Chi può essere obbligato a consegnare i vostri dati di autenticazione

Che cosa dice il CLOUD Act

Il Clarifying Lawful Overseas Use of Data Act del 2018 ha aggiunto alla legge statunitense una sola frase che qui conta: un fornitore deve conservare o divulgare i dati in suo possesso, custodia o controllo, indipendentemente dal fatto che si trovino all’interno o all’esterno degli Stati Uniti («possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States»). La portata segue il controllo sui dati e la giurisdizione statunitense sull’azienda, non la posizione del server. Il Dipartimento di Giustizia statunitense afferma che una controllata europea di un’azienda statunitense non è automaticamente fuori dal campo di applicazione.

Le autorità europee per la protezione dei dati hanno preso posizione nel 2019: a meno che un accordo internazionale non renda esecutivo un simile ordine, un fornitore di servizi soggetto al diritto dell’UE non può legittimamente fondare su di esso una divulgazione. L’UE non ha alcun accordo di questo tipo con gli Stati Uniti. Un fornitore statunitense con clienti nell’UE può quindi ricevere l’ordine di fare qualcosa che il diritto dell’UE gli vieta. Interrogato sotto giuramento da una commissione del Senato francese nel giugno 2025 sulla possibilità di garantire che i dati del settore pubblico francese non sarebbero mai stati consegnati alle autorità statunitensi senza il consenso della Francia, il direttore degli affari legali di Microsoft France ha risposto: «Non, je ne peux pas le garantir.» (No, non posso garantirlo.)

Che cosa non fa

Il CLOUD Act non crea alcun nuovo tipo di mandato e non autorizza alcuna raccolta massiva. Il contenuto richiede ancora un mandato emesso da un giudice sulla base di un fondato sospetto di un reato specifico, e la legge è esplicitamente neutrale sulla cifratura: non aggiunge alcun potere di imporre la decifratura. Nella stessa audizione Microsoft ha dichiarato che nessun cliente europeo, aziendale o del settore pubblico, era stato interessato da quando ha iniziato a pubblicare i rapporti di trasparenza.

Il rischio realistico è quindi di natura legale, non operativa. La preoccupazione non è che qualcuno legga abitualmente i vostri log di autenticazione. La domanda che pone un’autorità di vigilanza, un revisore o una valutazione del rischio NIS2 è più circoscritta: chi può essere obbligato, in base a quale legge, e se il vostro fornitore può darvi una garanzia. Per un servizio cloud statunitense la risposta onesta all’ultima parte è no.

La maggior parte dell’MFA è un servizio cloud statunitense

Non è una critica ai fornitori: è ciò che dice la loro stessa documentazione. Cisco Duo è un servizio cloud ospitato su Amazon Web Services, con regioni UE disponibili, e il suo Authentication Proxy on-premise inoltra le richieste a quel cloud. La sua scheda sulla privacy elenca nomi utente, numeri di telefono, identificativi dei dispositivi, indirizzi IP degli utenti finali e log di autenticazione tra i dati conservati nel servizio. Okta è solo cloud; la sua cella UE conserva i dati dei clienti in Germania e Irlanda, mentre il suo elenco di sub-responsabili indica fornitori con sede negli Stati Uniti per l’invio di SMS ed e-mail. La documentazione Microsoft sull’EU Data Boundary dichiara che il push di Authenticator e gli accessi basati sul telefono possono essere elaborati al di fuori del perimetro, e che gli indirizzi IP collegati a frodi vengono pubblicati a livello globale.

Un fornitore europeo su un hyperscaler statunitense ha un’esposizione simile un livello più in basso, perché è l’hyperscaler a controllare l’infrastruttura. Questo vale anche per noi quando scegliete il nostro cloud, e lo diciamo qui sotto.

Notakey on-premise: nulla che potremmo essere obbligati a produrre

L’appliance Notakey è una macchina virtuale che eseguite sulla vostra infrastruttura. Il server di autenticazione, la sua connessione alla vostra Active Directory, LDAP o RADIUS, i certificati dei dispositivi registrati e ogni record di approvazione risiedono lì. Notakey non ha accesso all’appliance a meno che non lo concediate per un caso di assistenza, quindi non c’è nulla in nostro possesso, custodia o controllo da consegnare. Un ordine relativo a quei dati dovrebbe essere rivolto a voi, in base alla legge che si applica a voi.

La chiave privata di ciascun utente viene generata all’interno dell’hardware sicuro del telefono e non lo lascia mai, quindi non ne esiste alcuna copia altrove, nemmeno sull’appliance. L’unico punto di contatto esterno in un’approvazione è la notifica push. Contiene lo stesso testo leggibile della scheda di approvazione nell’app, per esempio il nome del servizio, l’account e l’indirizzo di provenienza, secondo un modello controllato dai vostri amministratori, e nient’altro: nessuna chiave e nessun modo di approvare. I servizi push di Apple e Google si limitano a trasmettere quel testo. Toccando la notifica si apre l’app, che scarica la richiesta via HTTPS dalla vostra appliance, verifica che corrisponda alla notifica e solo allora firma l’approvazione.

Notakey cloud: la versione onesta

Notakey Latvia, SIA è una società lettone soggetta al diritto lettone, senza alcuna casa madre statunitense. Il nostro servizio cloud, notakey.cloud, funziona su Oracle Cloud Infrastructure nella regione di Francoforte. Oracle è un’azienda statunitense, quindi dovreste presumere che il livello di hosting del nostro cloud sia alla portata della giustizia statunitense, come per qualsiasi servizio europeo su AWS, Azure o Google Cloud. Non definiamo sovrana la nostra offerta cloud, perché non lo è.

Che cosa contiene un’istanza cloud: i nomi utente o gli identificativi che scegliete, le chiavi pubbliche e i certificati dei dispositivi registrati, i token push e i record di approvazione firmati. Mai le chiavi private, e le password solo se create utenti locali nella dashboard invece di collegare la vostra directory. Se l’esposizione del livello di hosting è rilevante per voi, l’appliance on-premise è lo stesso prodotto con la stessa app mobile, e costa meno per utente.

Tre domande da porre a qualsiasi fornitore

La parola «sovrano» viene attribuita a molti prodotti. Le domande che fanno chiarezza sono le stesse per noi e per tutti gli altri.

• ▪In base a quale legge opera la società che detiene i dati, e ha una casa madre altrove?
• ▪Chi gestisce i server, e in base a quale legge opera quella società?
• ▪Che cosa transita verso Apple e Google quando è coinvolto un telefono, e include il contenuto della richiesta?