Module 1 · 1.1
Wat is de cloud, en wie kan bij je gegevens?
Module 1: Waarom een Europese cloud? · Leestijd: 10 minuten
Leerdoel: Na deze les kun je uitleggen wat "de cloud" is, welke partijen bij je gegevens kunnen komen en waarom de plek van het datacenter niet het hele verhaal is.
Kernbegrippen: cloud, SaaS, PaaS, IaaS, aanbieder, datacenter, jurisdictie, beheerderstoegang, versleuteling onderweg, versleuteling in rust, end-to-end-versleuteling, sleutelbeheer
De cloud is de computer van een ander
"De cloud" klinkt als iets vaags dat boven ons zweeft. In werkelijkheid is het heel concreet: jouw bestanden, mail en agenda staan op computers (servers) van een ander bedrijf, in een gebouw vol servers: een datacenter. Jij huurt een stukje van die computers en gebruikt het via internet.
Neem Bakkerij De Korrel, een bakkerij met twaalf medewerkers en de domeinnaam example.com. De eigenaar, Sanne, gebruikt al jaren een bekend pakket van een groot Amerikaans techbedrijf: mail op info@example.com, een gedeelde agenda voor de bezorgroutes, recepten en offertes in online mappen en een chat met het personeel. Dat werkt prima. Maar Sanne weet eigenlijk niet waar die gegevens staan, en wie er allemaal bij kan.
Drie soorten cloud
Je komt drie afkortingen tegen. Het verschil zit in hoeveel de aanbieder voor je regelt:
| Soort | Wat je huurt | Voorbeeld | Wat je zelf doet |
|---|---|---|---|
| SaaS (software as a service) | Een kant-en-klare dienst | Online mail, online opslag, online office | Alleen gebruiken en instellen |
| PaaS (platform as a service) | Een platform om je eigen software op te draaien | Een beheerde database of webhosting | Je eigen applicatie onderhouden |
| IaaS (infrastructure as a service) | Kale servers, opslag en netwerk | Een virtuele server (VPS) | Alles vanaf het besturingssysteem |
Deze cursus gaat vooral over SaaS: de diensten die een kleine organisatie elke dag gebruikt. Bij SaaS regelt de aanbieder bijna alles. Dat is makkelijk, maar het betekent ook dat de aanbieder bijna alles in handen heeft.
Wie kan er bij je gegevens?
Als je gegevens bij een clouddienst staan, zijn er meer partijen die er in principe bij kunnen dan alleen jij:
- Jij en je collega's, met jullie accounts. En iedereen met wie je iets deelt.
- De aanbieder: beheerders die de systemen onderhouden, supportmedewerkers die je helpen, en automatische systemen (bijvoorbeeld spamfilters of virusscanners) die je gegevens lezen om hun werk te doen.
- Partijen die de aanbieder inschakelt: het datacenter, een bedrijf dat de support in een ander land doet, een back-upleverancier. Dat heten subverwerkers (les 1.2 en 9.2).
- Overheden: politie, justitie en inlichtingendiensten van het land waar de aanbieder onder valt, als de wet dat toestaat. Over welke wetten dat gaat, lees je in les 1.3.
- Aanvallers, als de beveiliging tekortschiet of als iemand je wachtwoord buitmaakt.
Punt 1 en 5 regel je grotendeels zelf, met goede wachtwoorden en tweestapsverificatie (les 7.3). Punt 2, 3 en 4 hangen af van de aanbieder die je kiest. Daar gaat deze cursus over.
Waarom het datacenter niet het hele verhaal is
Veel aanbieders zeggen tegenwoordig: "Je gegevens staan in Europa." Dat is goed, maar het is maar een deel van het antwoord. Er zijn drie lagen:
- Waar staat de server? Het land van het datacenter. Dat bepaalt bijvoorbeeld welke politie fysiek bij de machine kan.
- Wie is de aanbieder, en wie is de eigenaar? Een bedrijf valt onder het recht van het land waar het gevestigd is. Is de Europese aanbieder een dochter van een Amerikaans bedrijf, dan kan het Amerikaanse moederbedrijf door een Amerikaanse rechter worden verplicht gegevens af te geven die het "in zijn macht" heeft, ook als die in Europa staan.
- Wie heeft de sleutel? Als de gegevens versleuteld zijn, is de vraag wie ze kan ontsleutelen.
Het woord voor "onder welk recht valt iets" is jurisdictie. Een server in Frankfurt van een bedrijf met een moederbedrijf in de Verenigde Staten valt dus onder twee jurisdicties tegelijk. In les 2.1 leer je vijf vragen waarmee je dat bij elke aanbieder uitzoekt.
Versleuteling: drie soorten, één hamvraag
Versleutelen betekent gegevens onleesbaar maken voor iedereen zonder de juiste sleutel. Je hoort drie soorten:
| Soort | Wat beschermt het? | Wie kan erbij? |
|---|---|---|
| Versleuteling onderweg (https, TLS) | Gegevens tussen jouw apparaat en de server | De aanbieder ziet alles zodra het aankomt |
| Versleuteling in rust (versleutelde schijven) | Gegevens op de schijven in het datacenter, bijvoorbeeld als een schijf wordt gestolen | De aanbieder heeft de sleutel en kan de gegevens dus lezen |
| End-to-end-versleuteling (e2e) | Gegevens zijn alleen op jouw apparaten leesbaar | Alleen jij (en wie je de sleutel geeft) |
De hamvraag is steeds: wie beheert de sleutel? Bij versleuteling onderweg en in rust is dat de aanbieder. Dat is nodig, want anders kan de aanbieder je bestanden niet tonen in de browser, niet doorzoeken en niet laten bewerken in een online office. Het betekent ook: als de aanbieder verplicht wordt gegevens af te geven, kan hij dat technisch.
End-to-end-versleuteling lost dat op, maar kost gemak. Samen in de browser aan een document werken, zoeken in de inhoud en een wachtwoord herstellen gaan dan vaak niet. En raak je de sleutel kwijt, dan is niemand meer in staat je bestanden te openen. Voor de meeste gegevens van een bakkerij is e2e niet nodig; voor een map met bijvoorbeeld personeelsdossiers kan het een overweging zijn.
Wat dit voor Bakkerij De Korrel betekent
Sanne zet het op een rijtje. Haar mail, agenda en bestanden staan bij een Amerikaans bedrijf. Volgens de website van dat bedrijf staan de gegevens "in Europa". Maar het bedrijf zelf valt onder Amerikaans recht, en het bedrijf heeft de sleutels. Dat is geen reden voor paniek: er is niets misgegaan. Maar Sanne heeft geen zicht op wie er in de toekomst bij kan, en ze heeft geen invloed op de regels. Dat is precies de vraag die deze cursus behandelt: wil je dat zo houden, en zo niet, hoe stap je dan over zonder iets kwijt te raken?
Belangrijk om meteen te zeggen: een Europese aanbieder is niet automatisch veiliger. Een slecht beveiligde Europese dienst is slechter dan een goed beveiligde Amerikaanse. Het gaat om twee dingen tegelijk: goede beveiliging en een jurisdictie waarvan je de regels kent en kunt laten toetsen door een Europese rechter.
Dit is uitleg, geen juridisch advies.
In de praktijk: zo ziet het eruit bij een aanbieder
Een aanbieder hoort deze vragen gewoon te beantwoorden. Bij WebOké staat het bijvoorbeeld in de Nextcloud-handleiding: de gegevens staan in twee Nederlandse datacenters, het verkeer gaat via https, de schijven zijn versleuteld, en wie dat wil kan voor een map end-to-end-versleuteling aanzetten, met de beperkingen erbij. Andere Europese aanbieders hebben vergelijkbare pagina's, vaak onder namen als "Beveiliging", "Trust center" of "Privacy". Staat het nergens, vraag het dan. Een aanbieder die niet kan zeggen waar je gegevens staan en wie erbij kan, is geen goede keuze.
Samenvatting
- De cloud is de computer van een ander: servers in een datacenter van een bedrijf.
- Bij SaaS regelt de aanbieder bijna alles, en heeft hij dus ook bijna alles in handen.
- Naast jou kunnen de aanbieder, zijn subverwerkers, overheden en aanvallers in principe bij je gegevens.
- De plek van het datacenter is één laag; de vestiging en de eigenaar van de aanbieder bepalen ook onder welk recht je gegevens vallen.
- Bij versleuteling onderweg en in rust heeft de aanbieder de sleutel; alleen bij end-to-end heb jij hem, met minder gemak.
Quiz
Opdracht
Opdracht A1.1: Waar staan je gegevens nu? Vul je eigen domeinnaam in (of een domein van je organisatie). Het programma zoekt op waar je mail binnenkomt (MX) en waar je website staat (A/AAAA), en bij welke netwerkeigenaar die IP-adressen horen. Jij vult vooraf in welk bedrijf en welk land je verwacht. Daarna vergelijk je.
Opdracht E1.1: Wie kan er bij? Kies één dienst die je dagelijks gebruikt (mail, opslag of chat). Zoek op de site van de aanbieder op waar de gegevens staan, welk bedrijf de aanbieder is en waar dat gevestigd is, en welke soort versleuteling wordt gebruikt. Vul de vijf partijen uit deze les in voor die dienst.
Opdracht E1.1: Wie kan er bij?
Kies één dienst (mail, opslag of chat) en zoek de informatie op de site van de aanbieder op.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Nextcloud handleiding 1.1: Wat is Nextcloud en wat is een WebOké Nextcloud?
- Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
- Nextcloud handleiding 3.9: End-to-end-encryptie: wanneer wel, wanneer niet
- WebOké handleiding 14.3: WHOIS, IP-lookup en SSL-checker
- NIST SP 800-145, The NIST Definition of Cloud Computing (definitie van SaaS, PaaS en IaaS)