Modul 1 · 1.1
Co je cloud a kdo se může dostat k Vašim datům?
Modul 1: Proč evropský cloud? · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete vysvětlit, co je to "cloud", které strany se mohou dostat k Vašim datům a proč poloha datacentra není celý příběh.
Klíčové pojmy: cloud, SaaS, PaaS, IaaS, poskytovatel, datacentrum, jurisdikce, administrátorský přístup, šifrování při přenosu, šifrování v klidu, end-to-end šifrování, správa klíčů
Cloud je počítač někoho jiného
"Cloud" zní jako něco neurčitého, co se vznáší nad námi. Ve skutečnosti je to naprosto konkrétní: Vaše soubory, pošta a kalendář se nacházejí na počítačích (serverech) jiné firmy, v budově plné serverů: datacentru. Vy si pronajímáte kousek těchto počítačů a používáte ho přes internet.
Vezměme si Bakkerij De Korrel, pekárnu s dvanácti zaměstnanci a doménovým jménem example.com. Majitelka, Sanne, už léta používá známý balíček od velké americké technologické firmy: poštu na adrese info@example.com, sdílený kalendář pro rozvozové trasy, recepty a nabídky v online složkách a chat se zaměstnanci. Funguje to dobře. Sanne ale vlastně neví, kde se tato data nacházejí a kdo všechno se k nim může dostat.
Tři druhy cloudu
Setkáte se se třemi zkratkami. Rozdíl spočívá v tom, kolik toho za Vás poskytovatel zařídí:
| Druh | Co si pronajímáte | Příklad | Co děláte sami |
|---|---|---|---|
| SaaS (software as a service) | Hotovou službu | Online pošta, online úložiště, online kancelářský balík | Pouze používání a nastavení |
| PaaS (platform as a service) | Platformu pro provoz vlastního softwaru | Spravovanou databázi nebo webhosting | Údržbu vlastní aplikace |
| IaaS (infrastructure as a service) | Holé servery, úložiště a síť | Virtuální server (VPS) | Vše od operačního systému výše |
Tento kurz se zabývá především SaaS: službami, které malá organizace používá každý den. U SaaS zařizuje poskytovatel téměř vše. To je pohodlné, ale zároveň to znamená, že poskytovatel má téměř vše ve svých rukou.
Kdo se může dostat k Vašim datům?
Pokud se Vaše data nacházejí u cloudové služby, existuje v zásadě více stran, které se k nim mohou dostat, než jen Vy:
- Vy a Vaši kolegové, s Vašimi účty. A každý, s kým něco sdílíte.
- Poskytovatel: administrátoři, kteří udržují systémy, pracovníci podpory, kteří Vám pomáhají, a automatické systémy (například antispamové filtry nebo antivirové skenery), které čtou Vaše data, aby mohly vykonávat svou práci.
- Strany, které poskytovatel zapojuje: datacentrum, firma, která zajišťuje podporu v jiné zemi, dodavatel záloh. Těm se říká subzpracovatelé (lekce 1.2 a 9.2).
- Orgány veřejné moci: policie, justice a zpravodajské služby země, pod kterou poskytovatel spadá, pokud to zákon umožňuje. O tom, o jaké zákony jde, si přečtete v lekci 1.3.
- Útočníci, pokud zabezpečení selže nebo pokud někdo získá Vaše heslo.
Body 1 a 5 si do značné míry zajišťujete sami, pomocí dobrých hesel a dvoufázového ověření (lekce 7.3). Body 2, 3 a 4 závisí na poskytovateli, kterého si vyberete. O tom je tento kurz.
Proč datacentrum není celý příběh
Mnoho poskytovatelů dnes tvrdí: "Vaše data se nacházejí v Evropě." To je dobře, ale je to jen část odpovědi. Existují tři vrstvy:
- Kde se nachází server? Země, kde je datacentrum. Ta určuje například, která policie se může fyzicky dostat k zařízení.
- Kdo je poskytovatel a kdo je jeho vlastník? Firma spadá pod právo země, ve které sídlí. Pokud je evropský poskytovatel dceřinou společností americké firmy, může americký soud zavázat americkou mateřskou společnost k vydání dat, která má "pod svou kontrolou", i když se tato data nacházejí v Evropě.
- Kdo má klíč? Pokud jsou data šifrovaná, otázkou je, kdo je dokáže dešifrovat.
Slovo pro "pod jaké právo něco spadá" je jurisdikce. Server ve Frankfurtu patřící firmě s mateřskou společností ve Spojených státech tedy spadá pod dvě jurisdikce současně. V lekci 2.1 se naučíte pět otázek, pomocí kterých si toto u každého poskytovatele zjistíte.
Šifrování: tři druhy, jedna klíčová otázka
Šifrování znamená znepřístupnit data pro kohokoli bez správného klíče. Setkáte se se třemi druhy:
| Druh | Co chrání? | Kdo se k tomu může dostat? |
|---|---|---|
| Šifrování při přenosu (https, TLS) | Data mezi Vaším zařízením a serverem | Poskytovatel vidí vše, jakmile data dorazí |
| Šifrování v klidu (šifrované disky) | Data na discích v datacentru, například v případě krádeže disku | Poskytovatel má klíč, a může tedy data číst |
| End-to-end šifrování (e2e) | Data jsou čitelná pouze na Vašich zařízeních | Pouze Vy (a ti, komu klíč dáte) |
Klíčová otázka vždy zní: kdo spravuje klíč? U šifrování při přenosu a v klidu je to poskytovatel. To je nutné, protože jinak by poskytovatel nemohl zobrazovat Vaše soubory v prohlížeči, prohledávat je ani umožnit jejich úpravy v online kancelářském balíku. Znamená to také: pokud je poskytovatel zavázán data vydat, dokáže to technicky provést.
End-to-end šifrování tento problém řeší, ale stojí Vás pohodlí. Společná práce na dokumentu v prohlížeči, vyhledávání v obsahu a obnovení hesla pak často nefungují. A pokud ztratíte klíč, nikdo už nebude schopen Vaše soubory otevřít. Pro většinu dat pekárny není e2e potřeba; pro složku s například personálními spisy to může být úvaha na místě.
Co to znamená pro Bakkerij De Korrel
Sanne si to shrnuje. Její pošta, kalendář a soubory se nacházejí u americké firmy. Podle webových stránek této firmy se data nacházejí "v Evropě". Firma samotná ale spadá pod americké právo a firma má klíče. To není důvod k panice: nic se nestalo špatně. Sanne ale nemá přehled o tom, kdo se k datům bude moci dostat v budoucnu, a nemá vliv na pravidla. To je přesně otázka, kterou se tento kurz zabývá: chcete, aby to tak zůstalo, a pokud ne, jak přejdete na jinou službu, aniž byste o něco přišli?
Důležité je hned říci: evropský poskytovatel není automaticky bezpečnější. Špatně zabezpečená evropská služba je horší než dobře zabezpečená americká. Jde o dvě věci současně: dobré zabezpečení a jurisdikci, jejíž pravidla znáte a můžete nechat přezkoumat evropským soudem.
Toto je vysvětlení, nikoli právní poradenství.
V praxi: jak to vypadá u poskytovatele
Poskytovatel by měl na tyto otázky prostě odpovídat. U WebOké to naleznete například v návodu k Nextcloud: data se nacházejí ve dvou nizozemských datacentrech, provoz probíhá přes https, disky jsou šifrované, a kdo chce, může pro určitou složku zapnout end-to-end šifrování, i s příslušnými omezeními. Jiní evropští poskytovatelé mají podobné stránky, často pod názvy jako "Zabezpečení", "Trust center" nebo "Soukromí". Pokud to nikde nenajdete, zeptejte se. Poskytovatel, který nedokáže říct, kde se Vaše data nacházejí a kdo se k nim může dostat, není dobrou volbou.
Shrnutí
- Cloud je počítač někoho jiného: servery v datacentru nějaké firmy.
- U SaaS zařizuje poskytovatel téměř vše, a má tedy také téměř vše ve svých rukou.
- Kromě Vás se k Vašim datům mohou v zásadě dostat poskytovatel, jeho subzpracovatelé, orgány veřejné moci a útočníci.
- Poloha datacentra je jedna vrstva; sídlo a vlastník poskytovatele také určují, pod jaké právo Vaše data spadají.
- U šifrování při přenosu a v klidu má klíč poskytovatel; pouze u end-to-end šifrování ho máte Vy, za cenu menšího pohodlí.
Kvíz
Úkol
Úkol A1.1: Kde jsou teď Vaše data? Zadejte vlastní doménové jméno (nebo doménu Vaší organizace). Program zjistí, kam přichází Vaše pošta (MX) a kde se nachází Vaše webová stránka (A/AAAA), a ke kterému vlastníkovi sítě tyto IP adresy patří. Vy předem zadáte, jakou firmu a jakou zemi očekáváte. Poté výsledky porovnáte.
Úkol E1.1: Kdo se tam dostane? Vyberte si jednu službu, kterou používáte denně (poštu, úložiště nebo chat). Na stránkách poskytovatele zjistěte, kde se data nacházejí, jaká firma je poskytovatelem a kde sídlí, a jaký druh šifrování se používá. Vyplňte pět stran z této lekce pro danou službu.
Úkol E1.1: Kdo se tam dostane?
Vyberte jednu službu (e-mail, úložiště nebo chat) a vyhledejte informace na webu poskytovatele.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka k Nextcloud 1.1: Co je Nextcloud a co je WebOké Nextcloud?
- Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
- Příručka k Nextcloud 3.9: End-to-end šifrování: kdy ano, kdy ne
- Příručka WebOké 14.3: WHOIS, vyhledání IP a kontrola SSL
- NIST SP 800-145, The NIST Definition of Cloud Computing (definice SaaS, PaaS a IaaS)