Sicurezza
Veracium è costruito così che l'esposizione di un singolo componente non esponga le persone sul campo.
Dove si trova Veracium oggi — Fase 0 (Beta)
L'architettura descritta di seguito è il sistema obiettivo. La beta opera attualmente con un solo custode KYC, chiavi di firma memorizzate via software e minimizzazione dei dati al posto delle prove a conoscenza zero. Ogni punto è marcato consegnato o roadmap. Obiettivo di lancio pubblico: agosto 2026.
Architettura in una frase
Il sistema è un intermediario cieco: il giornalista* sa chi è; la redazione sa cosa ha ricevuto; e Veracium gestisce il layer intermedio senza mai detenere entrambe le metà in chiaro.
Come tiene
- Sigillo sul dispositivo (consegnato) — SHA-256 su GPS, marca temporale e identificativo del dispositivo viene calcolato sul dispositivo prima di qualsiasi trasmissione di rete. Non possiamo manipolare ciò che non vediamo mai in forma grezza.
- Firma supportata dall'hardware (roadmap, prima del lancio pubblico) — Obiettivo: chiavi custodite nel Secure Enclave / StrongBox del dispositivo, attestate via App Attest / Play Integrity, in modo che non possano essere estratte — nemmeno da Veracium. La beta usa chiavi memorizzate via software; il binding hardware è P1 prima del lancio pubblico.
- Custodia dell'identità (oggi Fase 0, obiettivo multi-custode) — Architettura obiettivo: il legame tra pseudonimo del giornalista e identità reale è suddiviso fra più custodi indipendenti tramite Shamir Secret Sharing, con soglia 2-su-3 per la divulgazione. La beta opera con un solo custode KYC; ulteriori custodi vengono reclutati prima del lancio pubblico.
- Prove di tier tramite minimizzazione dei dati (zk-SNARK in roadmap) — Le redazioni vedono solo che un giornalista detiene il tier richiesto, non chi sia. Oggi è imposto dalla minimizzazione dei dati sul server. Le prove a conoscenza zero (zk-SNARK) sono un punto di ricerca di Fase 2, non una proprietà consegnata.
- Ospitato nell'UE, giurisdizione UE (consegnato) — Tutti i dati di produzione risiedono su PostgreSQL a Francoforte (eu-central-1). Nessun trasferimento dati verso gli USA per i record operativi.
Contro cosa non proteggiamo
Siamo espliciti sui limiti. Veracium non protegge contro:
- Cattura forzata da una parte ostile presente sulla scena.
- Un giornalista che inscena deliberatamente una scena poi sigillata fedelmente.
- Una redazione che ripubblica la cattura senza il certificato associato.
Per ciascuno di questi, il certificato e il log di catena di custodia sono progettati per rendere il problema rilevabile a posteriori, anche se non prevenibile sul momento.
Segnalare una vulnerabilità
jorg@veracium.io · impronta della chiave PGP su /about. Rispondiamo entro 72 ore e diamo credito alla divulgazione responsabile sulla pagina del progetto.
Compliance
Due categorie: cosa monitoriamo attivamente — e cosa è progettato nel sistema.
Monitorato attivamente
GDPR (EU 2016/679)
Registro delle attività di trattamento mantenuto. DPIA archiviata. Rappresentante UE nominato.
EU AI Act
L'uso di Claude Vision da parte di Veracium è classificato, monitorato rispetto agli obblighi per sistemi IA a rischio limitato e rivisto trimestralmente.
NIS2
In quanto fornitore di infrastruttura digitale, Veracium si prepara alla conformità NIS2 in anticipo rispetto alla scadenza di recepimento tedesca.
Tutela del whistleblower
Canale interno e partner esterno di segnalazione secondo la direttiva UE sui whistleblower.
Progettato dentro
GDPR by design e by default (Art. 25)
Minimizzazione, pseudonimizzazione e limitazione delle finalità sono integrate nel modello dati, non aggiunte sopra.
Articolo 85 (esenzione giornalistica)
La piattaforma è progettata per operare all'interno del recepimento tedesco dell'esenzione giornalistica pur rispettando gli standard sostanziali del GDPR dove si applicano.
Certificati compatibili C2PA
Ogni certificato Veracium è strutturato per mappare le assertion C2PA, consentendo l'interoperabilità con il più ampio ecosistema di provenance.
Pronto per BSI C5
L'architettura è progettata rispetto al catalogo BSI C5, in vista di una certificazione quando Veracium opererà alla scala in cui C5 è richiesto.
Per domande specifiche di compliance: jorg@veracium.io.