É seguro guardar o diário na nuvem?

É seguro guardar um diário na nuvem? Não há um sim ou não que sirva para todos. Uma resposta útil começa pelo que se pretende proteger, de quem e qual seria o pior resultado: divulgação não autorizada, perda permanente ou ambos. Depois depende do serviço concreto, da sua arquitetura, dos dispositivos e das definições da conta.

O armazenamento na nuvem pode melhorar sincronização, redundância e recuperação. Também acrescenta sistemas do fornecedor, contas, cópias de segurança, metadados e dependências legais ou operacionais ao percurso dos dados. A cifragem de ponta a ponta pode reduzir o acesso do fornecedor ao conteúdo quando é bem implementada e ele não controla as chaves. Não protege um terminal comprometido, todas as exportações, todos os processos de recuperação nem todos os metadados.

Este artigo é uma lista para construir um modelo de ameaça, não uma classificação atual de aplicações nem uma promessa de sigilo absoluto. As funcionalidades e políticas mudam. Consulta a documentação e as definições do serviço, plano, plataforma e versão que utilizas.

O que significa segurança num diário na nuvem

A confidencialidade é apenas uma parte. O diário também pode ter de continuar disponível depois da perda de um telemóvel, de um problema com a conta, do encerramento do serviço ou de uma eliminação acidental. Um desenho que limite muito a recuperação pelo fornecedor pode proteger a confidencialidade e tornar irreversível a perda de uma chave.

Começa por listar ameaças plausíveis: alguém com um dispositivo desbloqueado, roubo da conta, software malicioso num terminal, privilégios excessivos de trabalhadores, uma intrusão no fornecedor, um ficheiro partilhado por engano, uma exportação legível, um pedido legal ou a perda da única cópia utilizável. A probabilidade e o impacto variam conforme a pessoa e a entrada.

Notas sobre rotinas comuns podem justificar uma configuração diferente de textos que identificam outra pessoa, contêm dados de saúde ou poderiam causar danos graves se fossem expostos. Minimizar dados, omitindo nomes ou separando material muito sensível, reduz as consequências em qualquer modelo de armazenamento.

Quem pode ter uma via de acesso

O guia sobre quem pode ler um diário digital apresenta a lista completa. As vias dependem do produto e não devem ser tratadas como prova de que todas as aplicações na nuvem funcionam da mesma forma.

O fornecedor. Se o serviço guardar conteúdo legível ou controlar as chaves necessárias para o decifrar, sistemas autorizados e alguns trabalhadores com privilégios elevados podem ter capacidade técnica de acesso. Políticas, controlos e registos de auditoria podem limitar essa capacidade, mas são diferentes da prevenção criptográfica.

Subprocessadores. Fornecedores de alojamento, monitorização, análise, apoio e pagamentos recebem dados diferentes para funções diferentes. Um processador de pagamentos não recebe automaticamente o texto do diário. Consulta a lista de subprocessadores e as categorias de dados em vez de assumir que todos os parceiros leem o conteúdo.

Autoridades. Um fornecedor pode receber um pedido legal válido relativo aos dados que possui. Jurisdição, procedimento, âmbito, notificação e formas de oposição variam. A cifragem não anula o processo legal; altera os dados legíveis que o fornecedor pode possuir tecnicamente. Isto não é aconselhamento jurídico.

Atacantes. O relatório da IBM sobre o custo de violações de dados é um estudo anual de uma empresa sobre organizações que sofreram incidentes. Dá contexto sobre ambientes e custos, mas não calcula a probabilidade de uma aplicação de diário concreta ou das entradas de uma pessoa serem comprometidas.

Pessoas ou software num terminal. Alguém com um telemóvel desbloqueado, uma conta partilhada, uma notificação visível ou uma cópia legível pode contornar a proteção do fornecedor. Software malicioso num terminal autorizado também pode ver texto em claro. Credenciais do dispositivo, atualizações, bloqueio automático, proteção da conta e cuidado com exportações tratam riscos diferentes.

Nuvem ou armazenamento local não é o modelo de ameaça inteiro. É preciso saber onde existem cópias legíveis e chaves utilizáveis.

O que estabelecem os diferentes rótulos de cifragem

Cifragem em trânsito protege os dados durante a deslocação entre terminais. Não indica, por si só, se o dispositivo emissor, o serviço recetor ou o armazenamento posterior conseguem aceder ao texto em claro.

Cifragem em repouso protege suportes ou bases de dados segundo um modelo definido de chaves. Quando o serviço controla as chaves usadas no funcionamento normal, sistemas autorizados ainda conseguem processar o conteúdo. A proteção continua a ser útil contra alguns ataques ao armazenamento e não deve ser descrita como inútil.

Cifragem de ponta a ponta significa geralmente que o conteúdo é cifrado num terminal autorizado e decifrado apenas em terminais autorizados, sem o serviço intermediário deter a chave. A fronteira real depende da criação de chaves, associação de dispositivos, recuperação, partilha, cópias de segurança, exportações e implementação. Identificadores de conta, datas ou outros metadados podem continuar visíveis.

Esta cifragem pode impedir um fornecedor de entregar texto legível que não possui. Não garante que todos os terminais e cópias sejam seguros, que não existam metadados ou que um processo legal não alcance outras fontes. A utilização em vários dispositivos, a partilha, a recuperação e as exportações tornam demasiado ampla a frase “ninguém além de uma pessoa pode aceder”.

Uma conta na nuvem controlada pelo utilizador resolve o problema

Não por si só. Guardar entradas numa conta escolhida pelo utilizador pode reduzir a custódia do programador do diário e facilitar a deslocação dos ficheiros. O fornecedor da nuvem, a recuperação da conta, as aplicações ligadas, a segurança dos dispositivos e as permissões da aplicação continuam a fazer parte do sistema.

O artigo de 2019 sobre software local-first, de Kleppmann e colegas, apresenta a autonomia do utilizador, o acesso sem ligação e o controlo a longo prazo como objetivos de desenho. Também reconhece a responsabilidade do utilizador por cópias de segurança e proteção contra perda. É um argumento de desenho apoiado por protótipos, não evidência de que qualquer implementação de armazenamento próprio seja automaticamente confidencial, duradoura ou segura.

Se uma aplicação desaparecer, uma exportação normal ou um ficheiro controlado pelo utilizador pode ficar disponível. Isso não garante que todas as bases de dados proprietárias continuem legíveis ou que a sincronização prossiga. Por outro lado, o armazenamento do fornecedor pode oferecer ferramentas fiáveis de recuperação e migração. Verifica formato de exportação, eliminação e retenção, cobertura das cópias e um processo de recuperação testado.

A privacidade determina se escrever um diário funciona

Não há evidência direta de que uma cifragem mais forte na nuvem cause maior benefício. A privacidade pode influenciar aquilo que alguém aceita revelar, mas confidencialidade técnica, perceção de privacidade, abertura numa tarefa de escrita e resultados psicológicos são variáveis diferentes.

A retrospetiva de 2018, assinada apenas por Pennebaker, revê a investigação sobre escrita expressiva e afirma que os mecanismos continuam por resolver. Não confirma a libertação da inibição como mecanismo, não garante melhorias físicas ou mentais gerais e não mostra que um diário tenha de ser totalmente sem censura para ajudar.

Uma análise observacional de Penney, publicada em 2016, relatou mudanças nas visitas a alguns artigos da Wikipédia depois de revelações públicas sobre vigilância. Não estudou diários, cifragem, comportamento individual de escrita nem saúde mental, pelo que não prova que o armazenamento na nuvem cause autocensura num diário.

Um inquérito da PEN America de 2015 perguntou a escritores sobre preocupações com vigilância e registou mudanças autodescritas na pesquisa e comunicação. Não foi um estudo aleatorizado sobre diários e não pode quantificar o efeito do desenho de armazenamento de uma aplicação nos resultados psicológicos.

Os artigos sobre o que a investigação de diários pode sustentar e escrita de diário e ansiedade distinguem resultados de protocolos concretos de promessas sobre o diário habitual. Escolher uma configuração aceitável pode facilitar a escrita na prática; isso não prova que a privacidade seja um mecanismo necessário ou suficiente.

A privacidade pode afetar a vontade de escrever. A investigação não estabeleceu uma cadeia simples entre cifragem, honestidade e benefício para a saúde.

Como avaliar um diário na nuvem

• Define a ameaça. Indica quem ou o que queres evitar e se a maior preocupação é divulgação, perda ou perda de acesso.
• Mapeia as cópias. Verifica dispositivos, armazenamento do fornecedor, nuvem escolhida pelo utilizador, caches, cópias de segurança, pré-visualizações de notificações e exportações.
• Mapeia as chaves. Descobre quem decifra o conteúdo, como se autoriza outro dispositivo e o que acontece na recuperação ou partilha.
• Protege conta e terminais. Usa bloqueios adequados, bloqueio automático, credenciais únicas, autenticação multifator quando disponível e software atualizado.
• Lê o âmbito das afirmações. “Cifrado” pode abranger o conteúdo e excluir títulos, datas, diagnóstico ou índices de pesquisa. Uma auditoria só acrescenta evidência para os componentes e a versão que examinou.
• Testa recuperação e exportação. Confirma que consegues restaurar uma cópia autorizada e obter uma exportação utilizável sem esquecer um ficheiro desprotegido.
• Revê retenção e eliminação. Verifica o que é apagado, o que pode ficar em cópias de segurança e durante quanto tempo se guardam registos da conta e metadados.

O que revelam a documentação e as auditorias

Uma página de segurança útil indica os elementos protegidos e os intervenientes contra os quais são protegidos. Conteúdo, anexos, títulos, datas, índices de pesquisa, dados da conta, diagnóstico e pagamentos devem aparecer em categorias separadas. Dizer apenas que “os dados estão cifrados” é incompleto se não explicar se o fornecedor pode decifrar o conteúdo durante o funcionamento normal.

A documentação das chaves deve explicar a criação da primeira chave, a entrada de um novo dispositivo e o que acontece quando se perde uma palavra-passe, telemóvel ou segredo de recuperação. Se o apoio consegue restaurar entradas legíveis sem um dispositivo já autorizado ou um segredo só conhecido pelo utilizador, existe outra chave ou entidade de confiança. Não é automaticamente um defeito: o desenho pode favorecer a recuperação. Contudo, muda a fronteira de acesso.

Uma avaliação independente fornece evidência valiosa quando se lê a data, a versão testada, o âmbito e as exclusões. Rever uma biblioteca criptográfica não abrange automaticamente notificações, permissões do servidor, recuperação, análise, configuração da nuvem ou uma atualização posterior. O código aberto permite inspeção, mas não prova que a versão da loja corresponde ao código revisto nem que o serviço está configurado com segurança.

Também é necessário separar confidencialidade de eliminação. Apagar uma entrada da aplicação pode não a remover de imediato de dispositivos sincronizados, tarefas em fila, cópias de segurança ou do exemplar de um destinatário. Um período de retenção pode ajudar a recuperar uma eliminação acidental e atrasar o apagamento final. O essencial é o produto explicar o prazo e este adequar-se à sensibilidade do material.

Antes de confiar escrita insubstituível ao sistema, testa falhas comuns. Consegues recuperar depois de trocar de dispositivo? A exportação é completa e legível sem o serviço original? Fica cifrada ou torna-se um ficheiro comum? O que acontece se perderes a palavra-passe e o material de recuperação? Um plano escrito de recuperação faz parte da segurança; uma confidencialidade que termina previsivelmente em perda permanente pode não servir.

A resposta prática

O armazenamento na nuvem pode ser razoável quando as vias de acesso e os compromissos de recuperação se ajustam ao modelo de ameaça. A cifragem de ponta a ponta com boa gestão de chaves pode reduzir de forma relevante o acesso do fornecedor. O armazenamento controlado pelo utilizador ou local-first pode aumentar autonomia e portabilidade. Nenhum destes rótulos elimina os riscos em terminais, contas, cópias, exportações, metadados ou perda de dados.

Não há uma regra baseada em evidência que obrigue todos os diários privados a usar uma arquitetura. Se uma divulgação puder provocar consequências pessoais, jurídicas ou de segurança graves, considera reduzir informação identificativa, separar o material mais sensível ou procurar aconselhamento qualificado de segurança ou jurídico para a tua situação.

Depois de encontrares uma configuração que estás disposto a usar, o guia para criar um hábito de escrita de diário explica por que a investigação não impõe uma frequência nem um formato únicos.

Revê a documentação atual, confirma as definições de cada dispositivo e planeia de forma deliberada cópias de segurança e recuperação. Nenhuma opção isolada torna a nuvem absolutamente segura.