> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/pt/outro/faqs/security-and-privacy.md).

# Segurança e privacidade

Este capítulo apresenta uma visão geral das perguntas frequentes sobre segurança da informação, privacidade e garantia da qualidade.

## Processamento de Dados e Permissões

### 1. A partir de que data center o RADIUSaaS opera?

O serviço principal do RADIUSaaS pode atualmente ser implementado nas seguintes regiões:

* Austrália
* Europa
* Reino Unido
* Estados Unidos da América

Caso sejam necessários proxies RADIUS, eles podem ser implementados nos seguintes países/regiões:

| Continente       | Região                                                               |
| ---------------- | -------------------------------------------------------------------- |
| África           | Joanesburgo                                                          |
| Ásia             | <p>Bangalore<br>Singapura<br>Tel Aviv<br>Tóquio<br>Seul<br>Osaka</p> |
| Austrália        | <p>Sydney<br>Melbourne</p>                                           |
| Europa           | <p>Frankfurt<br>Londres<br>Madrid<br>Estocolmo</p>                   |
| América do Norte | <p>Dallas<br>Nova Iorque<br>Seattle<br>Toronto</p>                   |
| América do Sul   | <p>Santiago<br>São Paulo</p>                                         |

### 2. Que dados são processados pelo RADIUSaaS?

#### **Certificados**

O RADIUSaaS processa certificados de utilizador ou dispositivo X.509 para validar a autenticidade do pedido de autenticação. Como parte do certificado, todos os atributos podem ser processados, podendo conter informações como:

* Nome de utilizador
* E-mail
* UPN

#### **Protocolo RADIUS**

O RADIUSaaS baseia-se no protocolo RADIUS, por exemplo, os seguintes dados são visíveis para o RADIUSaaS:

* Endereço MAC do cliente
* Endereço MAC do NAS (por exemplo, ponto de acesso, switch, ...)
* SSID Wi-Fi
* Dados específicos do fornecedor (por exemplo, VLAN, tunneling-group, ...)
* Endereço IP do NAS
* Endereço IP público atribuído pelo ISP
* Segredo partilhado RADIUS (apenas relevante se o RadSec não for suportado nativamente)
* Chave privada do certificado do servidor RADIUS

#### **Diversos**

O RADIUSaaS (opcionalmente) fornece funcionalidade para gerar pares nome de utilizador + palavra-passe para acesso à rede. Essas credenciais são igualmente armazenadas e processadas pelo serviço.

### 3. Que dados são armazenados de forma persistente pelo/em nome do RADIUSaaS e como?

1. Permissões

   A plataforma RADIUSaaS armazena informações UPN/e-mail sobre os utilizadores que têm permissão para aceder à plataforma. **Nenhuma palavra-passe é armazenada ou processada pelo RADIUSaaS.**
2. Registo

   Para fins de resolução de problemas e análise, a plataforma RADIUSaaS regista todos os dados relevantes que processa (ver [Questão 2](#2.-which-data-is-processed-by-radiusaas) exceto o Segredo partilhado RADIUS e a chave privada do certificado do servidor).

   Os registos são armazenados diretamente na plataforma RADIUSaaS dentro de uma *Elasticsearch* base de dados e segregados para cada cliente através de um espaço dedicado.\
   \
   **Tempo de retenção dos registos: 75 dias.**
3. Certificados

   O RADIUSaaS requer vários certificados de servidor, bem como certificados raiz, para facilitar o funcionamento correto. Todos esses certificados são armazenados em segurança **armazenados num Azure KeyVault**.
4. As credenciais opcionais nome de utilizador + palavra-passe mencionadas em [Questão 2](#2.-which-data-is-processed-by-radiusaas) são **armazenados num Azure KeyVault**.
5. Outros segredos e dados de configuração

   Outros dados secretos, por exemplo, o Segredo partilhado RADIUS, bem como a configuração do serviço, são armazenados em segurança **armazenados num Azure KeyVault**.

### 4. Existe um mecanismo de arquivo para os registos?

Não existe um mecanismo de arquivamento de registos incorporado. No entanto, o [Log Exporter](/pt/portal-de-administracao/settings/log-exporter.md) recurso pode ser utilizado para ingerir registos RADIUS nos seus próprios serviços de registo e arquivo.

### 5. Quais permissões do Tenant têm de ser consentidas pelos utilizadores que acedem ao portal web do RADIUSaaS?

1. `Perfil básico de utilizador`:

   Com esta permissão, o RADIUSaaS obtém o UPN do utilizador que tenta iniciar sessão no Portal de Administração do RADIUSaaS.
2. `Manter o acesso aos dados aos quais lhe deu acesso`

   Com esta permissão, o RADIUSaaS recebe o direito de solicitar um token de atualização para que o utilizador possa permanecer com a sessão iniciada.

Consulte [aqui](/pt/portal-de-administracao/acesso-e-regras/permissions.md#permissions-consent) para mais detalhes.

### 6. Que dados são disponibilizados ao conceder o(s) consentimento(s) de 5.?

1. `Perfil básico de utilizador`:

   Para mais detalhes sobre que dados podem ser obtidos, consulte este artigo: <https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent#profile>&#x20;
2. `Manter o acesso aos dados aos quais lhe deu acesso`

   Nenhum dado específico é disponibilizado ao conceder consentimento a esta permissão.

### &#x20;     7. Que pontos finais acessíveis externamente o RADIUSaaS expõe?

1. API de backend do servidor RADIUS
   * Fornece informações de configuração ao proxy RadSec.
2. Portas do servidor RADIUS e RadSec
   * Para facilitar a autenticação de rede a partir de qualquer lugar na Internet, estas interfaces de autenticação têm de estar expostas publicamente.
3. Portal de Administração do RADIUSaaS
   * Um portal web que facilita a administração do serviço.
4. API de gestão do cluster Kubernetes
   * Necessária para operar o serviço.

### 8. Como são protegidos os pontos finais da Questão 7?

1. API de backend do servidor RADIUS
   * Protegidos via tokens de acesso JWT que podem ser geridos (emitidos, eliminados, revogados) pelo cliente.
2. Portas do proxy RADIUS e do servidor RadSec
   * Portas do servidor RadSec: protegidas por TLS (>= versão 1.2).
   * Portas do servidor proxy RADIUS: protegidas pelo Segredo partilhado RADIUS.
3. Portal de Administração do RADIUSaaS
   * Protegidos por autenticação OAuth 2.0 contra um dos nossos [IDPs suportados](/pt/portal-de-administracao/acesso-e-regras/permissions.md#supported-idps).
4. API de gestão do cluster Kubernetes
   * protegidos por TLS (>= versão 1.2).

### 9. Que portas e protocolos são utilizados pelos pontos finais da Questão 7?

* API de backend do servidor RADIUS
  * HTTPS (TCP / 443)
* Portas do proxy RADIUS e do servidor RadSec &#x20;
  * Portas do servidor RadSec: RadSec (TCP / 2083)
  * Portas do servidor proxy RADIUS: RADIUS (UDP / 1812, 1813)
* Portal de Administração do RADIUSaaS
  * HTTPS (TCP / 443)
* API de gestão do cluster Kubernetes
  * HTTPS (TCP / 443)

## Identidade

### 1. Que esquemas de autorização são utilizados para obter acesso ao RADIUSaaS?

* O acesso administrativo é realizado através de autenticação OAuth 2.0 contra um [IDP](/pt/portal-de-administracao/acesso-e-regras/permissions.md#supported-idps) para identidades ou contas registadas na plataforma.

### 2. Existem controlos de acesso condicional / baseados em funções para proteger o RADIUSaaS?

* Sim. O portal de administração do RADIUSaaS fornece funcionalidades para atribuir funções a cada utilizador (funções disponíveis: administrador, visualizador, convidado).
* Para operar e manter adequadamente o serviço, existem contas de superadministrador para um círculo restrito de funcionários da glueckkanja AG, que têm acesso total a todas as instâncias dos clientes do serviço RADIUSaaS.

### 3. As credenciais de acesso podem ser recuperadas? Se sim, como?

* Credenciais de início de sessão: dependem das políticas configuradas de Microsoft Entra ID (Azure AD) no tenant do cliente.
* As credenciais nome de utilizador + palavra-passe, bem como todos os certificados para acesso à rede, podem ser recuperados do Azure KeyVault com uma política de retenção de 90 dias após terem sido eliminados.

### 4. O que fazer para recuperar o acesso perdido à instância RADIUSaaS?

* Se a sua empresa perdeu o acesso à instância RADIUSaaS porque o(s) administrador(es) anterior(es) saiu(ram) ou o UPN / domínio foi alterado, a forma mais fácil de recuperar o acesso é recriar uma conta de utilizador que corresponda ao UPN existente em RADIUSaaS > Permissions > Administrators. Esta é, de longe, a abordagem mais rápida, uma vez que não requer quaisquer ações da nossa parte.
* Se o acima não for viável, a recuperação do acesso ao portal estará sujeita a um rigoroso processo de verificação de identidade, que não só é moroso como também exigirá um esforço significativo de ambos os lados. Existe uma taxa única de 420,00 EUR (sem IVA) para este processo. Para iniciar o processo, crie um ticket de suporte técnico.
* Para evitar a perda de acesso ao seu tenant RADIUSaaS, siga as nossas melhores práticas, percorrendo cuidadosamente cada passo dos nossos [Guias de Iniciação](/pt/configuracao/get-started.md).

## Proteção de Dados

### 1. Como estão *os dados em repouso* protegidos contra acesso não autorizado?

#### **Dados de configuração e segredos**

* Os dados de configuração são armazenados no Azure KeyVault e protegidos através de credenciais de acesso que, por sua vez, são armazenadas como *Segredos do Kubernetes*.

#### **Serviço Kubernetes**

* Os volumes e discos usados para alojar o nosso serviço são [encriptados](https://learn.microsoft.com/en-us/azure/aks/enable-host-encryption).

#### **Registos**

* A base de dados Elasticsearch é alojada nos discos encriptados do Serviço Kubernetes.
* Os registos são armazenados numa base de dados Elasticsearch e segregados através de espaços dedicados.
* O acesso a esses espaços é concedido através de credenciais nome de utilizador + palavra-passe que, por sua vez, são armazenadas como *Segredos do Kubernetes*.
* A própria base de dados Elasticsearch não está encriptada.

### 2. Como estão *os dados em trânsito* protegidos contra acesso não autorizado?

* Os fluxos de autenticação do dispositivo que tenta aceder à rede são encapsulados num túnel TLS (>= TLS 1.2).
* A associação entre o NAS e o servidor RADIUS é ofuscada através do Segredo partilhado RADIUS (algoritmo hash MD5).

### 3. Como são separados entre si os tenants dos clientes?

#### Backend

Os serviços de backend do RADIUSaaS executam-se em múltiplos clusters Kubernetes distribuídos por todo o mundo. Cada instância do RADIUSaaS de cada cliente tem o seu próprio namespace K8s, espaço de registo e IP público dedicado. Existe uma instância Elasticsearch com contas dedicadas por cliente para registo e leitura por cluster.

#### Proxies RADIUS

Cada proxy RADIUSaaS é executado na sua própria VM com IP público dedicado.

## Segurança por Conceção

### 1. O RADIUSaaS emprega uma estratégia de defesa em profundidade?

O RADIUSaaS baseia-se em protocolos bem estabelecidos para lidar com fluxos de autenticação de rede (RADIUS, RadSec, EAP-TLS, EAP-TTLS-X). Devido ao forte enfoque na autenticação baseada em certificados, capturar o tráfego é inútil, desde que o intercetor não tenha acesso a um certificado fidedigno.

### 2. O protocolo RADIUS baseado em UDP é seguro?

Recomendamos a utilização do moderno [RadSec](/pt/overview.md#what-is-radsec) protocolo para autenticação contra o RADIUSaaS. No entanto, ainda existem muitos componentes de infraestrutura de rede que não suportam RadSec.

O diagrama seguinte mostra o fluxo de autenticação RADIUS:

![](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/byiGM49uzq0vRK6ny2KM/radius-authentication-sequence.png)

Na primeira parte da sequência de autenticação, a comunicação é protegida por um algoritmo de hash baseado em MD5 (parcialmente encriptado com o segredo partilhado). **Nenhum segredo** é transportado nesta fase.

Na segunda parte da sequência de autenticação, um EAP baseado em TLS (por exemplo, EAP-TLS) encripta o tráfego. O tráfego EAP-TLS é então transportado via UDP para o proxy RADIUS. Esta é a fase em que credenciais como o certificado ou a palavra-passe são trocadas com o RADIUSaaS. Se usar autenticação baseada em certificados, nenhum segredo é transportado nesta fase, uma vez que apenas a chave pública é trocada. A chave privada permanece sempre no dispositivo cliente.

É fornecida [aqui](/pt/outro/faqs/security-and-privacy/seguranca-de-transporte-em-radius-vs.-radsec.md).

{% hint style="success" %}
Conclusão: a autenticação RADIUS baseada em UDP com o RADIUSaaS é segura, uma vez que&#x20;

* o tráfego relevante é encriptado e
* além disso, não são transportados segredos se for utilizada autenticação baseada em certificados.
  {% endhint %}

### 3. Que tecnologias, stacks e plataformas foram utilizadas para conceber o RADIUSaaS?

* `Kubernetes`
* `Stack EFK (Elasticsearch, Filebeats, Kibana)`
* `Python`
* `Azure (KeyVault)`
* `TerraForm`
* `Git CI`

## Conformidade <a href="#compliance" id="compliance"></a>

### 1. A glueckkanja é certificada ISO 27001?

Sim. O Sistema de Gestão da Segurança da Informação (ISMS) da glueckkanja AG é certificado de acordo com **ISO/IEC 27001:2022**. O âmbito da certificação abrange:

* Desenvolvimento de Produto
* Serviços Geridos

Pode ver o certificado atual [aqui](https://www.glueckkanja.com/documents/general/gk-ISO27001Certificate-en.pdf).

### 2. A glueckkanja tem a sua segurança testada por especialistas externos?

Sim. Em 2026, a glueckkanja AG contratou uma empresa independente e especializada em segurança ofensiva para realizar uma avaliação de Red Team abrangendo toda a nossa empresa.

Escolhemos deliberadamente esta abordagem holística em detrimento de um teste de penetração clássico. Em vez de verificar sistemas ou pontos finais individuais contra vulnerabilidades conhecidas, a Red Team simulou um ciberataque realista e avançado por um atacante interno à nossa infraestrutura de TI, encadeando técnicas da mesma forma que adversários reais fazem.

A avaliação centrou-se em:

* identificar vulnerabilidades de elevado impacto,
* mapear caminhos de ataque completos através do nosso ambiente,
* avaliar vetores potenciais para obter acesso não autorizado a ambientes de clientes,
* avaliar vetores potenciais para executar ataques à cadeia de abastecimento.

Todas as conclusões foram documentadas juntamente com recomendações de mitigação e são tratadas no âmbito do nosso Sistema de Gestão da Segurança da Informação certificado ISO 27001.

Repetiremos esta avaliação de Red Team anualmente.

## RGPD e residência dos dados <a href="#user-content-gdpr-and-data-residency" id="user-content-gdpr-and-data-residency"></a>

### 1. Os dados saem da Europa?

* Serviços principais: depende da configuração
  * Os serviços principais do RADIUSaaS podem ser alojados nos centros de dados descritos em [Questão 1](#1.-from-what-data-center-is-radiusaas-operating).
  * Se o serviço for alojado num centro de dados europeu, então nenhum dado sai da União Europeia.
* Proxy RadSec: depende da configuração
  * Se necessitar de um proxy RadSec devido a limitações do equipamento de rede relativamente ao suporte nativo de RadSec, pode escolher um proxy de várias regiões, incluindo a Europa. Nesse caso, os seus dados permanecem dentro das fronteiras da União Europeia.

### 2. De que fornecedores de cloud de terceiros o RADIUSaaS depende e porquê?

| Empresa                                              | Serviços                                                                 | Contacto                                                                                  | Finalidade                                                       |
| ---------------------------------------------------- | ------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------- | ---------------------------------------------------------------- |
| Microsoft Corporation                                | Serviços de cloud (Azure)                                                | <p>Building 3, Carmanhall Road Sandyford,<br>Industrial Estate 18, Dublin,<br>Ireland</p> | Serviço Kubernetes, rede, armazenamento                          |
| Digital Ocean, Inc.                                  | Serviços de cloud                                                        | <p>Y101 6th Ave,<br>New York City,<br>NY 10013,<br>United States</p>                      | Serviço Kubernetes, rede, armazenamento, VMs para proxies RADIUS |
| Vultr (marca comercial da The Constant Company, LLC) | Serviços de cloud                                                        | <p>319 Clematis Street - Suite 900<br>West Palm Beach, FL 33401,<br>United States</p>     | VMs para proxies RADIUS                                          |
| GitLab, Inc.                                         | repositório de código git, integração, testes e automação de lançamentos | <p>268 Bush Street #350, </p><p>San Francisco, </p><p>CA 94104-3503, United States </p>   | Repositório de código, pipeline de CI/CD.                        |

## Diversos <a href="#user-content-miscellaneous" id="user-content-miscellaneous"></a>

### 1. O RADIUSaaS faz parte de um programa de bug bounty?

Não

### 2. Que medidas de QA estão em vigor?

* Existem laboratórios RADIUSaaS dedicados para fins de desenvolvimento
* A implementação e instalação do serviço são realizadas através de TerraForm, garantindo consistência e idempotência de cada implementação da instância
* O Kibana APM é utilizado para medição da integridade do serviço e gestão de alertas
* Monitorização da Digital Ocean a supervisionar os proxies RadSec
* Cada lançamento de produção tem de passar primeiro pelo canal interno, ultrapassando os requisitos relevantes de QA como parte do nosso processo de CI
  * Testes unitários
  * Revisão por pares (princípio dos seis olhos)
  * Testes de integração
  * Testes de stress
  * Testes baseados na experiência

### 3. Realizam testes de penetração regularmente?

Não na forma de um teste de penetração clássico do SCEPman. Em vez disso, a glueckkanja AG é submetida a uma avaliação anual de Red Team por um especialista externo independente, que vai além de um teste de penetração clássico (ver [A glueckkanja tem a sua segurança testada por especialistas externos?](#id-2.-does-glueckkanja-have-its-security-tested-by-external-experts)).

Como parte das nossas Práticas de Desenvolvimento Seguro, utilizamos ferramentas (por exemplo, análise estática de código) que analisam a base de código em busca de CVEs e outras explorações comuns (incluindo dependências como bibliotecas de terceiros) que possam afetar a segurança dos pontos finais expostos pelo RADIUSaaS. Antes de qualquer lançamento, quaisquer conclusões relevantes são avaliadas e corrigidas, para garantir que o RADIUSaaS permanece livre de quaisquer vulnerabilidades conhecidas.&#x20;

Não realizamos testes de penetração nós próprios, nem utilizamos ferramentas de "Penetration Test-as-a-Service" de terceiros. No primeiro caso, vemos um conflito de interesses inerente. No segundo, uma vez que os serviços típicos de teste de penetração frequentemente se limitam a verificar os pontos finais expostos em relação a CVEs e outras explorações conhecidas, não vemos qualquer valor acrescentado face às verificações que já realizamos através de análise estática de código.&#x20;

Em vez disso, baseamo-nos numa abordagem holística: em 2026, uma Red Team independente simulou um ataque realista e avançado à glueckkanja AG, incluindo explicitamente caminhos de ataque para ambientes de clientes e ataques à cadeia de abastecimento. Em vez de testar pontos finais isolados, esta avaliação analisa caminhos de ataque completos em toda a nossa organização, o que consideramos muito mais significativo para a segurança dos nossos clientes. Repetimos esta avaliação anualmente.

Se desejar realizar os seus próprios testes de penetração, por favor [contacte-nos](https://support.radiusaas.com/support/tickets/new?ticket_form=technical_support_request_%28radiusaas%29) e conte-nos os seus requisitos.

### 4. Existe um processo de correção em vigor?

Sim.&#x20;

Patches, hot-fixes, correções de erros e atualizações de funcionalidades são introduzidos através do nosso processo de CI/CD que tira partido de diferentes pipelines de teste para garantir que apenas o código que satisfaz os nossos critérios de QA é lançado. O código lançado recentemente é automaticamente disponibilizado a todos os nossos clientes. A utilização de Infrastructure as Code (Terraform) permite-nos fornecer atualizações consistentes, reproduzíveis e de elevada qualidade aos nossos clientes.

A arquitetura baseada em Kubernetes do nosso serviço garante que as atualizações de código são feitas sem sobressaltos para os nossos clientes e não provocam quaisquer interrupções do serviço.&#x20;

### 5. Quais são os SLAs para patches?

* Patches para CVEs / vulnerabilidades de segurança: assim que a vulnerabilidade se torne de conhecimento público ou assim que identifiquemos uma vulnerabilidade no nosso próprio código, será fornecido um hot-fix no prazo máximo de 24 horas após termos tomado conhecimento da vulnerabilidade.&#x20;
* Outros patches: sem SLA.

### 6. O RADIUSaaS realiza cópias de segurança?

#### Segredos e dados de configuração

Utilizamos o Azure KeyVault para armazenar com segurança segredos (por exemplo, certificados) e todos os outros dados de configuração do serviço. O Azure KeyVault é um serviço altamente disponível [geo-redundante](https://learn.microsoft.com/en-us/azure/key-vault/general/disaster-recovery-guidance) que replica todo o seu conteúdo num segundo centro de dados, fornecendo assim serviços de cópia de segurança implícitos.&#x20;

#### Servidores RADIUS e RadSec

Sem estado. Não é necessária cópia de segurança.

#### Registos

Atualmente sem cópia de segurança.

### 7. Existem testes de restauração de cópias de segurança?

Sim.&#x20;

A restauração a partir de cópias de segurança é testada com cada atualização/lançamento do serviço. Existem aproximadamente 4 a 8 lançamentos por ano.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.radiusaas.com/pt/outro/faqs/security-and-privacy.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.