Keda saab kohustada teie autentimisandmeid välja andma

Mida CLOUD Act ütleb

2018. aasta Clarifying Lawful Overseas Use of Data Act lisas USA seadusesse ühe lause, mis siin loeb: teenusepakkuja peab säilitama või avaldama andmed, mis on tema valduses, hoiul või kontrolli all, olenemata sellest, kas need asuvad Ameerika Ühendriikides või väljaspool (ingl „possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States“). Seaduse ulatuse määravad kontroll andmete üle ja USA jurisdiktsioon ettevõtte üle, mitte serveri asukoht. USA justiitsministeerium märgib, et USA ettevõtte ELi tütarettevõte ei jää automaatselt kohaldamisalast välja.

ELi andmekaitseasutused võtsid 2019. aastal seisukoha: kui rahvusvaheline leping ei muuda sellist korraldust täitmisele pööratavaks, ei saa ELi õigusele alluv teenusepakkuja andmete avaldamist sellele õiguspäraselt rajada. ELil Ameerika Ühendriikidega sellist lepingut ei ole. ELi klientidega USA teenusepakkujale võib seega anda korralduse teha midagi, mida ELi õigus tal teha keelab. Kui Prantsuse Senati komisjon küsis 2025. aasta juunis vande all Microsoft France’i õigusdirektorilt, kas ta saab garanteerida, et Prantsuse avaliku sektori andmeid ei anta kunagi USA ametivõimudele ilma Prantsusmaa nõusolekuta, vastas ta: „Non, je ne peux pas le garantir.“ („Ei, ma ei saa seda garanteerida.“)

Mida see ei tee

CLOUD Act ei loo uut liiki läbiotsimismäärust ega luba massilist andmekogumist. Sisu väljanõudmiseks on endiselt vaja kohtuniku määrust, mis põhineb konkreetse kuriteo põhjendatud kahtlusel, ning seadus on krüpteerimise suhtes sõnaselgelt neutraalne: see ei lisa õigust nõuda dekrüpteerimist. Microsoft ütles samal kuulamisel, et see ei ole puudutanud ühtegi Euroopa ettevõtte- ega avaliku sektori klienti sellest ajast, kui ettevõte hakkas läbipaistvusaruandeid avaldama.

Realistlik risk on seega õiguslik, mitte operatiivne. Mure ei ole selles, et keegi loeks regulaarselt teie autentimislogisid. Küsimus, mida regulaator, audiitor või NIS2 riskihinnang esitab, on kitsam: keda saab kohustada, millise seaduse alusel ja kas teie tarnija saab teile garantii anda. USA pilveteenuse puhul on aus vastus viimasele osale „ei“.

Enamik MFA-d on USA pilveteenus

See ei ole kaebus tarnijate peale; nii ütleb nende endi dokumentatsioon. Cisco Duo on Amazon Web Servicesis majutatud pilveteenus, millel on saadaval ELi piirkonnad, ja selle kohapealne Authentication Proxy edastab päringud sellesse pilve. Duo privaatsuse andmeleht loetleb teenuses hoitavate andmete hulgas kasutajanimed, telefoninumbrid, seadmete identifikaatorid, lõppkasutajate IP-aadressid ja autentimislogid. Okta on üksnes pilveteenus; selle ELi üksus hoiab kliendiandmeid Saksamaal ja Iirimaal, samas kui alltöötlejate loetelus on SMS-ide ja e-kirjade saatmiseks nimetatud USA teenusepakkujad. Microsofti ELi andmepiiri (EU Data Boundary) dokumentatsioon ütleb, et Authenticatori tõuketeavitus- ja telefonipõhiseid sisselogimisi võidakse töödelda väljaspool seda piiri ning et pettusega seotud IP-aadressid avaldatakse globaalselt.

USA hüperskaleerija taristul töötaval Euroopa tarnijal on sarnane risk ühe kihi võrra sügavamal, sest taristut kontrollib hüperskaleerija. See kehtib ka meie kohta, kui valite meie pilve, ja seetõttu ütleme seda allpool välja.

Kohapealne Notakey: pole midagi, mida meilt välja nõuda

Notakey seade on virtuaalmasin, mida käitate oma taristus. Autentimisserver, selle ühendus teie Active Directory, LDAP-i või RADIUS-ega, registreeritud seadmete sertifikaadid ja iga kinnituskirje asuvad seal. Notakeyl pole seadmele ligipääsu, kui te seda tugijuhtumi jaoks ei anna, nii et meie valduses, hoiul ega kontrolli all pole midagi, mida välja anda. Korraldus nende andmete saamiseks tuleks suunata teile, teie suhtes kohalduva seaduse alusel.

Iga kasutaja privaatvõti luuakse telefoni turvakiibis ega lahku sealt kunagi, nii et sellest ei ole koopiat kusagil mujal, ka mitte Notakey seadmel. Ainus väline kokkupuutepunkt kinnituses on tõuketeavitus. See sisaldab sama loetavat teksti, mis on rakenduse kinnituskaardil, näiteks teenuse nime, kontot ja lähteaadressi, teie administraatorite määratud malli järgi, ja mitte midagi muud: ei võtmeid ega võimalust kinnitada. Apple’i ja Google’i tõuketeenused edastavad selle teksti. Teavituse puudutamine avab rakenduse, mis laadib päringu HTTPS-i kaudu teie seadmelt, kontrollib, et see vastab teavitusele, ja alles siis allkirjastab kinnituse.

Notakey pilv: aus versioon

Notakey Latvia, SIA on Läti õiguse alusel tegutsev Läti ettevõte, millel ei ole USA emaettevõtet. Meie pilveteenus notakey.cloud töötab Oracle Cloud Infrastructure’is Frankfurdi piirkonnas. Oracle on USA ettevõte, nii et peaksite eeldama, et meie pilve majutuskiht jääb USA õigusmenetluse haardesse, nagu iga Euroopa teenus AWS-il, Azure’il või Google Cloudil. Me ei nimeta pilvepakkumist suveräänseks, sest see seda ei ole.

Pilveinstants hoiab teie valitud kasutajanimesid või identifikaatoreid, registreeritud seadmete avalikke võtmeid ja sertifikaate, tõuketokeneid ja allkirjastatud kinnituskirjeid. Privaatvõtmeid ei hoia see kunagi ja paroole ainult siis, kui loote halduspaneelil kohalikud kasutajad, selle asemel et ühendada oma kataloog. Kui majutuskihi risk on teile oluline, on kohapealne seade sama toode sama mobiilirakendusega ja maksab kasutaja kohta vähem.

Kolm küsimust igale tarnijale

Sõna „suveräänne“ kleebitakse praegu paljude toodete külge. Küsimused, mis sellest läbi lõikavad, on meie ja kõigi teiste puhul samad.

• ▪Millise riigi õiguse alusel tegutseb ettevõte, mis andmeid hoiab, ja kas tal on emaettevõte mujal?
• ▪Kes käitab servereid ja millise riigi õiguse alusel see ettevõte tegutseb?
• ▪Mis liigub Apple’ile ja Google’ile, kui protsessis osaleb telefon, ja kas see sisaldab päringu sisu?