เก็บบันทึกส่วนตัวบนคลาวด์ปลอดภัยไหม?

เก็บบันทึกส่วนตัวบนคลาวด์ปลอดภัยไหม? ไม่มีคำตอบว่าใช่หรือไม่ที่ใช้ได้กับทุกคน เราควรเริ่มจากสิ่งที่ต้องการปกป้อง ต้องการปกป้องจากใครหรืออะไร และผลแบบไหนร้ายแรงกว่า ระหว่างข้อมูลถูกเปิดเผยโดยไม่ได้รับอนุญาต ข้อมูลสูญหายถาวร หรือทั้งสองอย่าง จากนั้นจึงพิจารณาบริการที่ใช้ สถาปัตยกรรมของบริการ อุปกรณ์ และการตั้งค่าบัญชีของเรา

การเก็บข้อมูลบนคลาวด์ช่วยให้ซิงก์ข้อมูล มีสำเนาซ้ำ และกู้คืนได้สะดวกขึ้น ขณะเดียวกันก็เพิ่มระบบของผู้ให้บริการ บัญชี สำเนาสำรอง เมทาดาทา ตลอดจนการพึ่งพาด้านกฎหมายและการดำเนินงานเข้าไปในเส้นทางของข้อมูล การเข้ารหัสแบบต้นทางถึงปลายทาง (E2EE) อาจลดการเข้าถึงเนื้อหาของผู้ให้บริการได้ หากนำไปใช้อย่างถูกต้องและผู้ให้บริการไม่ได้ควบคุมกุญแจของเนื้อหา แต่ E2EE ไม่ได้ปกป้องอุปกรณ์ที่ถูกเจาะระบบ ไฟล์ส่งออกทุกไฟล์ ช่องทางกู้คืนทุกแบบ หรือเมทาดาทาทั้งหมดโดยอัตโนมัติ

บทความนี้เป็นรายการตรวจสอบเพื่อสร้างแบบจำลองภัยคุกคาม ไม่ใช่อันดับแอปล่าสุดและไม่ใช่คำรับรองว่าจะเป็นความลับอย่างสมบูรณ์ ฟีเจอร์และนโยบายเปลี่ยนแปลงได้ จึงควรตรวจเอกสารและการตั้งค่าของบริการ แพ็กเกจ แพลตฟอร์ม และเวอร์ชันที่เราใช้อยู่จริง

คำว่า “ปลอดภัย” สำหรับบันทึกบนคลาวด์หมายถึงอะไร?

การรักษาความลับเป็นเพียงส่วนหนึ่งของความปลอดภัย เราอาจต้องการให้บันทึกยังเปิดได้เมื่อโทรศัพท์หาย บัญชีมีปัญหา บริการยุติลง หรือเผลอลบข้อมูล การออกแบบที่จำกัดความสามารถของผู้ให้บริการในการช่วยกู้คืนอย่างมากอาจเพิ่มการรักษาความลับ แต่ถ้ากุญแจหาย เราอาจสูญเสียข้อมูลโดยไม่มีทางย้อนกลับ

เริ่มจากเขียนภัยที่อาจเกิดขึ้นจริง เช่น คนที่ถืออุปกรณ์ซึ่งปลดล็อกอยู่ ผู้ขโมยบัญชี มัลแวร์บนอุปกรณ์ สิทธิ์ของพนักงานที่กว้างเกินไป ระบบผู้ให้บริการถูกเจาะ ไฟล์ถูกแชร์ผิดคน ไฟล์ส่งออกที่อ่านได้ คำสั่งตามกฎหมาย หรือการสูญเสียสำเนาเดียวที่ยังใช้งานได้ โอกาสเกิดและผลกระทบย่อมต่างกันตามบุคคลและเนื้อหาแต่ละรายการ

บันทึกกิจวัตรทั่วไปอาจเหมาะกับการตั้งค่าคนละแบบกับบันทึกที่ระบุตัวบุคคลอื่น มีข้อมูลสุขภาพ หรืออาจก่ออันตรายร้ายแรงหากรั่วไหล การลดข้อมูลให้เหลือเท่าที่จำเป็น เช่น ไม่ใส่ชื่อหรือแยกเนื้อหาที่อ่อนไหวมากออกไป ช่วยลดผลกระทบได้ไม่ว่าจะใช้รูปแบบการเก็บข้อมูลแบบใด

ใครอาจมีช่องทางเข้าถึง?

คู่มือเรื่องใครบ้างที่อาจอ่านบันทึกดิจิทัลของเราได้รวบรวมรายการตรวจสอบอย่างละเอียด ช่องทางที่เกี่ยวข้องขึ้นอยู่กับผลิตภัณฑ์แต่ละตัว ข้อความต่อไปนี้ไม่ได้หมายความว่าแอปคลาวด์ทุกตัวทำงานเหมือนกัน

ผู้ให้บริการ หากบริการเก็บเนื้อหาในรูปที่อ่านได้หรือควบคุมกุญแจที่ใช้ถอดรหัส ระบบที่ได้รับอนุญาตและพนักงานบางคนซึ่งมีสิทธิ์ระดับสูงอาจเข้าถึงได้ในทางเทคนิค นโยบาย การจำกัดสิทธิ์ และบันทึกการตรวจสอบช่วยควบคุมความสามารถนี้ได้ แต่ไม่เหมือนกับการป้องกันด้วยการเข้ารหัส

ผู้รับจ้างประมวลผลช่วงต่อ ผู้ให้บริการโฮสติ้ง การเฝ้าระวังระบบ การวิเคราะห์ การสนับสนุน และการชำระเงินได้รับข้อมูลคนละประเภทตามหน้าที่ ผู้ประมวลผลการชำระเงินไม่ได้รับเนื้อหาบันทึกโดยอัตโนมัติ ควรอ่านรายชื่อผู้รับจ้างช่วงต่อและประเภทข้อมูลที่ประกาศไว้ แทนการสรุปว่าพันธมิตรทุกรายอ่านเนื้อหาได้

หน่วยงานรัฐ ผู้ให้บริการอาจได้รับคำขอข้อมูลที่มีผลตามกฎหมายสำหรับข้อมูลที่ตนครอบครอง เขตอำนาจ ขั้นตอน ขอบเขต การแจ้งให้ทราบ และโอกาสคัดค้านแตกต่างกันไป การเข้ารหัสไม่ได้ลบกระบวนการทางกฎหมาย แต่เปลี่ยนว่าผู้ให้บริการมีข้อมูลใดในรูปที่อ่านได้ คำอธิบายนี้ไม่ใช่คำแนะนำทางกฎหมาย

ผู้โจมตี รายงาน IBM Cost of a Data Breach เป็นงานศึกษาประจำปีจากบริษัทผู้ให้บริการรายหนึ่ง โดยสำรวจองค์กรซึ่งเคยเผชิญเหตุข้อมูลรั่วไหล รายงานให้บริบทเรื่องต้นทุนและสภาพแวดล้อมของเหตุการณ์ แต่ไม่ได้ประมาณโอกาสที่แอปบันทึกตัวใดตัวหนึ่งหรือข้อมูลของผู้ใช้คนหนึ่งจะถูกเจาะ

คนหรือซอฟต์แวร์ที่อุปกรณ์ปลายทาง คนที่ใช้โทรศัพท์ซึ่งปลดล็อกอยู่ บัญชีที่ใช้ร่วมกัน ตัวอย่างข้อความแจ้งเตือน หรือสำเนาสำรองที่อ่านได้ อาจข้ามการปกป้องเนื้อหาของผู้ให้บริการ มัลแวร์บนอุปกรณ์ที่ได้รับอนุญาตก็อาจเห็นข้อความที่ถอดรหัสแล้วได้ การใช้รหัสอุปกรณ์ การอัปเดต การล็อกอัตโนมัติ การป้องกันบัญชี และการจัดการไฟล์ส่งออกอย่างระมัดระวังช่วยลดความเสี่ยงคนละส่วน

การเลือกคลาวด์หรือเครื่องของเราเองยังไม่ใช่แบบจำลองภัยทั้งหมด ต้องดูว่าสำเนาที่อ่านได้และกุญแจที่ใช้ได้อยู่ตรงไหนบ้าง

ป้ายกำกับการเข้ารหัสแต่ละแบบบอกอะไรได้บ้าง?

การเข้ารหัสระหว่างส่ง ปกป้องข้อมูลขณะที่เคลื่อนระหว่างจุดปลาย แต่คำนี้เพียงอย่างเดียวไม่ได้บอกว่าอุปกรณ์ที่ส่ง บริการที่รับ หรือที่เก็บข้อมูลภายหลังอ่านเนื้อหาที่ถอดรหัสแล้วได้หรือไม่

การเข้ารหัสขณะจัดเก็บ ปกป้องสื่อบันทึกหรือฐานข้อมูลภายใต้รูปแบบการจัดการกุญแจที่กำหนดไว้ หากบริการควบคุมกุญแจสำหรับการทำงานตามปกติ ระบบของบริการที่ได้รับอนุญาตก็ยังประมวลผลเนื้อหาได้ ถึงอย่างนั้น การป้องกันนี้ยังมีประโยชน์ต่อการโจมตีที่ระดับพื้นที่จัดเก็บบางแบบ และไม่ควรอธิบายว่าไร้ประโยชน์

E2EE โดยทั่วไปหมายถึง เนื้อหาถูกเข้ารหัสบนอุปกรณ์ที่ได้รับอนุญาต ถอดรหัสเฉพาะบนอุปกรณ์ที่ได้รับอนุญาต และบริการตัวกลางไม่ถือกุญแจของเนื้อหา ขอบเขตจริงขึ้นอยู่กับการสร้างกุญแจ การเพิ่มอุปกรณ์ การกู้คืน การแชร์ สำเนาสำรอง การส่งออก และคุณภาพการนำไปใช้ ตัวระบุบัญชี เวลา หรือเมทาดาทาอื่นอาจยังมองเห็นได้

E2EE อาจทำให้ผู้ให้บริการไม่สามารถส่งมอบเนื้อหาที่อ่านได้ซึ่งตนไม่ได้ครอบครอง แต่ไม่อาจรับรองว่าอุปกรณ์หรือสำเนาทุกชุดปลอดภัย ไม่มีเมทาดาทาเหลืออยู่ หรือแหล่งข้อมูลอื่นจะไม่ถูกขอผ่านกระบวนการทางกฎหมาย คำกล่าวว่ามีคนเพียงคนเดียวเท่านั้นที่เข้าถึงเนื้อหาได้กว้างเกินจริง เพราะการใช้หลายอุปกรณ์ การแชร์ การกู้คืน และการส่งออกอาจสร้างช่องทางเข้าถึงที่ได้รับอนุญาตเพิ่มขึ้น

บัญชีคลาวด์ที่ผู้ใช้เลือกเองแก้ปัญหาได้หรือไม่?

ไม่ใช่ด้วยตัวมันเอง การเก็บบันทึกในบัญชีคลาวด์ที่ผู้ใช้เลือกอาจลดการครอบครองข้อมูลของผู้พัฒนาแอปบันทึกและทำให้ย้ายไฟล์ได้ง่ายขึ้น แต่ผู้ให้บริการคลาวด์ การกู้คืนบัญชี แอปที่เชื่อมต่อ ความปลอดภัยของอุปกรณ์ และสิทธิ์ที่แอปบันทึกได้รับยังเป็นส่วนหนึ่งของระบบ

บทความวิชาการเรื่องซอฟต์แวร์ local-first ปี 2019 ของ Kleppmann และคณะ เสนออำนาจของผู้ใช้ การใช้งานแบบออฟไลน์ และการควบคุมระยะยาวเป็นเป้าหมายการออกแบบ พร้อมยอมรับว่าผู้ใช้ต้องรับผิดชอบเรื่องสำเนาสำรองและการป้องกันการสูญหาย งานนี้เป็นข้อเสนอด้านการออกแบบที่มีต้นแบบสนับสนุน ไม่ใช่หลักฐานว่าระบบ “bring your own storage” ทุกแบบจะรักษาความลับ คงทน หรือมีการตั้งค่าความปลอดภัยถูกต้องโดยอัตโนมัติ

หากแอปหายไปจากตลาด ไฟล์มาตรฐานที่ส่งออกไว้หรือไฟล์ที่ผู้ใช้ควบคุมอาจยังอยู่ แต่ไม่ได้รับรองว่าฐานข้อมูลเฉพาะของแอปทุกแบบจะยังอ่านได้หรือการซิงก์จะทำงานต่อ ในทางกลับกัน พื้นที่ของผู้ให้บริการอาจมีเครื่องมือกู้คืนและย้ายข้อมูลที่เชื่อถือได้ ควรตรวจรูปแบบการส่งออก การลบและระยะเก็บรักษา ขอบเขตสำเนาสำรอง และเส้นทางกู้คืนที่เคยทดสอบแล้ว

ความเป็นส่วนตัวเป็นตัวกำหนดว่าการเขียนบันทึกได้ผลหรือไม่?

ยังไม่มีหลักฐานตรงว่าการเข้ารหัสคลาวด์ที่แข็งแรงขึ้นทำให้การเขียนบันทึกให้ประโยชน์มากขึ้น ความเป็นส่วนตัวอาจมีผลต่อความเต็มใจที่จะเปิดเผย แต่การรักษาความลับทางเทคนิค ความรู้สึกว่าเป็นส่วนตัว ความเปิดเผยในงานเขียน และผลทางจิตใจเป็นตัวแปรคนละอย่าง

บททบทวนย้อนหลังปี 2018 ที่ James Pennebaker เขียนคนเดียว ทบทวนงานวิจัยการเขียนเชิงแสดงออกและระบุว่ากลไกยังไม่มีข้อสรุป งานนี้ไม่ได้ยืนยันว่า “การปลดการยับยั้ง” เป็นกลไกที่พิสูจน์แล้ว ไม่ได้รับรองประโยชน์กว้างขวางต่อสุขภาพกายหรือใจ และไม่ได้แสดงว่าบันทึกต้องเขียนโดยไม่กลั่นกรองจึงจะช่วยได้

การวิเคราะห์เชิงสังเกตปี 2016 ของ Jon Penney รายงานการเปลี่ยนแปลงของจำนวนผู้เข้าชมบทความ Wikipedia บางหัวข้อ หลังมีการเปิดเผยเรื่องการเฝ้าระวังต่อสาธารณะ งานนี้ไม่ได้ศึกษาบันทึก การเข้ารหัส พฤติกรรมการเขียนรายบุคคล หรือผลด้านสุขภาพจิต จึงใช้ยืนยันไม่ได้ว่าการเก็บบนคลาวด์ทำให้คนเซ็นเซอร์บันทึกของตน

แบบสำรวจ PEN America ปี 2015 ถามนักเขียนถึงความกังวลเรื่องการเฝ้าระวังและรายงานการเปลี่ยนแปลงด้านการค้นคว้าและการสื่อสารตามที่ผู้ตอบเล่าเอง งานนี้ไม่ใช่การทดลองสุ่มเรื่องการเขียนบันทึก และไม่สามารถวัดผลของการออกแบบพื้นที่จัดเก็บของแอปต่อผลเชิงบำบัดได้

บทสรุปเรื่องงานวิจัยการเขียนบันทึกสนับสนุนข้อสรุปใดได้บ้างและการเขียนบันทึกกับความวิตกกังวลแยกผลจากวิธีเขียนเฉพาะในการศึกษาวิจัยออกจากคำสัญญาเกี่ยวกับการเขียนไดอารี่เป็นกิจวัตร การเลือกวิธีที่เรารู้สึกว่ายอมรับได้อาจทำให้ลงมือเขียนง่ายขึ้น แต่ไม่ใช่หลักฐานว่าความเป็นส่วนตัวเป็นกลไกที่จำเป็นหรือเพียงพอ

ความเป็นส่วนตัวอาจมีผลต่อความเต็มใจที่จะเขียน แต่งานวิจัยยังไม่ยืนยันห่วงโซ่ง่าย ๆ ว่า การเข้ารหัส → ความซื่อตรง → ประโยชน์ต่อสุขภาพ

จะประเมินแอปบันทึกบนคลาวด์อย่างไร?

• ระบุภัย บอกให้ได้ว่าต้องการปกป้องจากใครหรืออะไร และสิ่งที่กังวลที่สุดคือข้อมูลเปิดเผย ข้อมูลสูญหาย หรือเข้าใช้ข้อมูลไม่ได้
• ทำแผนที่สำเนา ตรวจอุปกรณ์ พื้นที่ของผู้ให้บริการ คลาวด์ที่ผู้ใช้เลือก แคช สำเนาสำรอง ตัวอย่างข้อความแจ้งเตือน และไฟล์ส่งออก
• ทำแผนที่กุญแจ ตรวจว่าใครถอดรหัสเนื้อหาได้ อุปกรณ์ใหม่ได้รับอนุญาตอย่างไร และเกิดอะไรขึ้นระหว่างกู้คืนหรือแชร์
• ตรวจบัญชีและอุปกรณ์ ใช้การล็อกอุปกรณ์และการล็อกอัตโนมัติที่เหมาะสม รหัสผ่านไม่ซ้ำ การยืนยันตัวตนหลายขั้นตอนเมื่อมีให้ใช้ และซอฟต์แวร์เวอร์ชันปัจจุบัน
• อ่านขอบเขตของคำกล่าว คำว่า “เข้ารหัส” อาจครอบคลุมเนื้อหา แต่ไม่ครอบคลุมชื่อเรื่อง เวลา ข้อมูลวินิจฉัย หรือดัชนีค้นหา การตรวจสอบอิสระช่วยได้เฉพาะส่วนประกอบและเวอร์ชันที่ตรวจจริง
• ทดสอบการกู้คืนและการส่งออก ตรวจว่าเรากู้สำเนาที่ได้รับอนุญาตและนำไฟล์ที่ใช้ได้ออกมาได้ โดยไม่ทิ้งไฟล์เปิดที่ลืมไว้
• ตรวจการเก็บรักษาและการลบ ดูว่าอะไรถูกลบ อะไรอาจยังอยู่ในสำเนาสำรอง และข้อมูลบัญชีหรือเมทาดาทาถูกเก็บไว้นานเท่าใด

เอกสารและการตรวจสอบบอกอะไรเราได้?

หน้าความปลอดภัยที่เป็นประโยชน์ควรระบุว่าปกป้องข้อมูลชนิดใดและปกป้องจากฝ่ายใด มองหาการแยกเนื้อหาบันทึก ไฟล์แนบ ชื่อเรื่อง เวลา ดัชนีค้นหา รายละเอียดบัญชี ข้อมูลวินิจฉัย และข้อมูลการชำระเงินให้ชัด คำว่า “ข้อมูลของคุณได้รับการเข้ารหัส” ยังไม่ครบ หากไม่อธิบายว่าผู้ให้บริการถอดรหัสเนื้อหาในการทำงานปกติได้หรือไม่

เอกสารเรื่องการจัดการกุญแจควรอธิบายว่ากุญแจแรกถูกสร้างอย่างไร อุปกรณ์ใหม่เข้าบัญชีอย่างไร และจะเกิดอะไรขึ้นหากรหัสผ่าน โทรศัพท์ หรือข้อมูลลับสำหรับกู้คืนหาย หากฝ่ายสนับสนุนกู้เนื้อหาที่อ่านได้โดยไม่ใช้อุปกรณ์ที่ได้รับอนุญาตอยู่ก่อนหรือข้อมูลลับที่ผู้ใช้เท่านั้นรู้ แสดงว่าต้องมีกุญแจหรือบุคคลที่เชื่อถือได้เพิ่มเติมช่วยให้ทำเช่นนั้นได้ เรื่องนี้ไม่ใช่ข้อบกพร่องโดยอัตโนมัติ เพราะการออกแบบอาจตั้งใจให้กู้คืนง่ายขึ้น แต่ขอบเขตการเข้าถึงเปลี่ยนไปและควรอธิบายอย่างแม่นยำ

การประเมินความปลอดภัยโดยหน่วยงานอิสระอาจเป็นหลักฐานที่มีค่า ควรอ่านวันที่ เวอร์ชัน ขอบเขต และข้อยกเว้น การตรวจไลบรารีเข้ารหัสไม่ได้ครอบคลุมตัวอย่างข้อความแจ้งเตือน สิทธิ์บนเซิร์ฟเวอร์ การกู้บัญชี การวิเคราะห์ข้อมูล การตั้งค่าคลาวด์ หรือการอัปเดตที่ออกภายหลังโดยอัตโนมัติ โค้ดโอเพนซอร์สเปิดให้ตรวจสอบได้ แต่ไม่ได้พิสูจน์ด้วยตัวเองว่าแอปในร้านตรงกับโค้ดที่ตรวจหรือบริการจริงตั้งค่าอย่างปลอดภัย

ควรแยกการรักษาความลับออกจากการลบด้วย การลบรายการจากหน้าจอแอปอาจไม่ลบจากอุปกรณ์ที่ซิงก์ คิวงาน สำเนาสำรอง หรือสำเนาของผู้รับทันที ระยะเก็บรักษาช่วยกู้ข้อมูลที่ลบพลาดได้ ขณะเดียวกันก็ทำให้การลบถาวรช้าลง ประเด็นสำคัญไม่ใช่ว่านโยบายเดียวถูกเสมอ แต่ผลิตภัณฑ์ต้องอธิบายระยะเวลาและระยะนั้นต้องเหมาะกับความอ่อนไหวของข้อมูล

ก่อนฝากงานเขียนที่ทดแทนไม่ได้ไว้กับระบบ ควรทดลองเหตุขัดข้องธรรมดา เรากู้ข้อมูลได้ไหมเมื่อเปลี่ยนอุปกรณ์? ไฟล์ส่งออกครบและอ่านได้โดยไม่ใช้บริการเดิมหรือไม่? ไฟล์นั้นเข้ารหัสหรือกลายเป็นไฟล์เปิด? หากทำรหัสผ่านและข้อมูลกู้คืนหายทั้งคู่จะเกิดอะไรขึ้น? แผนกู้คืนที่เขียนไว้เป็นส่วนหนึ่งของความปลอดภัย ระบบที่รักษาความลับได้ดีแต่ทำให้ข้อมูลสูญหายถาวรอย่างคาดเดาได้ ก็อาจไม่ตรงกับความต้องการของเรา

คำตอบในทางปฏิบัติคืออะไร?

การเก็บบนคลาวด์อาจเป็นทางเลือกที่สมเหตุสมผลเมื่อช่องทางเข้าถึงและข้อแลกเปลี่ยนด้านการกู้คืนตรงกับแบบจำลองภัยของเรา E2EE ที่มีการออกแบบกุญแจรัดกุมอาจลดการเข้าถึงเนื้อหาของผู้ให้บริการได้มาก พื้นที่ที่ผู้ใช้ควบคุมหรือระบบ local-first อาจเพิ่มอำนาจควบคุมและการย้ายข้อมูล แต่ไม่มีป้ายกำกับใดลบความเสี่ยงเรื่องอุปกรณ์ บัญชี สำเนาสำรอง การส่งออก เมทาดาทา หรือข้อมูลสูญหาย

ไม่มีหลักฐานว่าบันทึกส่วนตัวทุกเล่มต้องใช้สถาปัตยกรรมแบบเดียว หากการเปิดเผยอาจสร้างผลกระทบร้ายแรงต่อชีวิตส่วนตัว กฎหมาย หรือความปลอดภัย อาจลดข้อมูลที่ระบุตัวบุคคล แยกเนื้อหาที่อ่อนไหวที่สุด หรือขอคำแนะนำด้านความปลอดภัยหรือกฎหมายจากผู้เชี่ยวชาญตามสถานการณ์

เมื่อได้วิธีที่เรายินดีใช้แล้ว คู่มือฝึกให้เขียนบันทึกได้ต่อเนื่องอธิบายว่าเหตุใดงานวิจัยจึงไม่ได้กำหนดความถี่หรือรูปแบบเดียวที่ทุกคนต้องทำ

ทบทวนเอกสารของแอปที่ใช้อยู่ ตรวจการตั้งค่าทุกอุปกรณ์ และวางแผนสำรองกับกู้คืนอย่างตั้งใจ การเปิดตัวเลือกเพียงรายการเดียวไม่อาจทำให้การเก็บบนคลาวด์ปลอดภัยอย่างสมบูรณ์