Lưu nhật ký trên đám mây có an toàn không?

Lưu nhật ký trên đám mây có an toàn không? Không có câu trả lời có hoặc không đúng cho mọi trường hợp. Trước hết, hãy xác định bạn muốn bảo vệ điều gì, trước ai hoặc điều gì, và hậu quả nào nghiêm trọng hơn: nội dung bị xem trái phép, dữ liệu mất vĩnh viễn, hay cả hai. Câu trả lời sau đó còn tùy dịch vụ cụ thể, kiến trúc của dịch vụ, thiết bị và thiết lập tài khoản của bạn.

Lưu trữ đám mây có thể giúp đồng bộ, tạo bản sao dự phòng và khôi phục dữ liệu. Mặt khác, nó đưa hệ thống của nhà cung cấp, tài khoản, bản sao lưu, siêu dữ liệu cùng các phụ thuộc pháp lý và vận hành vào đường đi của dữ liệu. Mã hóa đầu cuối (E2EE) có thể giảm khả năng nhà cung cấp đọc nội dung nếu được triển khai đúng và nhà cung cấp không kiểm soát khóa nội dung. E2EE không tự bảo vệ một thiết bị đã bị xâm nhập, mọi tệp xuất, mọi đường khôi phục hay toàn bộ siêu dữ liệu.

Đây là danh sách kiểm tra để xây dựng mô hình nguy cơ, không phải bảng xếp hạng ứng dụng hiện tại hay lời hứa bí mật tuyệt đối. Tính năng và chính sách sản phẩm có thể thay đổi. Hãy kiểm tra tài liệu và thiết lập cho đúng dịch vụ, gói, nền tảng và phiên bản mà bạn đang dùng.

“An toàn” có nghĩa gì với nhật ký trên đám mây?

Tính bí mật chỉ là một phần của an toàn. Bạn có thể còn cần mở được nhật ký sau khi mất điện thoại, tài khoản gặp sự cố, dịch vụ ngừng hoạt động hoặc xóa nhầm. Một thiết kế hạn chế mạnh khả năng khôi phục của nhà cung cấp có thể bảo vệ tính bí mật tốt hơn, nhưng mất khóa cũng có thể đồng nghĩa với mất dữ liệu không thể đảo ngược.

Hãy liệt kê những nguy cơ hợp lý: người cầm một thiết bị đang mở khóa, kẻ chiếm tài khoản, phần mềm độc hại trên thiết bị, quyền nhân viên quá rộng, hệ thống nhà cung cấp bị xâm nhập, tệp bị chia sẻ nhầm, tệp xuất có thể đọc được, yêu cầu pháp lý, hoặc mất bản sao duy nhất còn dùng được. Khả năng xảy ra và mức tác hại thay đổi theo từng người và từng nội dung.

Nhật ký về sinh hoạt hằng ngày có thể phù hợp với một cách lưu trữ khác những ghi chép nêu danh tính người khác, chứa thông tin sức khỏe, hoặc có thể gây tổn hại nghiêm trọng nếu lộ. Giảm dữ liệu tới mức cần thiết, chẳng hạn bỏ tên hoặc tách riêng nội dung đặc biệt nhạy cảm, có thể giảm hậu quả bất kể bạn dùng mô hình lưu trữ nào.

Ai có thể có đường truy cập?

Hướng dẫn về những ai có thể đọc nhật ký số trình bày danh sách kiểm tra đầy đủ. Mỗi đường truy cập phụ thuộc vào sản phẩm cụ thể; không nên hiểu phần dưới đây là khẳng định rằng mọi ứng dụng đám mây đều vận hành giống nhau.

Nhà cung cấp. Nếu dịch vụ lưu nội dung ở dạng có thể đọc hoặc kiểm soát khóa cần để giải mã, các hệ thống được cấp quyền và một số nhân viên có đặc quyền có thể có khả năng truy cập về mặt kỹ thuật. Chính sách, kiểm soát quyền và nhật ký kiểm toán có thể giới hạn khả năng đó, nhưng không giống sự ngăn chặn bằng mật mã.

Đơn vị xử lý phụ. Các nhà cung cấp dịch vụ lưu trữ, giám sát, phân tích, hỗ trợ và thanh toán nhận những loại dữ liệu khác nhau theo vai trò. Đơn vị xử lý thanh toán không mặc nhiên nhận nội dung nhật ký. Hãy xem danh sách đơn vị xử lý phụ và nhóm dữ liệu đã công bố, thay vì giả định mọi đối tác đều đọc được nội dung.

Cơ quan có thẩm quyền. Nhà cung cấp có thể nhận một yêu cầu có giá trị pháp lý đối với dữ liệu mà họ nắm giữ. Thẩm quyền, thủ tục, phạm vi, việc thông báo và khả năng phản đối khác nhau tùy trường hợp. Mã hóa không hủy quy trình pháp lý; nó thay đổi loại dữ liệu mà nhà cung cấp có thể nắm giữ ở dạng đọc được. Đây không phải tư vấn pháp lý.

Kẻ tấn công. Báo cáo IBM Cost of a Data Breach là nghiên cứu thường niên của một nhà cung cấp về các tổ chức đã trải qua sự cố rò rỉ. Báo cáo cung cấp bối cảnh về chi phí và môi trường sự cố, nhưng không ước tính xác suất một ứng dụng nhật ký cụ thể hay ghi chép của một người cụ thể bị xâm nhập.

Người hoặc phần mềm tại thiết bị đầu cuối. Người cầm điện thoại đang mở khóa, tài khoản dùng chung, bản xem trước thông báo hoặc bản sao lưu có thể đọc được có thể đi vòng qua lớp bảo vệ nội dung của nhà cung cấp. Phần mềm độc hại trên thiết bị đã được cấp quyền cũng có thể thấy văn bản đã giải mã. Mật mã thiết bị, cập nhật, tự động khóa, bảo vệ tài khoản và quản lý tệp xuất cẩn thận giải quyết những phần khác nhau của nguy cơ này.

Chỉ phân biệt đám mây với lưu trên máy là chưa đủ. Hãy tìm mọi nơi có bản sao đọc được và khóa sử dụng được.

Các nhãn mã hóa thực sự xác lập điều gì?

Mã hóa khi truyền bảo vệ dữ liệu lúc di chuyển giữa các đầu cuối. Chỉ riêng nhãn này không cho biết thiết bị gửi, dịch vụ nhận hoặc nơi lưu sau đó có thể truy cập văn bản chưa mã hóa hay không.

Mã hóa khi lưu bảo vệ phương tiện lưu trữ hoặc cơ sở dữ liệu theo một mô hình khóa xác định. Khi dịch vụ kiểm soát khóa dùng cho hoạt động bình thường, các hệ thống được cấp quyền của dịch vụ vẫn có thể xử lý nội dung. Lớp bảo vệ này vẫn có ích trước một số kiểu xâm nhập ở tầng lưu trữ và không nên bị mô tả là vô dụng.

E2EE thường có nghĩa là nội dung được mã hóa trên thiết bị đã được cấp quyền, chỉ được giải mã trên thiết bị đã được cấp quyền, còn dịch vụ trung gian không giữ khóa nội dung. Ranh giới thực tế phụ thuộc vào cách tạo khóa, thêm thiết bị, khôi phục, chia sẻ, sao lưu, xuất dữ liệu và chất lượng triển khai. Mã định danh tài khoản, thời gian hoặc siêu dữ liệu khác vẫn có thể lộ.

E2EE có thể khiến nhà cung cấp không thể giao nội dung đọc được mà họ không sở hữu. Tuy vậy, nó không thể hứa rằng mọi thiết bị hoặc bản sao đều an toàn, không còn siêu dữ liệu, hay không thể tìm dữ liệu từ nguồn khác qua quy trình pháp lý. Câu nói rằng chỉ một người duy nhất có thể đọc nội dung là quá rộng, bởi việc dùng nhiều thiết bị, chia sẻ, khôi phục và xuất dữ liệu có thể tạo thêm đường truy cập hợp lệ.

Tài khoản đám mây do người dùng chọn có giải quyết được vấn đề không?

Không tự động. Lưu ghi chép trong một tài khoản đám mây do người dùng chọn có thể giảm lượng dữ liệu mà nhà phát triển ứng dụng nhật ký nắm giữ và giúp chuyển tệp dễ hơn. Tuy nhiên, nhà cung cấp đám mây, cơ chế khôi phục tài khoản, ứng dụng được kết nối, bảo mật thiết bị và quyền của ứng dụng nhật ký vẫn thuộc hệ thống.

Bài nghiên cứu năm 2019 của Kleppmann và các đồng tác giả về phần mềm local-first trình bày quyền chủ động của người dùng, khả năng làm việc ngoại tuyến và quyền kiểm soát lâu dài như những mục tiêu thiết kế. Bài viết cũng thừa nhận trách nhiệm của người dùng đối với sao lưu và phòng mất dữ liệu. Đây là lập luận thiết kế có nguyên mẫu minh họa, không phải bằng chứng rằng mọi cách triển khai “bring your own storage” mặc nhiên bí mật, bền vững hoặc được bảo vệ đúng cách.

Nếu một ứng dụng biến mất, tệp theo định dạng phổ biến đã xuất hoặc tệp do người dùng kiểm soát có thể vẫn còn. Điều đó không có nghĩa mọi cơ sở dữ liệu độc quyền sẽ tiếp tục đọc được hoặc đồng bộ sẽ tiếp tục chạy. Ngược lại, lưu trữ do nhà cung cấp quản lý có thể có công cụ khôi phục và di chuyển đáng tin cậy. Hãy kiểm tra định dạng xuất, cách xóa và lưu giữ, phạm vi sao lưu, cùng đường khôi phục đã được thử nghiệm.

Quyền riêng tư có quyết định việc viết nhật ký có ích hay không?

Chưa có bằng chứng trực tiếp cho thấy mã hóa đám mây mạnh hơn gây ra lợi ích viết nhật ký lớn hơn. Quyền riêng tư có thể ảnh hưởng đến mức sẵn lòng chia sẻ, nhưng tính bí mật kỹ thuật, cảm nhận về riêng tư, độ cởi mở trong một nhiệm vụ viết và kết quả tâm lý là những biến số khác nhau.

Bài nhìn lại năm 2018 do James Pennebaker viết một mình tổng kết nghiên cứu về viết biểu cảm và nói rằng cơ chế vẫn chưa được giải đáp. Bài này không xác lập “giải phóng ức chế” là cơ chế đã được xác nhận, không hứa hẹn cải thiện rộng khắp về sức khỏe thể chất hay tinh thần, và không cho thấy nhật ký phải hoàn toàn không tự kiểm duyệt mới có ích.

Phân tích quan sát năm 2016 của Jon Penney ghi nhận thay đổi lưu lượng truy cập vào một số bài Wikipedia sau khi thông tin về hoạt động giám sát được công bố. Nghiên cứu không khảo sát nhật ký, mã hóa, hành vi viết của từng người hay kết quả sức khỏe tinh thần, nên không thể xác lập rằng lưu trên đám mây khiến người viết tự kiểm duyệt nhật ký.

Khảo sát PEN America năm 2015 hỏi các nhà văn về lo ngại giám sát và ghi nhận những thay đổi do họ tự báo cáo trong nghiên cứu và giao tiếp. Đây không phải thử nghiệm ngẫu nhiên về viết nhật ký và không thể định lượng tác động của thiết kế lưu trữ ứng dụng lên kết quả trị liệu.

Các bài tổng quan về những kết luận mà nghiên cứu viết nhật ký có thể hỗ trợ và viết nhật ký với lo âu phân biệt kết quả của những quy trình viết cụ thể với lời hứa về việc ghi nhật ký thường ngày. Chọn một cách lưu trữ mà bạn cảm thấy chấp nhận được có thể giúp việc viết dễ hơn trong thực tế, nhưng điều đó không chứng minh quyền riêng tư là cơ chế cần thiết hoặc đủ.

Quyền riêng tư có thể ảnh hưởng đến mức sẵn lòng viết. Nghiên cứu chưa xác lập một chuỗi đơn giản: mã hóa → thành thật → lợi ích sức khỏe.

Đánh giá một ứng dụng nhật ký đám mây bằng cách nào?

• Xác định nguy cơ. Nêu rõ bạn đang bảo vệ trước ai hoặc điều gì, và vấn đề chính là nội dung bị lộ, dữ liệu mất hay mất quyền truy cập.
• Lập bản đồ các bản sao. Kiểm tra thiết bị, kho của nhà cung cấp, đám mây do người dùng chọn, bộ nhớ đệm, bản sao lưu, bản xem trước thông báo và tệp xuất.
• Lập bản đồ các khóa. Tìm hiểu ai có thể giải mã nội dung, thiết bị mới được cấp quyền ra sao, và chuyện gì xảy ra khi khôi phục hoặc chia sẻ.
• Kiểm tra tài khoản và thiết bị. Dùng khóa thiết bị và tự động khóa phù hợp, thông tin đăng nhập riêng, xác thực đa yếu tố nếu có, cùng phần mềm còn được cập nhật.
• Đọc phạm vi của tuyên bố. “Được mã hóa” có thể chỉ bao gồm nội dung chứ không gồm tiêu đề, thời gian, dữ liệu chẩn đoán hoặc chỉ mục tìm kiếm. Kiểm toán độc lập chỉ hữu ích cho những thành phần và phiên bản thực sự được kiểm tra.
• Thử khôi phục và xuất. Xác nhận rằng bạn có thể khôi phục một bản sao hợp lệ và lấy tệp xuất dùng được mà không để quên một tệp không được bảo vệ.
• Xem lại việc lưu giữ và xóa. Kiểm tra thứ gì bị xóa, thứ gì có thể còn trong bản sao lưu, và hồ sơ tài khoản hay siêu dữ liệu được giữ bao lâu.

Tài liệu và kiểm toán có thể cho biết điều gì?

Một trang bảo mật hữu ích cần nêu loại tài sản được bảo vệ và những bên mà nó bảo vệ tài sản khỏi. Hãy tìm sự phân biệt rõ giữa nội dung nhật ký, tệp đính kèm, tiêu đề, thời gian, chỉ mục tìm kiếm, thông tin tài khoản, dữ liệu chẩn đoán và hồ sơ thanh toán. Câu “dữ liệu của bạn được mã hóa” chưa đầy đủ nếu không giải thích nhà cung cấp có thể giải mã nội dung trong hoạt động thông thường hay không.

Tài liệu quản lý khóa nên giải thích khóa đầu tiên được tạo thế nào, thiết bị khác tham gia tài khoản ra sao, và chuyện gì xảy ra khi mất mật khẩu, điện thoại hoặc bí mật khôi phục. Nếu bộ phận hỗ trợ có thể khôi phục nội dung đọc được mà không cần thiết bị đã được cấp quyền hay bí mật chỉ người dùng biết, phải có thêm một khóa hoặc bên đáng tin cậy giúp việc đó xảy ra. Đây không mặc nhiên là khuyết điểm vì thiết kế có thể ưu tiên khả năng khôi phục, nhưng nó thay đổi ranh giới truy cập và cần được mô tả chính xác.

Một đánh giá bảo mật độc lập có thể cung cấp bằng chứng có giá trị. Hãy đọc ngày, phiên bản được thử, phạm vi và phần loại trừ. Việc xem xét một thư viện mật mã không tự bao gồm bản xem trước thông báo, quyền máy chủ, khôi phục tài khoản, phân tích dữ liệu, cấu hình đám mây hoặc bản cập nhật phát hành sau đó. Mã nguồn mở cho phép kiểm tra, nhưng tự nó không chứng minh bản phát hành trên cửa hàng ứng dụng giống mã đã xem xét hay dịch vụ đang chạy được cấu hình an toàn.

Cũng cần tách tính bí mật khỏi việc xóa. Xóa một mục khỏi giao diện có thể không lập tức xóa mục đó khỏi thiết bị đã đồng bộ, hàng đợi xử lý, bản sao lưu hoặc bản sao của người nhận. Thời hạn lưu giữ có thể hỗ trợ khôi phục sau khi xóa nhầm, đồng thời làm chậm việc xóa cuối cùng. Không có một chính sách luôn đúng; điều quan trọng là sản phẩm giải thích thời hạn và thời hạn đó phù hợp với độ nhạy cảm của dữ liệu.

Cuối cùng, hãy thử những lỗi thông thường trước khi giao cho hệ thống các ghi chép không thể thay thế. Bạn có khôi phục được sau khi đổi thiết bị không? Tệp xuất có đầy đủ và đọc được khi không còn dịch vụ cũ không? Tệp xuất được mã hóa hay trở thành tệp thường? Điều gì xảy ra nếu mất cả mật khẩu lẫn thông tin khôi phục? Kế hoạch khôi phục bằng văn bản là một phần của an toàn; một hệ thống giữ bí mật tốt nhưng có thể đoán trước sẽ làm dữ liệu mất vĩnh viễn chưa chắc đáp ứng nhu cầu của bạn.

Câu trả lời thực tế là gì?

Lưu trữ đám mây có thể là lựa chọn hợp lý khi các đường truy cập và đánh đổi về khôi phục phù hợp với mô hình nguy cơ của bạn. E2EE với thiết kế khóa tốt có thể giảm đáng kể quyền truy cập nội dung của nhà cung cấp. Lưu trữ do người dùng kiểm soát hoặc theo hướng local-first có thể tăng quyền chủ động và khả năng chuyển dữ liệu. Không nhãn nào loại bỏ nguy cơ ở thiết bị, tài khoản, bản sao lưu, tệp xuất, siêu dữ liệu hay mất dữ liệu.

Không có quy tắc dựa trên bằng chứng buộc mọi nhật ký riêng tư phải dùng một kiến trúc. Nếu việc lộ nội dung có thể gây hậu quả nghiêm trọng về cá nhân, pháp lý hoặc an toàn, hãy cân nhắc giảm thông tin nhận dạng, tách riêng nội dung nhạy cảm nhất, hoặc tìm tư vấn bảo mật hay pháp lý đủ chuyên môn cho hoàn cảnh của bạn.

Khi đã có cách thiết lập mà bạn sẵn sàng dùng, hướng dẫn duy trì việc viết nhật ký đều đặn giải thích vì sao nghiên cứu không xác lập một tần suất hay hình thức bắt buộc.

Hãy đọc tài liệu của ứng dụng hiện tại, kiểm tra thiết lập trên từng thiết bị và chủ động lập kế hoạch sao lưu cùng khôi phục. Không một tùy chọn đơn lẻ nào khiến lưu trữ đám mây an toàn tuyệt đối.