Kit kötelezhetnek arra, hogy kiadja az Ön hitelesítési adatait

Mit mond ki a CLOUD Act

A 2018-as Clarifying Lawful Overseas Use of Data Act egyetlen, itt lényeges mondattal egészítette ki az amerikai jogot: a szolgáltatónak meg kell őriznie vagy ki kell adnia mindazt, ami a birtokában, őrizetében vagy ellenőrzése alatt áll, függetlenül attól, hogy az Egyesült Államokon belül vagy kívül található („possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States”). A hatókör az adat feletti ellenőrzést és a cég feletti amerikai joghatóságot követi, nem a szerver helyét. Az amerikai igazságügyi minisztérium kimondja, hogy egy amerikai cég EU-beli leányvállalata nem esik automatikusan a hatókörön kívülre.

Az EU adatvédelmi hatóságai 2019-ben foglaltak állást: ha nincs olyan nemzetközi megállapodás, amely az ilyen végzést végrehajthatóvá teszi, az EU joga alá tartozó szolgáltató jogszerűen nem alapozhat rá adatkiadást. Az EU-nak nincs ilyen megállapodása az Egyesült Államokkal. Egy EU-s ügyfelekkel rendelkező amerikai szolgáltatót tehát olyasmire kötelezhetnek, amit az EU joga megtilt neki. Amikor a francia Szenátus egyik bizottsága 2025 júniusában eskü alatt megkérdezte a Microsoft France jogi igazgatóját, garantálni tudja-e, hogy a francia közszféra adatait francia hozzájárulás nélkül soha nem adják át amerikai hatóságoknak, ő így felelt: „Non, je ne peux pas le garantir.” („Nem, ezt nem tudom garantálni.”)

Mit nem tesz

A CLOUD Act nem hoz létre újfajta végzést, és nem engedélyez tömeges adatgyűjtést. A tartalomhoz továbbra is bírói végzés kell egy konkrét bűncselekmény megalapozott gyanúja alapján, és a törvény a titkosítás kérdésében kifejezetten semleges: nem ad új hatáskört a visszafejtés kikényszerítésére. A Microsoft ugyanezen a meghallgatáson elmondta, hogy átláthatósági jelentései közzétételének kezdete óta egyetlen európai vállalati vagy közszférabeli ügyfelét sem érintette ilyen eset.

A reális kockázat tehát jogi, nem üzemeltetési. Nem arról van szó, hogy valaki rutinszerűen olvasná az Ön hitelesítési naplóit. A kérdés, amelyet a felügyeleti hatóság, az auditor vagy egy NIS2 szerinti kockázatértékelés feltesz, szűkebb: kit lehet kötelezni, melyik jog alapján, és tud-e a szállítója garanciát adni. Egy amerikai felhőszolgáltatásnál az utolsó kérdésre a becsületes válasz: nem.

A legtöbb MFA amerikai felhőszolgáltatás

Ez nem vád a gyártók ellen; a saját dokumentációjuk mondja ezt. A Cisco Duo az Amazon Web Servicesen futó felhőszolgáltatás, választható EU-s régiókkal, és a saját infrastruktúrában futó Authentication Proxyja ebbe a felhőbe továbbítja a kéréseket. Adatvédelmi adatlapja a szolgáltatásban tárolt adatok között felsorolja a felhasználóneveket, a telefonszámokat, az eszközazonosítókat, a végfelhasználói IP-címeket és a hitelesítési naplókat. Az Okta kizárólag felhőben működik; EU-s cellája Németországban és Írországban tárolja az ügyféladatokat, további adatfeldolgozóinak listája viszont amerikai szolgáltatókat nevez meg az SMS- és e-mail-kézbesítésre. A Microsoft EU Data Boundary dokumentációja kimondja, hogy az Authenticator push- és telefonos bejelentkezéseit a határon kívül is feldolgozhatják, és hogy a csalással összefüggésbe hozott IP-címeket globálisan közzéteszik.

Egy amerikai hiperskálázón futó európai gyártó egy réteggel lejjebb ugyanígy ki van téve ennek, mert az infrastruktúrát a hiperskálázó ellenőrzi. Ez ránk is vonatkozik, ha a felhőnket választja, ezért alább ki is mondjuk.

Notakey saját infrastruktúrában: semmi, aminek a kiadására kötelezhetnének

A Notakey készülék egy virtuális gép, amelyet Ön a saját infrastruktúráján futtat. A hitelesítési szerver, annak kapcsolata az Ön Active Directoryjával, LDAP-jával vagy RADIUS-ával, a regisztrált eszközök tanúsítványai és minden jóváhagyási rekord ott található. A Notakeynek nincs hozzáférése a készülékhez, hacsak Ön egy támogatási eset miatt meg nem adja, így semmi nincs a mi birtokunkban, őrizetünkben vagy ellenőrzésünk alatt, amit kiadhatnánk. Az ezekre az adatokra vonatkozó végzést Önnek kellene címezni, az Önre vonatkozó jog szerint.

Minden felhasználó privát kulcsa a telefon biztonságos hardverén belül jön létre, és soha nem hagyja el, így sehol máshol nem létezik róla másolat, a készüléken sem. A jóváhagyás egyetlen külső érintkezési pontja a push értesítés. Ez ugyanazt az olvasható szöveget tartalmazza, mint az alkalmazás jóváhagyási kártyája, például a szolgáltatás nevét, a fiókot és a forráscímet, az Ön rendszergazdái által meghatározott sablon szerint, és semmi mást: kulcsot nem, és a jóváhagyás lehetőségét sem. Az Apple és a Google push-szolgáltatása ezt a szöveget továbbítja. Az értesítésre koppintva megnyílik az alkalmazás, amely HTTPS-en keresztül letölti a kérést az Ön készülékéről, ellenőrzi, hogy egyezik-e az értesítéssel, és csak ezután írja alá a jóváhagyást.

Notakey felhő: a becsületes változat

A Notakey Latvia, SIA a lett jog hatálya alá tartozó lett cég, amerikai anyavállalat nélkül. Felhőszolgáltatásunk, a notakey.cloud, az Oracle Cloud Infrastructure frankfurti régiójában fut. Az Oracle amerikai cég, ezért abból induljon ki, hogy felhőnk tárhelyrétege az amerikai jogi eljárások hatókörében van, mint bármely európai szolgáltatásé az AWS-en, az Azure-on vagy a Google Cloudon. Felhős ajánlatunkat nem nevezzük szuverénnek, mert nem az.

Mit tárol egy felhőpéldány: az Ön által választott felhasználóneveket vagy azonosítókat, a regisztrált eszközök nyilvános kulcsait és tanúsítványait, push-tokeneket és az aláírt jóváhagyási rekordokat. Privát kulcsot soha, jelszót pedig csak akkor, ha Ön helyi felhasználókat hoz létre az irányítópulton, ahelyett hogy a saját címtárát csatlakoztatná. Ha a tárhelyréteg kitettsége számít Önnek, a saját infrastruktúrában futó készülék ugyanaz a termék ugyanazzal a mobilalkalmazással, és felhasználónként kevesebbe kerül.

Három kérdés, amelyet bármely gyártónak érdemes feltenni

A „szuverén” szót ma sok termékre ráragasztják. A kérdések, amelyekkel a címke mögé lehet látni, ránk és mindenki másra nézve ugyanazok.

• ▪Melyik jog hatálya alatt működik az adatokat tároló cég, és van-e máshol anyavállalata?
• ▪Ki üzemelteti a szervereket, és melyik jog hatálya alatt működik az a cég?
• ▪Mi megy át az Apple-hez és a Google-hez, ha telefon is részt vesz a folyamatban, és benne van-e ebben a kérés tartalma?