Il cloud archivia i tuoi file.
Non sa cosa ci sia dentro.
FortySeal Gateway si interpone tra le tue applicazioni e qualsiasi cloud storage. Ogni file viene cifrato prima di partire — con algoritmi immuni ai computer quantistici. Il provider riceve solo dati illeggibili.
I dati che cifri oggi potrebbero non essere sicuri domani.
I computer quantistici romperanno la cifratura RSA e ECC. Chi intercetta traffico cifrato oggi può conservarlo e decifrarlo in futuro — è una strategia già in uso dai servizi di intelligence. FortySeal usa algoritmi pensati per resistere anche a questa minaccia.
Quattro passaggi. Il cloud non vede nulla.
Per le tue applicazioni cambia solo l'endpoint. Tutto il resto — cifratura, firma, verifica — avviene all'interno del Gateway, in memoria.
Invii un file
La tua app fa una chiamata PUT standard, come con S3. Nessuna modifica al codice esistente.
Il Gateway cifra
Incapsula la chiave con ML-KEM-1024, firma con ML-DSA-87, cifra il contenuto con AES-256-GCM. Tutto in RAM, mai su disco.
Il cloud riceve un blob
Solo il file cifrato arriva allo storage, con un nome UUID casuale. Il provider non può leggere né correlare i file.
Verifica continua
Ogni notte e ad ogni download, il sistema controlla che i file non siano stati manomessi. Storico permanente di ogni verifica.
Compatibile con Amazon S3, MinIO, Cubbit DS3, Wasabi, Backblaze B2 — stesso endpoint, stesse chiamate REST.
Tre proprietà che nessuna configurazione cloud offre di default.
Il Gateway le impone architetturalmente — non dipendono dalla configurazione del provider.
Confidenzialità assoluta
Nessun provider di storage può leggere i dati. La chiave simmetrica AES è incapsulata con ML-KEM-1024 e accessibile solo a chi possiede la chiave privata PQC.
ML-KEM-1024 · AES-256-GCMIntegrità verificata
AES-256-GCM autentica il ciphertext. ML-DSA-87 firma l'intero blob. SHA3-256 del plaintext è verificabile dopo decifratura. Un file manomesso non viene mai consegnato.
ML-DSA-87 · SHA3-256Non-ripudio con evidenza
Ogni blob porta la firma di chi lo ha caricato. L'audit trail immutabile traccia operazione, IP, timestamp — con storico permanente delle verifiche, indipendente dal provider.
Audit trail · NIS2 Art. 21Multi-tenant isolato
Ogni organizzazione ha il proprio service account con keypair PQC dedicati. I file di tenant diversi non sono correlabili su S3 — chiavi fisiche UUID randomiche.
Protezione attiva
Rate limiting per-API-key, lockout brute-force per IP, blocco automatico dei blob compromessi. Il sistema reagisce autonomamente, senza intervento manuale.
Rotazione senza downtime
Le chiavi PQC (KEM + firma) ruotano senza rendere inaccessibili i file esistenti. Ogni blob mantiene il riferimento alla chiave con cui è stato cifrato.
Stesso Gateway, scenari diversi.
Dalla banca alla pipeline CI/CD — il layer crittografico si adatta senza cambiare l'architettura.
Archiviazione documenti regolamentati
Una banca archivia contratti, estratti conto e report di rischio su Cubbit DS3. DORA impone cifratura a riposo, audit trail, separazione dei ruoli e resilienza operativa.
Parla con il team tecnicoPipeline dati clinici
Un ospedale invia referti DICOM su AWS S3. I dati devono essere cifrati prima di lasciare il perimetro ospedaliero, con chiavi separate per ogni reparto.
Parla con il team tecnicoDisaster recovery multi-provider
Un'azienda SaaS vuole backup su 3 provider diversi con la garanzia che nessuno possa leggere i dati, e che il backup sopravviva alla compromissione di un singolo provider.
Parla con il team tecnicoArtefatti e secrets cifrati
Una pipeline GitHub Actions archivia artefatti di build e configurazioni sensibili su storage esterno, senza esporre i dati al provider CI/CD.
Parla con il team tecnicoIspezionato. Corretto. Documentato.
Un audit interno sull'intero layer Gateway ha portato alla chiusura di quattro vulnerabilità. Tutte coperte da smoke test automatici.
Firma verificata ad ogni download
Prima veniva decodificata ma non verificata. Ora è enforced — firma non valida, file non consegnato.
Nessun accesso di default
Token JWT senza permessi espliciti → zero accessi. Prima otteneva accesso admin completo.
Portale anti brute-force
Lockout per IP e per account dopo 8 tentativi in 15 min. Session ID rigenerato al login.
Webhook solo verso host sicuri
Solo HTTPS verso IP pubblici. Riverifica a ogni consegna contro DNS rebinding.
Pensato per chi risponde a un audit.
Audit trail immutabile, storico permanente delle verifiche di integrità, webhook firmati per ogni evento critico.
Dove siamo, dove andiamo.
Fase 1 e Fase 2 in produzione. Fase 2b in arrivo.
Fase 1 + 2 — Production-ready
- Cifratura FSEAL v1 con ML-KEM-1024 e ML-DSA-87
- 5 provider S3: AWS, MinIO, Cubbit, Wasabi, Backblaze
- Multi-tenant, audit trail, dashboard
- Rate limiting, webhook asincroni, rotazione chiavi
- Security audit interno applicato
Fase 2b — Compatibilità estesa
- AWS Signature V4 — compatibilità nativa aws cli
- Presigned URL PQC — download diretto one-time
- TTL automatico oggetti — policy retention
- Object versioning
- Webhook delivery log persistente
Fase 3 — Scala e certificazioni
- SDK ufficiali Python, Node.js, Go
- Kubernetes + Helm chart scalabile
- HSM integration (FIPS 140-3 Level 3)
- Certificazione eIDAS 2
- SIEM export (Splunk, Sentinel, QRadar)
Vuoi vederlo sui tuoi dati?
Una demo da 30 minuti, costruita sui tuoi casi reali. Il team tecnico ti mostra come si integra nel tuo stack.