When a server is seized
Odpowiedź
Zajęcie serwera zaczyna się od nakazu sądowego doręczonego dostawcy, a następnie następuje obrazowanie lub fizyczne usunięcie sprzętu. Zaszyfrowane woluminy nie ujawniają niczego bez hasła. Praktyczna obrona ma charakter architektoniczny: szyfruj w spoczynku, trzymaj kopie zapasowe w innej jurysdykcji i nie przechowuj danych, których nie potrzebujesz.
The realistic sequence
Zaczyna się od ważnego nakazu sądu w jurysdykcji, w której znajduje się sprzęt. Nasz zespół prawny sprawdza go pod kątem ważności, zakresu i jurysdykcji; nadmiernie szerokie lub niewłaściwie doręczone nakazy są kwestionowane, co czasem działa, a czasem tylko zyskuje na czasie.
Jeśli nakaz się utrzyma, dalszy bieg wydarzeń zależy od jego zakresu. Większość nakazów dotyczy kopii konkretnych danych. Fizyczne usunięcie sprzętu jest rzadsze i zwykle towarzyszy postępowaniu karnemu przeciwko operatorowi konkretnej usługi. Powiadomienie Ciebie zależy wyłącznie od tego, czy nakaz zawiera klauzulę o zachowaniu poufności — jeśli nie, usłyszysz od nas tego samego dnia.
What survives it
Zaszyfrowany wolumin daje szyfrogram. LUKS2 z Argon2id i silnym hasłem nie jest złamany przez żadną istniejącą technologię, więc wyłączony zaszyfrowany dysk to w praktyce bardzo droga cegła.
Kluczowe zastrzeżenie to „wyłączony”. Działająca maszyna ma klucz w pamięci RAM. Ataki typu cold boot na działający serwer są realne, choć skomplikowane, a maszyna zajęta w trakcie pracy to znacznie gorszy wynik niż zajęta po wyłączeniu.
Buduj tak, aby to nie miało znaczenia
Celem nie jest zapobieżenie zajęciu, czego nie możesz zrobić. Chodzi o to, aby było ono do przeżycia i nie dostarczyło informacji.
Szyfruj dane w spoczynku kluczem, którego nigdy nie przechowujemy. Przechowuj kopie zapasowe w jurysdykcji, do której nie sięga ten sam nakaz. Trzymaj tylko te dane, których Twoja usługa naprawdę potrzebuje – dane, których nie ma, nie mogą zostać zajęte. Rozprosz architekturę między jurysdykcje, aby żaden pojedynczy nakaz nie zabrał wszystkiego. I wiedz z wyprzedzeniem, jak odbudujesz systemy, bo zajęcie z przetestowanym planem odzyskiwania to przerwa w działaniu, a zajęcie bez niego to koniec projektu.
- LUKS2 w spoczynku, hasło podawane przez konsolę przy starcie
- Kopie zapasowe w jurysdykcji nieosiągalnej tym samym nakazem
- Minimalna niezbędna retencja danych w samej aplikacji
- Rozproszona architektura, bez zależności od jednego kraju
- Plan odbudowy, który faktycznie przećwiczyłeś
What we do
Sprawdzamy każdy nakaz pod kątem ważności i zakresu oraz zaskarżamy to, co można zaskarżyć. Udostępniamy tylko to, co nakaz wymusza, i nic poza tym. Informujemy Cię, chyba że prawo tego zabrania. Publikujemy liczby w kwartalnym raporcie przejrzystości.
Czego nie możemy zrobić, to odmówić wykonania ważnego nakazu z jurysdykcji, w której działamy. Każdy dostawca twierdzący inaczej albo nigdy takiego nie otrzymał, albo nie mówi Ci prawdy.
Często zadawane pytania
01 Czy poinformujesz mnie, gdyby mój serwer został zajęty?
Tak, chyba że nakaz zawiera klauzulę poufności. Tam, gdzie możemy powiadomić, robimy to tego samego dnia, wraz z treścią nakazu, jeśli to dozwolone.
02 Czy zaszyfrowane dane mogą zostać odzyskane siłą?
Nie z wyłączonego woluminu LUKS2 z silnym hasłem – żadna istniejąca technologia nie złamie Argon2id przy takiej sile. Maszyna zajęta podczas pracy to inna sprawa, ponieważ klucz jest w pamięci RAM.
03 Czy zaskarżacie nakazy sądowe?
Tam, gdzie są podstawy – niewłaściwe doręczenie, błędna jurysdykcja, zbyt szeroki zakres. Czasem to działa, a czasem tylko zyskuje czas. Nie możemy odmówić ważnego nakazu z jurysdykcji, w której działamy, i nikt inny też nie może.
Powiązane