1. modulis · 1.1
Kas ir mākonis un kurš var piekļūt Jūsu datiem?
1. modulis: Kāpēc Eiropas mākonis? · Lasīšanas laiks: 10 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kas ir "mākonis", kuras puses var piekļūt Jūsu datiem un kāpēc datu centra atrašanās vieta nav viss stāsts.
Pamatjēdzieni: mākonis, SaaS, PaaS, IaaS, pakalpojumu sniedzējs, datu centrs, jurisdikcija, administratora piekļuve, šifrēšana pārraides laikā, šifrēšana miera stāvoklī, pilnīga šifrēšana (end-to-end), atslēgu pārvaldība
Mākonis ir cita cilvēka dators
"Mākonis" izklausās pēc kaut kā miglaina, kas lidinās pāri mums. Patiesībā tas ir ļoti konkrēti: Jūsu faili, e-pasts un kalendārs atrodas uz cita uzņēmuma datoriem (serveriem), ēkā, kas pilna ar serveriem: datu centrā. Jūs nomājat daļiņu no šiem datoriem un izmantojat to internetā.
Ņemsim par piemēru Bakkerij De Korrel, maiznīcu ar divpadsmit darbiniekiem un domēna vārdu example.com. Īpašniece Sanne jau gadiem izmanto pazīstamu liela Amerikas tehnoloģiju uzņēmuma pakotni: e-pastu uz info@example.com, kopīgu kalendāru piegādes maršrutiem, receptes un piedāvājumus onlainā mapēs un tērzēšanu ar personālu. Tas darbojas lieliski. Taču Sanne īsti nezina, kur šie dati atrodas un kas visi tiem var piekļūt.
Trīs mākoņa veidi
Jūs sastapsieties ar trim saīsinājumiem. Atšķirība ir tajā, cik daudz pakalpojumu sniedzējs Jūsu vietā nokārto:
| Veids | Ko Jūs nomājat | Piemērs | Ko Jūs darāt pats |
|---|---|---|---|
| SaaS (software as a service) | Gatavs pakalpojums | Onlainā e-pasts, onlainā glabātuve, onlainā biroja rīki | Tikai lietošana un iestatīšana |
| PaaS (platform as a service) | Platforma, lai darbinātu savu programmatūru | Pārvaldīta datubāze vai tīmekļa mitināšana | Savas lietojumprogrammas uzturēšana |
| IaaS (infrastructure as a service) | Neapstrādāti serveri, glabātuve un tīkls | Virtuāls serveris (VPS) | Viss sākot ar operētājsistēmu |
Šis kurss galvenokārt ir par SaaS: pakalpojumiem, ko neliela organizācija lieto ik dienu. SaaS gadījumā pakalpojumu sniedzējs nokārto gandrīz visu. Tas ir ērti, taču tas nozīmē arī to, ka pakalpojumu sniedzēja rokās ir gandrīz viss.
Kas var piekļūt Jūsu datiem?
Ja Jūsu dati atrodas mākoņpakalpojumā, principā tiem var piekļūt vairāk pušu nekā tikai Jūs:
- Jūs un Jūsu kolēģi, ar savu kontu. Un ikviens, ar kuru kaut ko kopīgojat.
- Pakalpojumu sniedzējs: administratori, kas uztur sistēmas, atbalsta darbinieki, kas Jums palīdz, un automātiskas sistēmas (piemēram, surogātpasta filtri vai vīrusu skeneri), kas lasa Jūsu datus, lai veiktu savu darbu.
- Puses, ko pakalpojumu sniedzējs iesaista: datu centrs, uzņēmums, kas sniedz atbalstu citā valstī, dublējumkopiju pakalpojumu sniedzējs. Tos sauc par apakšapstrādātājiem (nodarbība 1.2 un 9.2).
- Valsts iestādes: policija, tiesu iestādes un izlūkdienesti tajā valstī, kurai pakalpojumu sniedzējs ir pakļauts, ja likums to pieļauj. Par to, kādi likumi tas ir, lasiet nodarbībā 1.3.
- Uzbrucēji, ja drošība nav pietiekama vai kāds iegūst Jūsu paroli.
1. un 5. punktu Jūs lielā mērā risiniet paši, izmantojot labas paroles un divu faktoru autentifikāciju (2FA) (nodarbība 7.3). 2., 3. un 4. punkts ir atkarīgi no Jūsu izvēlētā pakalpojumu sniedzēja. Tieši par to ir šis kurss.
Kāpēc datu centrs nav viss stāsts
Daudzi pakalpojumu sniedzēji mūsdienās saka: "Jūsu dati atrodas Eiropā." Tas ir labi, taču tā ir tikai daļa no atbildes. Ir trīs slāņi:
- Kur atrodas serveris? Datu centra valsts. Tas nosaka, piemēram, kuras valsts policija var fiziski piekļūt iekārtai.
- Kas ir pakalpojumu sniedzējs un kas ir īpašnieks? Uzņēmumam ir piemērojamas tās valsts tiesības, kurā tas ir reģistrēts. Ja Eiropas pakalpojumu sniedzējs ir Amerikas uzņēmuma meitasuzņēmums, Amerikas mātesuzņēmumu Amerikas tiesa var likt nodot datus, kas ir tā "rīcībā", pat ja tie atrodas Eiropā.
- Kam ir atslēga? Ja dati ir šifrēti, jautājums ir, kas tos var atšifrēt.
Vārds, kas apzīmē, "kuras valsts tiesībām kaut kas ir pakļauts", ir jurisdikcija. Tādējādi serveris Frankfurtē, kas pieder uzņēmumam ar mātesuzņēmumu Amerikas Savienotajās Valstīs, ir pakļauts divām jurisdikcijām vienlaikus. Nodarbībā 2.1 Jūs iemācīsieties piecus jautājumus, ar kuru palīdzību to noskaidrot par katru pakalpojumu sniedzēju.
Šifrēšana: trīs veidi, viens galvenais jautājums
Šifrēšana nozīmē padarīt datus nelasāmus ikvienam, kam nav pareizās atslēgas. Jūs sastapsieties ar trim veidiem:
| Veids | Ko tas aizsargā? | Kurš var piekļūt? |
|---|---|---|
| Šifrēšana pārraides laikā (https, TLS) | Datus starp Jūsu ierīci un serveri | Pakalpojumu sniedzējs redz visu, tiklīdz tas nonāk pie viņa |
| Šifrēšana miera stāvoklī (šifrēti diski) | Datus uz diskiem datu centrā, piemēram, ja disks tiek nozagts | Pakalpojumu sniedzējam ir atslēga, un tāpēc tas var lasīt datus |
| Pilnīga šifrēšana (end-to-end, e2e) | Dati ir lasāmi tikai Jūsu ierīcēs | Tikai Jūs (un tie, kuriem Jūs dodat atslēgu) |
Galvenais jautājums vienmēr ir: kas pārvalda atslēgu? Šifrēšanas gadījumā pārraides laikā un miera stāvoklī tas ir pakalpojumu sniedzējs. Tas ir nepieciešams, jo citādi pakalpojumu sniedzējs nevarētu rādīt Jūsu failus pārlūkprogrammā, tos meklēt vai ļaut rediģēt onlainā biroja rīkā. Tas nozīmē arī to, ka, ja pakalpojumu sniedzējam liek nodot datus, tas to var tehniski izdarīt.
Pilnīga šifrēšana (end-to-end) šo problēmu atrisina, bet prasa upurēt ērtības. Kopīgs darbs pie dokumenta pārlūkprogrammā, satura meklēšana un paroles atjaunošana tad bieži vien vairs nav iespējama. Un, ja pazaudējat atslēgu, neviens vairs nevar atvērt Jūsu failus. Lielākajai daļai maiznīcas datu e2e nav nepieciešams; mapei, piemēram, ar personāla lietām tas var būt apsvērums.
Ko tas nozīmē Bakkerij De Korrel
Sanne izkārto visu secībā. Viņas e-pasts, kalendārs un faili atrodas Amerikas uzņēmumā. Saskaņā ar šī uzņēmuma vietni dati atrodas "Eiropā". Taču pats uzņēmums ir pakļauts Amerikas tiesībām, un atslēgas pieder uzņēmumam. Tas nav iemesls panikai: nekas slikts nav noticis. Taču Sanne nav pārskata par to, kas nākotnē varēs piekļūt, un viņai nav ietekmes uz noteikumiem. Tieši šis ir jautājums, ko risina šis kurss: vai Jūs vēlaties, lai tā paliktu, un, ja nē, kā veikt pāreju, nezaudējot neko?
Svarīgi uzreiz pateikt: Eiropas pakalpojumu sniedzējs automātiski nav drošāks. Slikti aizsargāts Eiropas pakalpojums ir sliktāks par labi aizsargātu Amerikas pakalpojumu. Runa ir par diviem lietām vienlaikus: labu drošību un jurisdikciju, kuras noteikumus Jūs zināt un kurus var pārbaudīt Eiropas tiesā.
Šis ir skaidrojums, nevis juridisks padoms.
Praksē: kā tas izskatās pie pakalpojumu sniedzēja
Pakalpojumu sniedzējam vajadzētu vienkārši atbildēt uz šiem jautājumiem. Piemēram, WebOké gadījumā tas ir norādīts Nextcloud rokasgrāmatā: dati atrodas divos Nīderlandes datu centros, satiksme notiek caur https, diski ir šifrēti, un, ja vēlas, mapei var ieslēgt pilnīgu šifrēšanu (end-to-end), ņemot vērā ar to saistītos ierobežojumus. Citiem Eiropas pakalpojumu sniedzējiem ir līdzīgas lapas, bieži vien ar nosaukumiem, piemēram, "Security", "Trust center" vai "Privātums". Ja šīs informācijas nekur nav, pajautājiet. Pakalpojumu sniedzējs, kurš nevar pateikt, kur atrodas Jūsu dati un kas tiem var piekļūt, nav laba izvēle.
Kopsavilkums
- Mākonis ir cita cilvēka dators: serveri uzņēmuma datu centrā.
- SaaS gadījumā pakalpojumu sniedzējs nokārto gandrīz visu, un tāpēc viņa rokās ir arī gandrīz viss.
- Papildus Jums, principā Jūsu datiem var piekļūt pakalpojumu sniedzējs, tā apakšapstrādātāji, valsts iestādes un uzbrucēji.
- Datu centra atrašanās vieta ir viens slānis; pakalpojumu sniedzēja juridiskā adrese un īpašnieks arī nosaka, kuras valsts tiesībām Jūsu dati ir pakļauti.
- Šifrēšanas gadījumā pārraides laikā un miera stāvoklī atslēga ir pakalpojumu sniedzējam; tikai pilnīgas šifrēšanas (end-to-end) gadījumā tā ir Jums, taču ar mazāk ērtību.
Tests
Uzdevums
Uzdevums A1.1: Kur šobrīd atrodas Jūsu dati? Ievadiet savu domēna vārdu (vai Jūsu organizācijas domēnu). Programma pārbaudīs, kur ienāk Jūsu e-pasts (MX) un kur atrodas Jūsu vietne (A/AAAA), kā arī kuram tīkla īpašniekam pieder šie IP adreses. Jūs iepriekš norādāt, kuru uzņēmumu un valsti sagaidāt. Pēc tam Jūs salīdzināt rezultātus.
Uzdevums E1.1: Kam ir piekļuve? Izvēlieties vienu pakalpojumu, ko izmantojat ikdienā (e-pastu, glabātuvi vai tērzēšanu). Pakalpojumu sniedzēja vietnē noskaidrojiet, kur atrodas dati, kurš uzņēmums ir pakalpojumu sniedzējs un kur tas ir reģistrēts, kā arī kāda veida šifrēšana tiek izmantota. Aizpildiet šīs nodarbības piecas puses attiecībā uz šo pakalpojumu.
Uzdevums E1.1: Kam ir piekļuve?
Izvēlieties vienu pakalpojumu (e-pastu, failu glabātuvi vai tērzēšanu) un atrodiet informāciju pakalpojuma sniedzēja vietnē.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Papildu lasāmviela
Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; citiem Eiropas pakalpojumu sniedzējiem process ir līdzīgs.
- Nextcloud rokasgrāmata 1.1: Kas ir Nextcloud un kas ir WebOké Nextcloud?
- Nextcloud rokasgrāmata 3.1: Kā WebOké aizsargā Jūsu Nextcloud?
- Nextcloud rokasgrāmata 3.9: End-to-end šifrēšana: kad izmantot, kad ne
- WebOké rokasgrāmata 14.3: WHOIS, IP meklēšana un SSL pārbaude
- NIST SP 800-145, The NIST Definition of Cloud Computing (SaaS, PaaS un IaaS definīcija)