Onko päiväkirjan säilyttäminen pilvessä turvallista?

Onko päiväkirjan säilyttäminen pilvessä turvallista? Yleispätevää kyllä- tai ei-vastausta ei ole. Aloita siitä, mitä suojaat, keneltä ja kumpi olisi pahempi: asiaton paljastuminen, pysyvä menetys vai molemmat. Vasta sen jälkeen voidaan arvioida palvelun rakennetta, laitteita ja tiliasetuksia.

Pilvitallennus voi helpottaa synkronointia, rinnakkaisten kopioiden säilyttämistä ja palautusta. Samalla tiedonkulkuun tulevat palveluntarjoajan järjestelmät, tilit, varmuuskopiot, metatiedot sekä oikeudelliset ja toiminnalliset riippuvuudet. Oikein toteutettu päästä päähän -salaus voi vähentää tarjoajan pääsyä sisältöön, jos se ei hallitse sisältöavaimia. Se ei suojaa kaapattua päätelaitetta, jokaista vientiä tai palautusreittiä eikä kaikkia metatietoja.

Tämä on uhkamallin tarkistuslista, ei ajantasainen sovellusvertailu tai lupaus ehdottomasta salaisuudesta. Ominaisuudet ja käytännöt muuttuvat. Tarkista käyttämäsi palvelun, tilauksen, alustan ja version dokumentaatio sekä asetukset.

Turvallisuus tarkoittaa myös saatavuutta

Luottamuksellisuus on vain yksi osa. Päiväkirjan pitäisi ehkä säilyä käytettävänä puhelimen kadotessa, tiliongelman, palvelun sulkemisen tai vahingossa poistamisen jälkeen. Palveluntarjoajan palautusmahdollisuuksia voimakkaasti rajaava ratkaisu voi suojata sisältöä ja samalla tehdä kadonneesta avaimesta peruuttamattoman menetyksen.

Luettele uskottavat uhat: henkilö lukitsemattomalla laitteella, tilivaras, haittaohjelma päätelaitteella, liian laajat työntekijäoikeudet, palveluntarjoajan tietomurto, väärin jaettu tiedosto, luettava vienti, oikeudellinen vaatimus tai ainoan käyttökelpoisen kopion menetys. Todennäköisyys ja vaikutus vaihtelevat ihmisen ja merkinnän mukaan.

Arkista rutiinia koskeva teksti voi perustella eri ratkaisun kuin toisen henkilön tunnistava, terveystietoja sisältävä tai paljastuessaan vakavaa haittaa aiheuttava teksti. Nimien pois jättäminen tai herkimmän aineiston erottaminen pienentää seurauksia tallennusmallista riippumatta.

Kenellä voi olla pääsyreitti?

Oppaamme digitaalisen päiväkirjan mahdollisista lukijoista sisältää koko luettelon. Reitit ovat tuotekohtaisia, eikä jokaista pilvisovellusta pidä kuvata samalla mallilla.

Palveluntarjoaja. Jos palvelu säilyttää luettavaa sisältöä tai hallitsee avaimia, valtuutetut järjestelmät ja jotkin työntekijät saattavat teknisesti päästä siihen. Käytännöt, käyttöoikeudet ja lokit voivat rajata pääsyä, mutta ne eivät vastaa kryptografista estoa.

Alihankkijat. Isännöinti-, valvonta-, analytiikka-, tuki- ja maksupalvelut saavat eri tietoja eri tehtäviin. Maksunkäsittelijä ei saa automaattisesti päiväkirjatekstiä. Tarkista alihankkijaluettelo ja tietoluokat.

Viranomaiset. Tarjoaja voi saada oikeudellisesti pätevän pyynnön hallussaan olevista tiedoista. Oikeusalue, menettely, laajuus, ilmoitus ja vastustusmahdollisuudet vaihtelevat. Salaus ei kumoa oikeusprosessia, mutta muuttaa ehkä sitä, onko tarjoajalla luettavaa sisältöä. Tämä ei ole oikeudellista neuvontaa.

Hyökkääjät. IBM:n vuosittainen tietomurtokustannuksia koskeva raportti tarkastelee organisaatioita, jotka ovat kokeneet murtoja. Se antaa taustaa kustannuksista ja ympäristöistä, mutta ei arvioi tietyn päiväkirjasovelluksen tai tietyn käyttäjän merkintöjen murtotodennäköisyyttä.

Ihmiset ja ohjelmat päätelaitteella. Lukitsematon puhelin, jaettu tili, näkyvä ilmoitus tai luettava varmuuskopio voi ohittaa tarjoajan sisältösuojan. Haittaohjelma valtuutetulla laitteella voi nähdä selvätekstin. Laitetunnukset, päivitykset, automaattinen lukitus, tilisuoja ja vientien varovainen käsittely vastaavat eri riskeihin.

Pilvi tai paikallinen tallennus ei yksin ratkaise uhkamallia. Selvitä, missä luettavat kopiot ja käyttökelpoiset avaimet ovat.

Mitä salausnimikkeet osoittavat?

Siirron aikainen salaus suojaa tietoa päätelaitteiden välillä. Se ei kerro, käsittelevätkö lähettävä laite, vastaanottava palvelu tai myöhempi tallennus selvätekstiä.

Tallennettujen tietojen salaus suojaa mediaa tai tietokantaa määritellyn avainmallin mukaisesti. Kun palvelu hallitsee normaaliin toimintaan tarvittavaa avainta, valtuutetut järjestelmät voivat yhä käsitellä sisältöä. Suoja on silti arvokas tiettyjä tallennustason murtoja vastaan.

Päästä päähän -salaus tarkoittaa tavallisesti, että sisältö salataan valtuutetulla päätelaitteella ja avataan vain valtuutetuilla päätelaitteilla, eikä välittävä palvelu pidä sisältöavainta. Todellinen raja riippuu avainten luonnista, laitteiden lisäämisestä, palautuksesta, jakamisesta, varmuuskopioista, vienneistä ja toteutuksesta. Tilitunnisteet, aikaleimat ja muut metatiedot voivat näkyä.

E2EE voi estää tarjoajaa luovuttamasta luettavaa sisältöä, jota sillä ei ole. Se ei lupaa jokaisen päätelaitteen ja kopion turvallisuutta, metatietojen puuttumista tai sitä, ettei oikeusprosessissa löydy muuta lähdettä. Usean laitteen käyttö, jakaminen, palautus ja viennit tekevät väitteestä "vain sinä pääset sisältöön" liian laajan.

Ratkaiseeko käyttäjän oma pilvitili ongelman?

Ei yksinään. Itse valittu pilvi voi vähentää päiväkirjakehittäjän hallussa olevaa dataa ja helpottaa tiedostojen siirtämistä. Pilvipalvelun tarjoaja, tilin palautus, yhdistetyt sovellukset, laiteturvallisuus ja päiväkirjasovelluksen oikeudet kuuluvat edelleen järjestelmään.

Kleppmannin ja työtovereiden vuoden 2019 local-first-artikkeli esittää käyttäjän toimijuuden, offline-käytön ja pitkäaikaisen hallinnan suunnittelutavoitteiksi. Se tunnistaa myös käyttäjän vastuun varmuuskopioista ja menetysten torjunnasta. Kyse on prototyypeillä tuetusta suunnitteluperustelusta, ei näytöstä, että jokainen oman tallennustilan toteutus olisi automaattisesti luottamuksellinen, kestävä tai oikein suojattu.

Jos sovellus katoaa, vakiomuotoinen vienti tai käyttäjän tiedosto voi säilyä. Se ei takaa jokaisen suljetun tietokannan luettavuutta tai synkronoinnin jatkumista. Tarjoajan tallennus voi toisaalta tarjota toimivat palautus- ja siirtotyökalut. Tarkista vientimuoto, poisto, säilytys, varmuuskopioiden kattavuus ja testattu palautusreitti.

Yksityisyys ei todistetusti ratkaise päiväkirjan hyötyä

Suora näyttö ei osoita vahvemman pilvisalauksen aiheuttavan suurempaa hyötyä päiväkirjan kirjoittamisesta. Tekninen luottamuksellisuus, koettu yksityisyys, avoimuus kirjoitustehtävässä ja psykologiset tulokset ovat eri muuttujia.

James Pennebakerin vuoden 2018 retrospektiivi toteaa ilmaisevan kirjoittamisen mekanismien olevan yhä ratkaisematta. Se ei vahvista estojen vapautumista mekanismiksi, takaa laajoja fyysisen tai mielenterveyden parannuksia eikä osoita päiväkirjan auttavan vain sensuroimattomana.

Jon Penneyn havainnoiva analyysi vuodelta 2016 raportoi muutoksia joidenkin Wikipedia-artikkelien liikenteessä valvontaa koskeneiden julkisten paljastusten jälkeen. Se ei tutkinut päiväkirjoja, salausta, yksilöiden kirjoittamista tai mielenterveyttä, joten se ei osoita pilvitallennuksen aiheuttavan päiväkirjan itsesensuuria.

PEN American vuoden 2015 kysely tiedusteli kirjoittajilta valvontahuolista ja itse ilmoitetuista muutoksista tiedonhaussa sekä viestinnässä. Se ei ollut satunnaistettu päiväkirjatutkimus eikä pysty mittaamaan sovelluksen tallennusratkaisun vaikutusta terapeuttisiin tuloksiin.

Katsauksemme mitä päiväkirjatutkimus voi tukea ja päiväkirja ja ahdistus erottavat tiettyjen kirjoitusohjelmien tulokset arkista päiväkirjaa koskevista lupauksista. Hyväksyttävältä tuntuva ratkaisu voi helpottaa kirjoittamista käytännössä; se ei todista yksityisyyttä välttämättömäksi tai riittäväksi mekanismiksi.

Yksityisyys voi vaikuttaa haluun kirjoittaa. Tutkimus ei ole osoittanut yksinkertaista ketjua salauksesta rehellisyyteen ja terveyshyötyyn.

Näin arvioit pilvipäiväkirjaa

• Määritä uhka. Nimeä se, jolta suojaudut, ja ratkaise, painaako eniten paljastuminen, menetys vai pääsyn menetys.
• Kartoita kopiot. Tarkista laitteet, tarjoajan tallennus, itse valittu pilvi, välimuistit, varmuuskopiot, ilmoitukset ja viennit.
• Kartoita avaimet. Kuka voi avata sisällön, miten uusi laite valtuutetaan ja mitä palautuksessa tai jakamisessa tapahtuu?
• Suojaa tili ja päätelaitteet. Käytä sopivaa laitelukkoa, automaattista lukitusta, yksilöllisiä tunnuksia, monivaiheista tunnistautumista saatavuuden mukaan ja ajantasaista ohjelmistoa.
• Lue väitteen laajuus. "Salattu" voi koskea sisältöä mutta ei otsikoita, aikaleimoja, diagnostiikkaa tai hakuindeksejä. Auditointi auttaa vain tutkituissa osissa ja versiossa.
• Testaa palautus ja vienti. Varmista, että saat valtuutetun kopion takaisin ja käyttökelpoisen viennin luomatta unohtuvaa suojaamatonta tiedostoa.
• Tarkista säilytys ja poisto. Selvitä, mikä poistetaan, mikä voi jäädä varmuuskopioihin ja kuinka kauan tili- tai metatietoja säilytetään.

Mitä dokumentaatio ja auditointi kertovat?

Hyödyllinen turvallisuussivu nimeää suojattavat tiedot ja osapuolet, joilta niitä suojataan. Etsi erottelu päiväkirjatekstin, liitteiden, otsikoiden, aikaleimojen, hakuindeksien, tilitietojen, diagnostiikan ja maksutietojen välillä. "Tietosi on salattu" jää vajaaksi, ellei se kerro, voiko tarjoaja avata sisällön normaalissa toiminnassa.

Avaintenhallinnan pitäisi selittää ensimmäisen avaimen luonti, seuraavan laitteen liittyminen sekä salasanan, puhelimen tai palautussalaisuuden menetys. Jos tuki palauttaa luettavat merkinnät ilman olemassa olevaa valtuutettua laitetta tai vain käyttäjän tietämää salaisuutta, sen mahdollistaa lisäavain tai luotettu osapuoli. Se ei ole automaattisesti vika – ratkaisu voi tietoisesti suosia palautettavuutta – mutta pääsyn raja muuttuu.

Lue riippumattoman arvion päivämäärä, testattu versio, laajuus ja rajaukset. Salauskirjaston tarkistus ei automaattisesti kata ilmoituksia, palvelinoikeuksia, tilin palautusta, analytiikkaa, pilviasetuksia tai myöhempää päivitystä. Avoin koodi mahdollistaa tarkastuksen, mutta ei yksin todista kauppaversion vastaavan lähdettä tai palvelun olevan turvallisesti määritetty.

Erota myös luottamuksellisuus poistamisesta. Sovelluksesta hävinnyt merkintä voi jäädä synkronoidulle laitteelle, työjonoon, varmuuskopioon tai vastaanottajalle. Säilytysaika voi helpottaa vahinkopoiston peruuttamista ja viivästyttää lopullista hävitystä. Tärkeää on, että aika kuvataan ja sopii materiaalin herkkyyteen.

Testaa tavalliset häiriöt ennen kuin luotat järjestelmään korvaamatonta tekstiä. Onnistuuko palautus laitteen vaihdon jälkeen? Onko vienti täydellinen ja luettava ilman alkuperäistä palvelua? Pysyykö se salattuna? Mitä tapahtuu, jos sekä salasana että palautusmateriaali katoavat? Kirjallinen palautussuunnitelma on osa turvallisuutta.

Käytännön vastaus

Pilvitallennus voi olla järkevä valinta, kun pääsyreitit ja palautuksen kompromissit sopivat uhkamalliin. E2EE hyvällä avainratkaisulla voi vähentää tarjoajan pääsyä olennaisesti. Käyttäjän hallitsema tai local-first-tallennus voi lisätä toimijuutta ja siirrettävyyttä. Kumpikaan nimike ei poista päätelaitteiden, tilien, kopioiden, vientien, metatietojen tai tietojen menettämisen riskejä.

Tutkimus ei anna sääntöä, jonka mukaan jokainen yksityinen päiväkirja tarvitsee saman arkkitehtuurin. Jos paljastuminen voisi aiheuttaa vakavia henkilökohtaisia, oikeudellisia tai turvallisuusseurauksia, vähennä tunnistavia tietoja, erottele herkin aineisto tai pyydä tilanteeseen sopivaa tietoturva- tai oikeudellista neuvontaa.

Kun olet valinnut ratkaisun, jota haluat käyttää, oppaamme säännöllisen päiväkirjanpidon aloittamisesta selittää, miksi tutkimus ei aseta pakollista tiheyttä tai muotoa.

Lue nykyisen sovelluksen dokumentaatio, tarkista jokaisen laitteen asetukset ja tee harkittu varmuuskopio- ja palautussuunnitelma. Yksikään valintaruutu ei tee pilvestä ehdottoman turvallista.