Коли вилучають сервер
Відповідь
Вилучення сервера починається з судової ухвали, врученої провайдеру, після чого відбувається копіювання даних або фізичне вилучення обладнання. Зашифровані томи без пароля не дають нічого. Практичний захист — архітектурний: шифруйте дані, зберігайте резервні копії в іншій юрисдикції та не тримайте даних, які вам не потрібні.
Реалістичний перебіг подій
Усе починається з чинної ухвали суду в юрисдикції, де розташоване обладнання. Наша юридична команда перевіряє її на чинність, обсяг і юрисдикцію; ухвали з перевищенням повноважень або неправильно вручені оскаржуються — іноді це спрацьовує, іноді лише виграє час.
Якщо ухвала залишається чинною, подальше залежить від її обсягу. Більшість ухвал вимагає копію певних даних. Фізичне вилучення обладнання трапляється рідше і зазвичай супроводжує кримінальне розслідування щодо оператора конкретного сервісу. Повідомлення вам повністю залежить від того, чи містить ухвала заборону на розголошення — якщо ні, ви дізнаєтесь від нас того ж дня.
Що переживає вилучення
Зашифрований том дає шифротекст. LUKS2 з Argon2id і надійним паролем неможливо зламати перебором за допомогою будь-якої наявної технології, тож вимкнений зашифрований диск на практиці — дуже дорога цеглина.
Ключове застереження — «вимкнений». У працюючої машини ключ у памʼяті. Атаки з холодним перезавантаженням на працюючий сервер реальні, хоч і складні, і машина, вилучена під час роботи, — набагато гірший результат, ніж вимкнена.
Будуйте так, щоб це не мало значення
Мета не в тому, щоб запобігти вилученню — це неможливо. А в тому, щоб зробити його таким, що переживається, і неінформативним.
Шифруйте дані ключем, який ми ніколи не зберігаємо. Тримайте резервні копії в юрисдикції, недосяжній для тієї самої ухвали. Зберігайте мінімум даних, реально потрібних вашому сервісу — дані, яких не існує, не можна вилучити. Розподіляйте сервери між юрисдикціями, щоб жодна ухвала не забрала все. І заздалегідь знайте, як ви відновлюватимете роботу, бо вилучення з перевіреним планом відновлення — це просто збій, а без нього — кінець проєкту.
- LUKS2, пароль вводиться з консолі під час завантаження
- Резервні копії в юрисдикції, недосяжній для тієї самої ухвали
- Мінімально необхідне зберігання даних у самому застосунку
- Розподілена архітектура, без залежності від однієї країни
- План відновлення, який ви насправді відрепетирували
Що робимо ми
Перевіряємо кожну ухвалу на чинність та обсяг і оскаржуємо те, що можна оскаржити. Надаємо лише те, що вимагає ухвала, і нічого понад. Повідомляємо вас, якщо це не заборонено законом. Публікуємо статистику у щоквартальному звіті про прозорість.
Чого ми не можемо зробити — це відмовити у виконанні чинної ухвали з юрисдикції, де ми працюємо. Будь-який провайдер, який стверджує протилежне, або ніколи не отримував таких ухвал, або не відвертий з вами.
Поширені запитання
01 Чи повідомите ви мене, якщо мій сервер вилучать?
Так, якщо ухвала не містить заборони на розголошення. Де дозволено повідомляти, ми робимо це того ж дня, за можливості — з текстом ухвали.
02 Чи можна примусово відновити зашифровані дані?
З вимкненого LUKS2-тому з надійним паролем — ні: жодна наявна технологія не зламає Argon2id такої стійкості перебором. Машина, вилучена під час роботи, — інша справа, бо ключ у памʼяті.
03 Чи оскаржуєте ви юридичні ухвали?
Там, де є підстави — неправильне вручення, не та юрисдикція, перевищений обсяг. Іноді це спрацьовує, іноді лише виграє час. Ми не можемо відмовити у виконанні чинної ухвали з юрисдикції, де працюємо, як і ніхто інший.
Пов'язане