Quando um servidor é apreendido
Resposta
Uma apreensão de servidor começa com uma ordem judicial entregue ao provedor, seguida por imageamento ou remoção física do hardware. Volumes criptografados não produzem nada sem a senha. A defesa prática é arquitetural: criptografe em repouso, mantenha backups em outra jurisdição e não guarde dados que você não precise.
A sequência realista
Começa com uma ordem válida de um tribunal na jurisdição onde o hardware está localizado. Nossa equipe jurídica a revisa quanto à validade, escopo e jurisdição; ordens excessivamente amplas ou entregues de forma inadequada são contestadas, o que às vezes funciona e às vezes apenas ganha tempo.
Se a ordem prevalecer, o que acontece em seguida depende do seu escopo. A maioria das ordens busca uma cópia de dados específicos. A remoção física do hardware é menos comum e geralmente acompanha uma investigação criminal sobre o operador de um serviço específico. A notificação a você depende inteiramente de a ordem incluir uma cláusula de silêncio — se não incluir, você ouve de nós no mesmo dia.
O que sobrevive
Um volume criptografado produz ciphertext. LUKS2 com Argon2id e uma senha forte não é passível de força bruta com nenhuma tecnologia existente, então um disco criptografado e desligado é, na prática, um tijolo muito caro.
O qualificador crítico é desligado. Uma máquina em execução tem a chave na RAM. Ataques de boot a frio contra um servidor em execução são reais, embora complicados, e uma máquina apreendida enquanto em execução é um resultado muito pior do que uma apreendida desligada.
Construa para que não importe
O objetivo não é prevenir uma apreensão, o que você não pode. É torná-la sobrevivível e não informativa.
Criptografe em repouso com uma chave que nunca guardamos. Mantenha backups em uma jurisdição que não seria alcançada pela mesma ordem. Guarde o mínimo de dados que seu serviço realmente precise — dados que não existem não podem ser apreendidos. Distribua entre jurisdições para que nenhuma ordem única leve tudo. E saiba com antecedência como você reconstruiria, porque uma apreensão com um plano de recuperação testado é uma indisponibilidade, e uma apreensão sem ele é o fim do projeto.
- LUKS2 em repouso, senha inserida via console na inicialização
- Backups em uma jurisdição não alcançável pela mesma ordem
- Retenção de dados mínima viável na própria aplicação
- Arquitetura distribuída, sem dependência de um único país
- Um plano de reconstrução que você realmente ensaiou
O que fazemos
Revisamos cada ordem quanto à validade e escopo, e contestamos o que for contestável. Fornecemos apenas o que a ordem obriga, e nada além disso. Notificamos você a menos que legalmente proibido. Publicamos números no relatório trimestral de transparência.
O que não podemos fazer é recusar uma ordem válida de uma jurisdição em que operamos. Qualquer provedor que afirme o contrário ou nunca recebeu uma ou não está sendo honesto com você.
Perguntas frequentes
01 Vocês me avisariam se meu servidor fosse apreendido?
Sim, a menos que a ordem contenha uma cláusula de silêncio. Onde tivermos permissão para notificar, o fazemos no mesmo dia, com o texto da ordem onde isso for permitido.
02 Dados criptografados podem ser recuperados à força?
Não de um volume LUKS2 desligado com senha forte — nenhuma tecnologia existente faz força bruta em Argon2id nessa intensidade. Uma máquina apreendida em execução é outra história, porque a chave está na RAM.
03 Vocês contestam ordens judiciais?
Quando há fundamentos — entrega inadequada, jurisdição errada, escopo excessivamente amplo. Isso às vezes funciona e às vezes apenas ganha tempo. Não podemos recusar uma ordem válida de uma jurisdição em que operamos, e ninguém mais pode.
Relacionados