Nu vrem să ne crezi pe cuvânt, ci îți explicăm direct cum e proiectată securitatea pe cele trei niveluri: modulul din doză, gateway-ul local și platforma centrală. Și îți spunem clar ce se va întâmpla cu datele tale: sunt proiectate să rămână în clădire, nu pe serverele noastre.
Produs în dezvoltare. Soluția Mentivira completă va fi disponibilă în 2028.
O soluție de automatizare controlează relee care acționează pompe, deschid porți și opresc alimentarea pe circuite. Pericolul principal nu este că un străin ar putea vedea câte grade ai în hol, ci că o persoană neautorizată ar putea transmite comenzi directe în clădire sau că datele tale de consum ar ajunge la terți fără acordul tău.
De aceea am împărțit securitatea în trei niveluri distincte, adaptate pentru riscuri specifice: legătura dintre modul și gateway (riscul unei recepții neautorizate prin radio), protecția fizică a gateway-ului (în cazul în care piesa este furată) și securitatea platformei cloud (pentru situația în care serverele centrale ar fi atacate).
Fiecare măsură descrisă mai jos rezolvă un caz concret: arată ce acțiune devine imposibil de executat datorită ei. Acolo unde soluția este proiectată și testată pe banc, dar nu are încă toate certificările formale, menționăm acest lucru în mod deschis.
01Modul
Nivelul 1 — transmisia radio dedicată în banda de 868 MHz, între modulele din doze și gateway-ul clădirii.
Fiecare modul va stoca intern o pereche proprie de chei criptografice, generate direct pe cip. Protocolul nu folosește o cheie comună pentru toate dispozitivele, astfel încât extragerea datelor dintr-un modul cumpărat separat să nu afecteze restul sistemelor Mentivira. Dacă un modul e compromis, problema rămâne izolată doar la acea piesă.
La fiecare repornire, modulul și gateway-ul stabilesc chei noi de sesiune printr-un protocol de tip Noise_KK, bazat pe schimbul prealabil de chei publice. Prin urmare, compromiterea unei sesiuni curente nu permite decriptarea mesajelor vechi sau viitoare, iar un gateway străin nu poate iniția nicio comunicare.
Toate pachetele radio sunt criptate și validate prin AES-256-CCM. Validarea garantează că datele nu pot fi alterate: dacă un singur bit este modificat pe parcurs, mesajul este respins complet. O comandă de oprire a luminilor nu va putea fi transformată de cineva în pornirea unei pompe.
Un semnal radio înregistrat și retransmis ulterior va fi respins. Contoarele de sesiune sunt păstrate doar în memoria temporară, iar orice repornire deschide o sesiune complet nouă. Un pachet captat azi pentru deschiderea porții nu va funcționa dacă este retransmis mâine.
Un modul va putea fi asociat rețelei doar de către cineva care are acces fizic la el: codul de adăugare va fi imprimat pe carcasă, iar înrolarea se va face într-un interval scurt, cu confirmare suplimentară. Un modul din apropiere nu se va putea conecta accidental la rețeaua ta, chiar dacă recepționează semnalul radio.
Protocolul prevede ca fiecare modul să accepte doar comenzi de înrolare autentificate criptografic de platformă, iar gateway-ul să valideze modulele noi direct în baza de date de fabricație. În acest fel, un gateway neautorizat nu va putea prelua controlul modulelor tale, iar o piesă contrafăcută nu va putea fi adăugată în sistem.
Securitatea e proiectată în fiecare nivel constructiv al sistemului. Mai jos găsiți cum e gândit fiecare nivel să-și protejeze datele și cum se realizează legătura între ele.
Verificările noastre au fost realizate pe bancul de probe și într-o instalație pilot montată într-o locuință reală. Acestea nu sunt date colectate de la clienți, având în vedere că produsul nu a fost lansat comercial.
02Gateway
Nivelul 2 — unitatea centrală din clădire. Aici scenariile de risc iau în calcul și situația în care cineva obține acces fizic direct la echipament.
Software-ul de pe gateway va fi o imagine unică, semnată digital și protejată la scriere, verificată automat la fiecare pornire. Dacă se modifică chiar și un singur fișier, sistemul va refuza să pornească. Acest lucru elimină riscul de a avea aplicații sau modificări neautorizate care să ruleze neobservate.
Pe gateway nu se vor putea compila sau instala programe suplimentare: imaginea nu are gestionar de pachete. Actualizările se vor face doar prin înlocuirea completă a imaginii, folosind un sistem A/B: dacă versiunea nouă întâmpină erori la pornire, gateway-ul va comuta automat pe versiunea precedentă funcțională. Astfel, o actualizare eșuată nu va bloca echipamentul.
Toate datele locale vor fi salvate pe o partiție criptată, a cărei cheie va fi protejată în cipul hardware TPM și disponibilă doar dacă sistemul pornește cu software-ul original. Dacă suportul de stocare este extras și conectat la un alt PC, datele rămân ilizibile. Prin urmare, furtul fizic al gateway-ului nu ar genera o scurgere de date.
La schimbarea proprietarului sau la casarea gateway-ului, nu vom șterge doar fișierele, ci vom distruge definitiv cheia de decriptare. Deși biții rămân pe disc, ei devin imposibil de citit. Aceasta este cea mai sigură metodă de curățare, pentru că nu depinde de intervenția manuală a unui operator.
Gateway-ul e proiectat să inițieze o singură conexiune securizată TLS mutual spre exterior, folosind certificate private, și să blocheze orice alt trafic neautorizat. Nu va avea porturi deschise pentru conexiuni dinspre internet, deci nimeni nu-l va putea accesa de la distanță. Singurul port activ va funcționa exclusiv în rețeaua locală, pentru aplicație, iar aceasta va valida amprenta certificatului gateway-ului la fiecare conectare.
Echipa noastră nu va avea o conexiune permanentă la rețeaua ta. Dacă este necesară o intervenție tehnică, gateway-ul va deschide un tunel dedicat pentru o sesiune unică, salvată integral în jurnalele de sistem. Conexiunea se va întrerupe automat la finalizarea sesiunii, fără riscul de a rămâne deschisă din greșeală.
03Platformă
Nivelul 3 — infrastructura cloud. Deși datele de operare ale clădirii nu vor ajunge aici, platforma va stoca conturile, structura aplicației și datele de abonament, necesitând măsuri proprii de izolare.
Separarea informațiilor între parteneri și clienții finali nu se va baza doar pe reguli software, ci va fi impusă direct la nivelul bazei de date prin politici Row-Level Security (RLS). Având două niveluri independente de verificare, o eventuală eroare din codul aplicației nu va permite afișarea datelor din altă clădire, fiind blocată de baza de date.
Sesiunile de conectare vor folosi jetoane criptate și semnate direct de serviciul de identitate, iar componentele din sistem vor valida această semnătură înainte de a procesa cererea. Un jeton falsificat va fi respins la intrare. În plus, pachetul de sesiune va fi salvat în browser într-un cookie protejat împotriva codurilor JavaScript din pagină.
Drepturile de utilizare vor fi definite în funcție de rol și vor putea fi ajustate pentru fiecare piesă în parte, nu doar la nivel de imobil. Accesul temporar acordat tehnicienilor, echipei de curățenie sau chiriașilor va expira automat la data stabilită, fără să fie nevoie de o dezactivare manuală ulterioară.
Fiecare serviciu va înregistra detaliat acțiunile din sistem: ce modificări s-au făcut, cine le-a inițiat și momentul exact. Astfel, veți putea afla cu precizie cine a schimbat orarul de încălzire pe un anumit etaj, fără să fie nevoie de presupuneri.
Platforma va folosi exclusiv servere amplasate pe teritoriul Uniunii Europene, administrate de o companie din România. Arhitectura nu prevede transferuri de date către alte regiuni și nu are componente proiectate pentru transmisiuni externe.
Toată telemetria clădirii — fie că vorbim de o citire de temperatură, de comanda unui releu sau de un senzor de prezență — va fi salvată exclusiv pe gateway-ul local. Platforma cloud nu va primi aceste date. Nu e vorba că „nu le va accesa”, ci pur și simplu nu le va stoca.
Diferența este esențială, atât practic, cât și juridic. O politică de confidențialitate se poate modifica printr-o simplă notificare pe e-mail. În schimb, o arhitectură în care datele nu părăsesc incinta nu se poate schimba fără o reproiectare a produsului și o actualizare evidentă. De aceea tratăm această separare ca pe o opțiune fermă de arhitectură, nu ca pe o promisiune de marketing.
Către platformă vor ajunge doar datele strict necesare funcționării serviciului: starea echipamentelor, confirmările de update, setările făcute din aplicație, acțiunile de administrare a contului și evidențele de sistem. Toate acestea vor circula printr-un singur canal criptat, inițiat exclusiv din interior către exterior.
Cheia de criptare va rămâne la tine. Partiția de date va fi protejată de un cip TPM direct în gateway-ul tău, fără ca noi să avem acces la ea. Cheia de recuperare va fi păstrată sub control dublu și nu va putea fi folosită fără acordul tău direct. Fiecare clădire va avea un domeniu criptografic izolat — nu va exista o master-cheie la producător.
Datele îți aparțin în totalitate și le vei putea muta oricând. Gateway-ul va pune la dispoziție un API local prin care vei putea exporta telemetria, istoricul și logurile în formate deschise, direct către un sistem BMS, un modul de contabilitate energetică sau propriul tablou de bord. Nu te vom bloca într-un format proprietar.
Concluzia e simplă: chiar dacă platforma noastră cloud ar fi vreodată compromisă, un atacator nu ar găsi istoricul clădirii tale acolo. Iar dacă pică conexiunea la internet, automatizările sunt proiectate să funcționeze în continuare, iar datele să se înregistreze local, fără nicio întrerupere.
Obiectivul nostru de conformitate vizează cerințele de securitate cibernetică din Directiva privind echipamentele radio (RED, art. 3.3 din Directiva 2014/53/UE), aplicând standardele EN 18031-1 și EN 18031-2. Dosarul de securitate — modelul de amenințări, mecanismele de protecție și matricea de conformitate — este structurat, iar întocmirea lui și testele în laboratoare acreditate sunt prevăzute prin proiect. Nu pretindem o certificare pe care nu o avem. O a doua cerință vine din Regulamentul (UE) 2024/2847 (Cyber Resilience Act, CRA), care fixează termene clare pentru producători. De ce contează asta pentru clădirea ta? Pentru că aceste garanții nu țin de bunăvoința furnizorului sau de putere de negociere, ci sunt obligații legale pe toată durata de suport a produsului.
| Obligația | Termenul | Ce înseamnă pentru clădirea ta |
|---|---|---|
| Raportarea unei vulnerabilități exploatate activ — notificare inițială | 24 de ore | O problemă exploatată în realitate nu poate fi ținută la sertar: autoritatea, și implicit piața, o află în prima zi. |
| Notificarea detaliată | 72 de ore | Descrierea tehnică și măsurile de atenuare se comunică în trei zile, nu la finalul analizei. |
| Raportul final | 14 zile | Cauza, corecția și măsura de prevenire sunt documentate — nu un subiect care se stinge de la sine. |
| Perioada minimă de suport de securitate | 5 ani de la punerea pe piață | Actualizările de securitate nu se opresc pentru că modelul a ieșit din catalog. |
| Păstrarea actualizărilor disponibile | 10 ani | Un echipament instalat azi poate fi adus la zi și peste un deceniu. |
| Lista de componente software (SBOM) și analiza de vulnerabilități | la fiecare construire de imagine | Se știe exact ce rulează pe echipamentul din clădirea ta, deci răspunsul la o vulnerabilitate nouă se măsoară în zile, nu în luni. |
| Bandă rapidă pentru vulnerabilități critice | ≤ 7 zile (angajament propriu de proiectare, nu cerință legală) | Corecția critică va ajunge pe echipament pe o cale separată de calendarul obișnuit de actualizări. |
La punerea în funcțiune, gateway-ul va fi asociat direct cu titularul și va deservi doar acea locuință. Într-un bloc cu 40 de apartamente vor exista 40 de spații de date complet izolate, nu un sistem centralizat administrat la comun. Aceasta este o regulă rigidă de proiectare, nu o bifă în configurare.
Miza este dublă. Pe de o parte, datele unui apartament nu se vor amesteca niciodată cu ale vecinilor. Pe de altă parte, administratorul imobilului nu va deveni automat operator de date cu caracter personal pentru locatari — o calitate juridică complicată, pe care probabil nu și-o dorește.
În privința datelor de cont, vom aplica principiul anonimizării prin construcție: istoricul de consum va putea fi păstrat doar prin eliminarea definitivă a oricărei legături cu identitatea utilizatorului. Vom oferi două opțiuni la ștergere: fie anonimizarea ireversibilă (utilă pentru statistici), fie ștergerea integrală a contului și a istoricului. Toate datele personale vor putea fi exportate la cerere într-un format deschis.
Jurnalul de intervenții al tehnicienilor va fi păstrat doar pe o perioadă determinată, pentru a verifica ce modificări s-au efectuat în clădire, urmând să fie șters automat la expirarea termenului.
Nu susținem că deținem brevete. Nu avem brevete acordate pentru această tehnologie și nu folosim ideea de brevetare drept argument comercial.
Certificările sunt procese în curs, nu garanții obținute. Marcajul CE și conformitatea cibernetică RED art. 3.3 (prin EN 18031-1 și EN 18031-2) sunt ținte de dezvoltare evaluate în laboratoare externe. Când vom avea certificatul în mână îl vom publica; până atunci nu facem promisiuni.
Auditul extern independent este programat, dar nu a fost efectuat încă. În acest moment ne bazăm pe specificațiile tehnice redactate, pe codul implementat și pe testele noastre interne, efectuate direct pe hardware-ul fizic.
Magistrala pe cablu RS485 (utilizată unde se evită comunicația radio) e proiectată să transmită datele necriptat, ca rețea închisă și protejată fizic. Este o decizie tehnică asumată pentru a menține firmware-ul simplu și costurile reduse: securitatea depinde de accesul fizic la traseu, nu de cifrare. În timp ce pachetele radio sunt criptate și autentificate, cele de pe magistrala cablată nu sunt.
Produsul nu este lansat pe piață. Nu avem clienți comerciali, iar datele și cifrele prezentate ca măsurate provin din testele proprii de laborator și din teren, nu din proiecte comerciale active. Soluția completă Mentivira va fi disponibilă în 2028.
Soluția Mentivira completă va fi disponibilă în 2028. Lasă-ne o adresă și primești un singur e-mail, la lansare.
Fără marketing, fără liste vândute. Un singur e-mail, la lansare.
Adresa se folosește exclusiv ca să te anunțăm la lansare, de către ZYONARA SRL. O poți retrage oricând, scriind la [email protected]. Detalii în politica de confidențialitate.