticação | Sistema operacional, STCP (nativa), RSA SecurID ou LDAP. |
| Autenticação multifator | Desabilitada, aplicativo autenticador (TOTP), código por e-mail ou código por SMS. Pode ser desabilitada para um usuário específico. |
| Políticas de senha | Tamanho mínimo, complexidade (letras minúsculas e maiúsculas, dígitos e símbolos), validade, histórico de senhas e número de falhas até o bloqueio. |
Chave de criptografia das senhas
As senhas gravadas no banco de configuração são criptografadas com uma chave que precisa ser a mesma em todos os módulos do ambiente. Veja como definir a chave e o que fazer para trocá-la em Configuração: chave de criptografia das senhas.
Boas práticas
- Troque a senha padrão do operador administrador (
stcpadmin) no primeiro acesso ao Portal. - Habilite o TLS na Riversoft STCP Gemini API (
ssl: true) com um certificado válido. - Use a mesma chave de criptografia, forte e privada, em
ApplConfigPassPhrase,applConfigPassPhraseeapi_secret. Veja Chave de criptografia das senhas. - Restrinja o acesso aos arquivos de configuração ao usuário e ao grupo do serviço.
- Use OFTP 2.0 com TLS 1.3 e cipher suites modernas nas conexões com parceiros; com OFTP 1.x, use TLS.
- Integre o acesso ao provedor de identidade corporativo e habilite MFA.