1 modulis · 1.1
Kas yra debesija ir kas gali pasiekti Jūsų duomenis?
1 modulis: Kodėl verta rinktis Europos debesiją? · Skaitymo trukmė: 10 min.
Mokymosi tikslas: Baigę šią pamoką galėsite paaiškinti, kas yra „debesija“, kokios šalys gali pasiekti Jūsų duomenis ir kodėl duomenų centro vieta nėra visa istorija.
Pagrindinės sąvokos: debesija, SaaS, PaaS, IaaS, paslaugų teikėjas, duomenų centras, jurisdikcija, administratoriaus prieiga, šifravimas perduodant, šifravimas saugojimo metu, visapusis (end-to-end) šifravimas, raktų valdymas
Debesija yra kito žmogaus kompiuteris
„Debesija“ skamba kaip kažkas neapčiuopiamo, plūduriuojančio virš mūsų. Iš tikrųjų tai labai konkretus dalykas: Jūsų failai, paštas ir kalendorius yra saugomi kito bendrovės kompiuteriuose (serveriuose), pastate, pilname serverių: duomenų centre. Jūs išsinuomojate dalį tų kompiuterių ir naudojatės jais per internetą.
Paimkime pavyzdį: Bakkerij De Korrel, kepykla su dvylika darbuotojų ir domeno vardu example.com. Savininkė Sanne jau daugelį metų naudoja žinomą didelės Amerikos technologijų bendrovės paketą: paštą adresu info@example.com, bendrą kalendorių pristatymo maršrutams, receptus ir pasiūlymus internetiniuose aplankuose bei pokalbius su personalu. Tai veikia puikiai. Tačiau Sanne iš tikrųjų nežino, kur yra tie duomenys ir kas visi gali juos pasiekti.
Trys debesijos rūšys
Jūs sutiksite tris santrumpas. Skirtumas yra tame, kiek paslaugų teikėjas už Jus sutvarko:
| Rūšis | Ką Jūs nuomojatės | Pavyzdys | Ką darote patys |
|---|---|---|---|
| SaaS (programinė įranga kaip paslauga) | Visiškai paruoštą paslaugą | Internetinis paštas, internetinė saugykla, internetinis biuro paketas | Tik naudoti ir nustatyti |
| PaaS (platforma kaip paslauga) | Platformą, kurioje veikia Jūsų pačių programinė įranga | Valdoma duomenų bazė arba interneto svetainių talpinimas | Savo pačios programos priežiūrą |
| IaaS (infrastruktūra kaip paslauga) | Tuščius serverius, saugyklą ir tinklą | Virtualų serverį (VPS) | Viską, pradedant operacine sistema |
Šis kursas daugiausia skirtas SaaS: paslaugoms, kurias nedidelė organizacija naudoja kasdien. SaaS atveju paslaugų teikėjas sutvarko beveik viską. Tai patogu, bet tai taip pat reiškia, kad paslaugų teikėjas turi savo rankose beveik viską.
Kas gali pasiekti Jūsų duomenis?
Kai Jūsų duomenys yra saugomi debesijos paslaugoje, iš esmės juos gali pasiekti daugiau šalių nei tik Jūs:
- Jūs ir Jūsų kolegos, su savo paskyromis. Taip pat visi, su kuriais ką nors dalinatės.
- Paslaugų teikėjas: administratoriai, kurie prižiūri sistemas, techninės pagalbos darbuotojai, kurie Jums padeda, ir automatinės sistemos (pavyzdžiui, šlamšto filtrai ar antivirusinės programos), kurios skaito Jūsų duomenis, kad atliktų savo darbą.
- Šalys, kurias pasitelkia paslaugų teikėjas: duomenų centras, bendrovė, kuri teikia techninę pagalbą kitoje šalyje, atsarginių kopijų tiekėjas. Jie vadinami subtvarkytojais (1.2 ir 9.2 pamokos).
- Valdžios institucijos: policija, teisėsauga ir žvalgybos tarnybos tos šalies, kuriai priklauso paslaugų teikėjas, jei tai leidžia įstatymai. Apie tai, kokie tai įstatymai, skaitysite 1.3 pamokoje.
- Užpuolikai, jei saugumas nepakankamas arba jei kas nors pavagia Jūsų slaptažodį.
1 ir 5 punktus Jūs iš esmės tvarkote patys, naudodami gerus slaptažodžius ir dviejų veiksnių autentifikaciją (7.3 pamoka). 2, 3 ir 4 punktai priklauso nuo pasirinkto paslaugų teikėjo. Būtent apie tai šis kursas.
Kodėl duomenų centras nėra visa istorija
Daugelis paslaugų teikėjų šiandien sako: „Jūsų duomenys saugomi Europoje.“ Tai gerai, bet tai tik dalis atsakymo. Yra trys lygiai:
- Kur yra serveris? Duomenų centro šalis. Tai lemia, pavyzdžiui, kurios šalies policija gali fiziškai pasiekti įrenginį.
- Kas yra paslaugų teikėjas ir kas yra savininkas? Bendrovei taikomi tos šalies, kurioje ji registruota, įstatymai. Jei Europos paslaugų teikėjas yra Amerikos bendrovės dukterinė įmonė, Amerikos teismas gali įpareigoti patronuojančią bendrovę perduoti duomenis, kuriuos ji „valdo“, net jei tie duomenys yra Europoje.
- Kas turi raktą? Jei duomenys yra užšifruoti, kyla klausimas, kas gali juos iššifruoti.
Žodis, reiškiantis „kokiai teisei kas nors priklauso“, yra jurisdikcija. Serveriui Frankfurte, priklausančiam bendrovei, kurios patronuojanti įmonė yra Jungtinėse Amerikos Valstijose, taigi taikomos dvi jurisdikcijos vienu metu. 2.1 pamokoje išmoksite penkis klausimus, kuriais galėsite tai išsiaiškinti apie bet kurį paslaugų teikėją.
Šifravimas: trys rūšys, vienas esminis klausimas
Šifravimas reiškia duomenų padarymą neįskaitomais visiems, neturintiems tinkamo rakto. Girdėsite apie tris rūšis:
| Rūšis | Ką ji apsaugo? | Kas gali pasiekti? |
|---|---|---|
| Šifravimas perduodant (https, TLS) | Duomenis tarp Jūsų įrenginio ir serverio | Paslaugų teikėjas viską mato, kai tik duomenys pasiekia serverį |
| Šifravimas saugojimo metu (užšifruoti diskai) | Duomenis diskuose duomenų centre, pavyzdžiui, jei diskas pavagiamas | Paslaugų teikėjas turi raktą, taigi gali skaityti duomenis |
| Visapusis (end-to-end) šifravimas (e2e) | Duomenys yra įskaitomi tik Jūsų įrenginiuose | Tik Jūs (ir tas, kuriam duosite raktą) |
Esminis klausimas visada yra: kas valdo raktą? Šifravimo perduodant ir saugojimo metu atveju raktą valdo paslaugų teikėjas. Tai būtina, nes kitaip paslaugų teikėjas negalėtų rodyti Jūsų failų naršyklėje, jų paieškoti ar leisti redaguoti internetiniame biuro pakete. Tai taip pat reiškia: jei paslaugų teikėjas būtų įpareigotas perduoti duomenis, techniškai jis tai galėtų padaryti.
Visapusis (end-to-end) šifravimas tai išsprendžia, bet kainuoja patogumo sąskaita. Bendras darbas prie dokumento naršyklėje, turinio paieška ir slaptažodžio atkūrimas tada dažnai neveikia. O jei pamestumėte raktą, niekas nebegalėtų atidaryti Jūsų failų. Daugumai kepyklos duomenų e2e nėra būtinas; aplankui, pavyzdžiui, su personalo bylomis, tai gali būti verta apsvarstyti.
Ką tai reiškia Bakkerij De Korrel
Sanne susidėlioja viską iš eilės. Jos paštas, kalendorius ir failai saugomi Amerikos bendrovėje. Pagal tos bendrovės svetainę, duomenys saugomi „Europoje“. Tačiau pati bendrovė priklauso Amerikos teisei, ir bendrovė turi raktus. Tai nėra priežastis panikuoti: niekas negerai nenutiko. Tačiau Sanne neturi aiškaus vaizdo, kas ateityje galės pasiekti duomenis, ir ji neturi įtakos taisyklėms. Būtent tai ir yra klausimas, kurį nagrinėja šis kursas: ar norite, kad taip ir liktų, o jei ne, kaip pereiti prie kito sprendimo nieko neprarandant?
Svarbu iš karto pasakyti: Europos paslaugų teikėjas nėra automatiškai saugesnis. Blogai apsaugota Europos paslauga yra blogesnė nei gerai apsaugota Amerikos paslauga. Svarbu abu dalykai vienu metu: gera apsauga ir jurisdikcija, kurios taisykles žinote ir kurias galite patikrinti Europos teisme.
Tai yra paaiškinimas, o ne teisinė konsultacija.
Praktikoje: kaip tai atrodo pas paslaugų teikėją
Paslaugų teikėjas paprasčiausiai privalo atsakyti į šiuos klausimus. Pavyzdžiui, WebOké tai nurodyta Nextcloud naudotojo vadove: duomenys saugomi dviejuose Nyderlandų duomenų centruose, duomenų srautas vyksta per https, diskai yra užšifruoti, o norintys gali įjungti visapusį (end-to-end) šifravimą konkrečiam aplankui, kartu su susijusiais apribojimais. Kiti Europos paslaugų teikėjai turi panašius puslapius, dažnai pavadinimu „Saugumas“, „Pasitikėjimo centras“ arba „Privatumas“. Jei tokios informacijos niekur nerandate, paklauskite. Paslaugų teikėjas, kuris negali pasakyti, kur saugomi Jūsų duomenys ir kas gali juos pasiekti, nėra geras pasirinkimas.
Santrauka
- Debesija yra kito žmogaus kompiuteris: bendrovės duomenų centro serveriai.
- SaaS atveju paslaugų teikėjas sutvarko beveik viską, taigi jis taip pat turi savo rankose beveik viską.
- Be Jūsų, Jūsų duomenis iš esmės gali pasiekti paslaugų teikėjas, jo subtvarkytojai, valdžios institucijos ir užpuolikai.
- Duomenų centro vieta yra tik vienas lygmuo; paslaugų teikėjo registracijos vieta ir savininkas taip pat lemia, kokiai teisei priklauso Jūsų duomenys.
- Šifravimo perduodant ir saugojimo metu atveju raktą turi paslaugų teikėjas; tik visapusio (end-to-end) šifravimo atveju raktą turite Jūs, tačiau su mažesniu patogumu.
Testas
Užduotis
Užduotis A1.1: Kur šiuo metu saugomi Jūsų duomenys? Įveskite savo paties domeno vardą (arba Jūsų organizacijos domeną). Programa patikrins, kur gaunamas Jūsų el. paštas (MX) ir kur yra Jūsų svetainė (A/AAAA), bei kuriam tinklo savininkui priklauso tie IP adresai. Iš anksto įrašykite, kurią bendrovę ir kurią šalį tikitės rasti. Po to palyginsite.
Užduotis E1.1: Kas gali prieiti? Pasirinkite vieną paslaugą, kurią naudojate kasdien (paštą, saugyklą ar pokalbius). Paslaugų teikėjo svetainėje sužinokite, kur saugomi duomenys, kokia bendrovė yra paslaugų teikėjas ir kur ji registruota, bei kokia šifravimo rūšis naudojama. Įrašykite penkias šios pamokos šalis, susijusias su ta paslauga.
Užduotis E1.1: Kas gali prieiti?
Pasirinkite vieną paslaugą (paštą, saugyklą ar pokalbius) ir suraskite informaciją paslaugos teikėjo svetainėje.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Šiuose straipsniuose aprašyti žingsniai taikomi WebOké paslaugoms; pas kitus paslaugų teikėjus tai veikia panašiai.
- Nextcloud vadovas 1.1: Kas yra Nextcloud ir kas yra WebOké Nextcloud?
- Nextcloud vadovas 3.1: Kaip WebOké apsaugo Jūsų Nextcloud?
- Nextcloud vadovas 3.9: End-to-end šifravimas: kada verta, o kada ne
- WebOké vadovas 14.3: WHOIS, IP paieška ir SSL tikrinimo įrankis
- NIST SP 800-145, The NIST Definition of Cloud Computing (SaaS, PaaS ir IaaS apibrėžimas)