Quando un server viene sequestrato
Risposta
Il sequestro di un server inizia con un'ordinanza del tribunale notificata al provider, seguita dalla creazione di un'immagine o dalla rimozione fisica dell'hardware. I volumi crittografati non rivelano nulla senza la passphrase. La difesa pratica è architetturale: crittografare a riposo, tenere i backup in un'altra giurisdizione e non conservare dati di cui non hai bisogno.
La sequenza realistica
Si comincia con un'ordinanza valida di un tribunale nella giurisdizione in cui si trova l'hardware. Il nostro team legale la esamina per validità, ambito e giurisdizione; le ordinanze eccessivamente ampie o notificate in modo improprio vengono contestate, il che a volte funziona e a volte guadagna solo tempo.
Se l'ordinanza regge, ciò che accade dopo dipende dal suo ambito. La maggior parte delle ordinanze richiede una copia di dati specifici. La rimozione fisica dell'hardware è meno comune e di solito accompagna un'indagine penale sul gestore di un servizio specifico. La notifica a te dipende interamente dal fatto che l'ordinanza includa un divieto di divulgazione: se non lo include, vieni a saperlo da noi lo stesso giorno.
Cosa sopravvive
Un volume crittografato produce testo cifrato. LUKS2 con Argon2id e una passphrase forte non è forzabile con nessuna tecnologia esistente, quindi un disco crittografato spento è, in termini pratici, un mattone molto costoso.
La qualificazione critica è spento. Una macchina in esecuzione ha la chiave in RAM. Gli attacchi cold-boot contro un server in funzione sono reali, sebbene complessi, e una macchina sequestrata mentre è in esecuzione è un esito molto peggiore di una sequestrata da spenta.
Progetta in modo che non abbia importanza
L'obiettivo non è prevenire un sequestro, cosa che non puoi fare. È renderlo soportabile e poco informativo.
Crittografa a riposo con una chiave che non custodiamo mai. Tieni i backup in una giurisdizione che non verrebbe raggiunta dalla stessa ordinanza. Conserva i dati minimi di cui il tuo servizio ha davvero bisogno: i dati che non esistono non possono essere sequestrati. Distribuisci su più giurisdizioni in modo che nessuna singola ordinanza porti via tutto. E sappi in anticipo come ricostruiresti, perché un sequestro con un piano di ripristino testato è un'interruzione, e un sequestro senza è la fine del progetto.
- LUKS2 a riposo, passphrase inserita dalla console all'avvio
- Backup in una giurisdizione non raggiungibile dalla stessa ordinanza
- Conservazione minima dei dati nell'applicazione stessa
- Architettura distribuita, nessuna dipendenza da un singolo Paese
- Un piano di ricostruzione che hai effettivamente provato
Cosa facciamo noi
Esaminiamo ogni ordinanza per validità e ambito e contestiamo ciò che è contestabile. Forniamo solo ciò che l'ordinanza impone, e nulla di più. Ti notifichiamo a meno che non sia legalmente vietato. Pubbliciamo i conteggi nel rapporto trimestrale sulla trasparenza.
Quello che non possiamo fare è rifiutare un'ordinanza valida da una giurisdizione in cui operiamo. Qualsiasi provider che affermi il contrario o non ne ha mai ricevuta una o non sta essendo sincero con te.
Domande frequenti
01 Mi direste se il mio server venisse sequestrato?
Sì, a meno che l'ordinanza non contenga una clausola di segretezza. Dove siamo autorizzati a notificare, lo facciamo lo stesso giorno, con il testo dell'ordinanza dove è consentito.
02 I dati crittografati possono essere recuperati con la forza?
No, da un volume LUKS2 spento con una passphrase forte: nessuna tecnologia esistente forza Argon2id a quella forza. Una macchina sequestrata mentre è in esecuzione è un'altra cosa, perché la chiave è in RAM.
03 Contestate le ordinanze legali?
Dove ci sono motivi: notifica impropria, giurisdizione sbagliata, ambito eccessivo. A volte funziona e a volte guadagna solo tempo. Non possiamo rifiutare un'ordinanza valida da una giurisdizione in cui operiamo, e nemmeno nessun altro può.
Correlati