Безопасность и шифрование
Наш подход к безопасности задокументирован, поддаётся проверке и прозрачен.
Покрытие MITRE ATT&CK Mobile
Наши функции опираются на множество проверок безопасности, сопоставленных с фреймворком MITRE ATT&CK Mobile, публичной базой знаний, которая описывает техники атак на телефоны.
Модель угроз
Trasimene нацелен на задокументированные угрозы из фреймворка MITRE ATT&CK Mobile: фишинг и квишинг, вредоносные приложения, перехват сетевого трафика (MITM), утечки данных и шпионское ПО. Точный охват обнаружений зависит от возможностей каждой платформы (Android, iOS): мы документируем, что приложение может, и чего не может, обнаружить, не обещая 100% защиты.
Соответствие стандартам
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, GDPR и ISO 25010 определяют наши решения. Сервер и сайт покрыты автоматическими тестами: более 1 700 тестов для сайта и более 300 файлов тестов для сервера по состоянию на октябрь 2026. Наша политика ответственного раскрытия уязвимостей публична (security.txt): получение каждого сообщения подтверждается, и на каждое мы даём ответ. То, что проверили третьи стороны, собрано на странице Доказательства и прозрачность.
Шифрование
AES-256-GCM для сейфа, TLS 1.2 и 1.3 для обмена данными между приложением, сайтом и нашими серверами, WireGuard для VPN. Ключи шифрования сейфа хранятся в Google Cloud Secret Manager, по одному ключу на аккаунт.
Управление ключами и секретами
Ключи шифрования сейфа (по одному на аккаунт, созданные случайным образом) и секреты инфраструктуры хранятся в Google Cloud Secret Manager, зашифрованы Google при хранении и автоматически реплицируются для обеспечения доступности. Доступ к ним ограничен правами IAM Google Cloud сервисами Trasimène и уполномоченными сотрудниками, и каждое чтение ключа сейфа журналируется; ни один ключ не отправляется на телефон. Содержимое сейфа шифруется по алгоритму AES-256-GCM; данные банковских карт мы не храним.
Размещение данных
Сайт, API и данные (аккаунты, результаты, зашифрованный сейф) размещены в Google Cloud, регион europe-west1 (Бельгия, ЕС). Серверы VPN представляют собой машины, арендованные у Google Cloud в 19 странах, из них 5 в ЕС, которые устанавливает и администрирует Trasimène. Данные не продаются. Поставщики и передачи за пределы ЕС подробно описаны в нашей политике конфиденциальности.
Конфиденциальность
Данные не продаются, а приложение не показывает рекламу. Trasimène собирает данные, которые нужны сервису. Приложение также отправляет измерения использования в Firebase Analytics и PostHog, которые можно отключить в его настройках («Аналитика использования»), и отчёты об ошибках в Sentry и Firebase Crashlytics. Если вы дадите согласие при создании аккаунта на Android или на trasimene.com, о создании аккаунта и оформлении подписки сообщается Meta, TikTok, Snapchat, LinkedIn и Google Analytics для оценки наших кампаний; без вашего согласия ничего не отправляется, а с iPhone никогда ничего не отправляется. Подробности и способ отозвать согласие приведены в нашей политике конфиденциальности.
Ответственное раскрытие уязвимостей
Нашли уязвимость? Напишите нам на contact@trasimene.com. Сроки наших ответов, наши обязательства перед добросовестными исследователями и наши благодарности опубликованы на странице Доказательства и прозрачность, на которую указывает наш файл security.txt (/.well-known/security.txt).