Когда изымают сервер
Ответ
Изъятие сервера начинается с судебного предписания, вручённого провайдеру, после чего следует снятие образа или физическое изъятие оборудования. Зашифрованные тома без парольной фразы не дадут ничего. Практическая защита — архитектурная: шифрование на диске, резервные копии в другой юрисдикции и отсутствие лишних данных.
Реалистичная последовательность
Всё начинается с действующего предписания суда в юрисдикции, где находится оборудование. Наша юридическая команда проверяет его на действительность, объём и юрисдикцию; чрезмерно широкие или неправильно вручённые предписания оспариваются, что иногда срабатывает, а иногда лишь выигрывает время.
Если предписание остаётся в силе, дальнейшее зависит от его объёма. Большинство предписаний требуют копию конкретных данных. Физическое изъятие оборудования встречается реже и обычно сопровождает уголовное расследование в отношении оператора конкретного сервиса. Уведомление вам полностью зависит от того, включает ли предписание запрет на разглашение; если нет — вы услышите о нас в тот же день.
Что это переживает
Зашифрованный том — это шифротекст. LUKS2 с Argon2id и надёжной парольной фразой невозможно подобрать перебором никакими существующими технологиями, поэтому выключенный зашифрованный диск — это, на практике, очень дорогой кирпич.
Критично, что он выключен. На работающей машине ключ находится в оперативной памяти. Атаки при холодной загрузке на работающий сервер реальны, хоть и сложны, и машина, изъятая во время работы, — гораздо худший исход, чем изъятая в выключенном состоянии.
Стройте так, чтобы это не имело значения
Цель — не предотвратить изъятие, которое вы не можете предотвратить. Цель — сделать его переживаемым и неинформативным.
Шифруйте диски ключом, который мы никогда не храним. Храните резервные копии в юрисдикции, которую то же предписание не охватит. Держите минимум данных, которые действительно нужны вашему сервису, — данные, которых нет, изъять нельзя. Распределяйте нагрузку по юрисдикциям, чтобы ни одно предписание не забрало всё. И заранее знайте, как будете восстанавливаться, потому что изъятие с проверенным планом восстановления — это инцидент, а без него — конец проекта.
- LUKS2 на диске, пароль вводится через консоль при загрузке
- Резервные копии в юрисдикции, недосягаемой тем же предписанием
- Минимально необходимое хранение данных в самом приложении
- Распределённая архитектура, без зависимости от одной страны
- План восстановления, который вы действительно репетировали
Что делаем мы
Проверяем каждое предписание на действительность и объём и оспариваем то, что можно оспорить. Предоставляем только то, что требует предписание, и ничего сверх. Уведомляем вас, если это не запрещено законом. Публикуем статистику в ежеквартальном отчёте о прозрачности.
Чего мы не можем, так это отказаться от действующего предписания юрисдикции, в которой работаем. Любой провайдер, утверждающий обратное, либо никогда его не получал, либо нечестен с вами.
Часто задаваемые вопросы
01 Сообщите ли вы мне, если мой сервер изымут?
Да, если только в предписании нет запрета на разглашение. Где нам разрешено уведомлять, мы делаем это в тот же день и, где это допустимо, предоставляем текст предписания.
02 Можно ли принудительно восстановить зашифрованные данные?
Нет, с выключенного LUKS2-тома с надёжной парольной фразой — никакая существующая технология не подберёт Argon2id такой стойкости. Машина, изъятая во время работы, — другое дело, потому что ключ находится в оперативной памяти.
03 Оспариваете ли вы судебные предписания?
Где есть основания — неправильное вручение, неверная юрисдикция, чрезмерно широкий объём. Это иногда срабатывает, а иногда лишь выигрывает время. Мы не можем отказаться от действующего предписания юрисдикции, в которой работаем, и никто другой тоже не может.
Похожее