Hva er skyen, og hvem kan få tilgang til dataene dine?

Modul 1: Hvorfor en europeisk sky? · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du forklare hva «skyen» er, hvilke parter som kan få tilgang til dataene dine, og hvorfor plasseringen av datasenteret ikke er hele historien.

Nøkkelbegreper: sky, SaaS, PaaS, IaaS, leverandør, datasenter, jurisdiksjon, administratortilgang, kryptering under overføring, kryptering i hvile, ende-til-ende-kryptering, nøkkelhåndtering

Skyen er noen andres datamaskin

«Skyen» høres ut som noe vagt som svever over oss. I virkeligheten er det helt konkret: filene, e-posten og kalenderen din ligger på datamaskiner (servere) som tilhører et annet selskap, i en bygning full av servere: et datasenter. Du leier en liten del av disse datamaskinene og bruker den via internett.

Ta Bakkerij De Korrel, et bakeri med tolv ansatte og domenenavnet example.com. Eieren, Sanne, har i mange år brukt en kjent pakke fra et stort amerikansk teknologiselskap: e-post på info@example.com, en delt kalender for leveringsrutene, oppskrifter og tilbud i nettbaserte mapper, og en chat med de ansatte. Det fungerer fint. Men Sanne vet egentlig ikke hvor dataene befinner seg, og hvem som har tilgang til dem.

Tre typer sky

Du vil støte på tre forkortelser. Forskjellen ligger i hvor mye leverandøren ordner for deg:

Dette kurset handler først og fremst om SaaS: tjenestene en liten organisasjon bruker hver dag. Med SaaS ordner leverandøren nesten alt. Det er enkelt, men det betyr også at leverandøren har nesten alt i sine hender.

Hvem kan få tilgang til dataene dine?

Når dataene dine ligger hos en skytjeneste, er det flere parter som i prinsippet kan få tilgang enn bare deg selv:

1. Du og kollegene dine, med deres kontoer. Og alle du deler noe med.
2. Leverandøren: administratorer som vedlikeholder systemene, supportmedarbeidere som hjelper deg, og automatiske systemer (for eksempel spamfiltre eller virusskannere) som leser dataene dine for å gjøre jobben sin.
3. Parter leverandøren bruker: datasenteret, et selskap som håndterer support i et annet land, en backup-leverandør. Disse kalles underdatabehandlere (leksjon 1.2 og 9.2).
4. Myndigheter: politi, påtalemyndighet og etterretningstjenester i landet leverandøren hører under, hvis loven tillater det. Hvilke lover dette gjelder, kan du lese om i leksjon 1.3.
5. Angripere, hvis sikkerheten svikter eller noen klarer å skaffe seg passordet ditt.

Punkt 1 og 5 ordner du stort sett selv, med gode passord og tofaktorautentisering (2FA) (leksjon 7.3). Punkt 2, 3 og 4 avhenger av hvilken leverandør du velger. Det er det dette kurset handler om.

Hvorfor datasenteret ikke er hele historien

Mange leverandører sier i dag: «Dataene dine ligger i Europa.» Det er bra, men det er bare en del av svaret. Det er tre lag:

• Hvor står serveren? Landet datasenteret ligger i. Det avgjør for eksempel hvilket politi som fysisk kan få tilgang til maskinen.
• Hvem er leverandøren, og hvem er eieren? Et selskap hører under lovgivningen i landet det er etablert i. Hvis den europeiske leverandøren er et datterselskap av et amerikansk selskap, kan det amerikanske morselskapet pålegges av en amerikansk domstol å utlevere data det har «i sin makt», selv om disse dataene ligger i Europa.
• Hvem har nøkkelen? Hvis dataene er krypterte, er spørsmålet hvem som kan dekryptere dem.

Ordet for «hvilken lovgivning noe hører under» er jurisdiksjon. En server i Frankfurt fra et selskap med morselskap i USA hører dermed under to jurisdiksjoner samtidig. I leksjon 2.1 lærer du fem spørsmål du kan bruke for å undersøke dette hos enhver leverandør.

Kryptering: tre typer, ett hovedspørsmål

Kryptering betyr å gjøre data uleselige for alle uten riktig nøkkel. Du vil høre om tre typer:

Hovedspørsmålet er alltid: hvem har kontroll over nøkkelen? Ved kryptering under overføring og i hvile er det leverandøren. Det er nødvendig, for ellers kan ikke leverandøren vise filene dine i nettleseren, søke i dem eller la deg redigere dem i et nettbasert kontorprogram. Det betyr også: hvis leverandøren blir pålagt å utlevere data, kan de teknisk sett gjøre det.

Ende-til-ende-kryptering løser dette, men koster bekvemmelighet. Å jobbe sammen i nettleseren på et dokument, søke i innholdet og gjenopprette et passord fungerer da ofte ikke. Og mister du nøkkelen, er det ingen som lenger kan åpne filene dine. For de fleste data i et bakeri er e2e ikke nødvendig; for en mappe med for eksempel personalmapper kan det være en vurdering verdt å ta.

Hva dette betyr for Bakkerij De Korrel

Sanne setter opp en oversikt. E-posten, kalenderen og filene hennes ligger hos et amerikansk selskap. Ifølge selskapets nettside ligger dataene «i Europa». Men selve selskapet hører under amerikansk lovgivning, og selskapet har nøklene. Det er ingen grunn til panikk: ingenting har gått galt. Men Sanne har ingen oversikt over hvem som kan få tilgang i fremtiden, og hun har ingen innflytelse på reglene. Det er nettopp dette spørsmålet dette kurset tar for seg: vil du at det skal forbli slik, og hvis ikke, hvordan bytter du leverandør uten å miste noe?

Viktig å si med en gang: en europeisk leverandør er ikke automatisk sikrere. En dårlig sikret europeisk tjeneste er verre enn en godt sikret amerikansk. Det handler om to ting samtidig: god sikkerhet og en jurisdiksjon der du kjenner reglene og kan få dem prøvd av en europeisk domstol.

Dette er forklaring, ikke juridisk rådgivning.

I praksis: slik ser det ut hos en leverandør

En leverandør bør kunne svare på disse spørsmålene uten videre. Hos WebOké står det for eksempel i Nextcloud-veiledningen: dataene ligger i to nederlandske datasentre, trafikken går via https, diskene er krypterte, og den som ønsker det kan aktivere ende-til-ende-kryptering for en mappe, med de begrensningene det medfører. Andre europeiske leverandører har tilsvarende sider, ofte under navn som «Sikkerhet», «Trust center» eller «Personvern». Står det ikke noe sted, bør du spørre. En leverandør som ikke kan si hvor dataene dine ligger og hvem som har tilgang, er ikke et godt valg.

Oppsummering

• Skyen er noen andres datamaskin: servere i et datasenter som tilhører et selskap.
• Med SaaS ordner leverandøren nesten alt, og har dermed også nesten alt i sine hender.
• I tillegg til deg selv kan leverandøren, deres underdatabehandlere, myndigheter og angripere i prinsippet få tilgang til dataene dine.
• Plasseringen av datasenteret er ett lag; etableringen og eieren av leverandøren avgjør også hvilken lovgivning dataene dine hører under.
• Ved kryptering under overføring og i hvile har leverandøren nøkkelen; bare ved ende-til-ende har du den selv, med mindre bekvemmelighet.

Quiz

Oppgave

Oppgave A1.1: Hvor ligger dataene dine nå? Fyll inn ditt eget domenenavn (eller et domene tilhørende organisasjonen din). Programmet søker opp hvor e-posten din kommer inn (MX) og hvor nettsiden din ligger (A/AAAA), og hvilken nettverkseier disse IP-adressene tilhører. Du fyller på forhånd inn hvilket selskap og hvilket land du forventer. Deretter sammenligner du.

Oppgave E1.1: Hvem har tilgang? Velg én tjeneste du bruker daglig (e-post, lagring eller chat). Finn ut på leverandørens nettside hvor dataene ligger, hvilket selskap leverandøren er og hvor det er etablert, og hvilken type kryptering som brukes. Fyll inn de fem partene fra denne leksjonen for den tjenesten.

Les mer

Stegene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på tilsvarende måte.

• Nextcloud-veiledning 1.1: Hva er Nextcloud og hva er en WebOké Nextcloud?
• Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
• Nextcloud-veiledning 3.9: Ende-til-ende-kryptering: når bør du bruke det, og når ikke
• WebOké-veiledning 14.3: WHOIS, IP-oppslag og SSL-sjekk
• NIST SP 800-145, The NIST Definition of Cloud Computing (definisjon av SaaS, PaaS og IaaS)