Kam var likt izsniegt jūsu autentifikācijas datus

Ko saka CLOUD Act

2018. gada likums Clarifying Lawful Overseas Use of Data Act ASV tiesību aktos pievienoja vienu teikumu, kas šeit ir izšķirošs: pakalpojuma sniedzējam ir jāsaglabā vai jāizpauž ieraksti, kas atrodas tā “possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States” — tā valdījumā, glabāšanā vai kontrolē, neatkarīgi no tā, vai šāda saziņa, ieraksts vai cita informācija atrodas ASV teritorijā vai ārpus tās. Tvērums izriet no kontroles pār datiem un ASV jurisdikcijas pār uzņēmumu, nevis no servera atrašanās vietas. ASV Tieslietu ministrija norāda, ka ASV uzņēmuma ES meitasuzņēmums no šā tvēruma automātiski neizkrīt.

ES datu aizsardzības iestādes 2019. gadā pauda nostāju: ja starptautisks nolīgums šādu rīkojumu nepadara izpildāmu, ES tiesībām pakļauts pakalpojuma sniedzējs datu izpaušanu uz to likumīgi balstīt nevar. ES šāda nolīguma ar Amerikas Savienotajām Valstīm nav. ASV pakalpojuma sniedzējam ar klientiem ES tādējādi var likt darīt to, ko ES tiesības tam liedz. Kad Francijas Senāta komisija 2025. gada jūnijā Microsoft France juridiskajam direktoram, kurš liecināja zvērestā, jautāja, vai uzņēmums var garantēt, ka Francijas publiskā sektora dati nekad netiks nodoti ASV iestādēm bez Francijas piekrišanas, viņš atbildēja: “Non, je ne peux pas le garantir.” (“Nē, es to nevaru garantēt.”)

Ko tas nedara

CLOUD Act nerada nekādu jauna veida orderi un neatļauj datu masveida vākšanu. Satura izsniegšanai joprojām vajadzīgs tiesneša orderis, kam nepieciešams pamatots iemesls (probable cause) aizdomām par konkrētu noziegumu, un šifrēšanas ziņā likums ir nepārprotami neitrāls: tas nedod nekādas pilnvaras piespiest atšifrēt. Microsoft tajā pašā uzklausīšanā paziņoja, ka kopš pārredzamības ziņojumu publicēšanas sākuma skarts nav neviens Eiropas uzņēmuma vai publiskā sektora klients.

Tādējādi reālais risks ir juridisks, nevis saistīts ar ikdienas darbību. Bažas nav par to, ka kāds regulāri lasītu jūsu autentifikācijas žurnālus. Jautājums, ko uzdod regulators, auditors vai NIS2 risku novērtējums, ir šaurāks: kuru var piespiest, saskaņā ar kuru likumu, un vai jūsu piegādātājs var jums dot garantiju. ASV mākoņpakalpojuma gadījumā godīga atbilde uz pēdējo daļu ir “nē”.

Lielākā daļa MFA ir ASV mākoņpakalpojums

Tā nav sūdzība par piegādātājiem; tā teikts viņu pašu dokumentācijā. Cisco Duo ir mākoņpakalpojums, kas mitināts Amazon Web Services ar pieejamiem ES reģioniem, un tā lokālais Authentication Proxy pieprasījumus pārsūta uz šo mākoni. Tā privātuma datu lapā kā pakalpojumā glabāti dati uzskaitīti lietotājvārdi, tālruņu numuri, ierīču identifikatori, galalietotāju IP adreses un autentifikācijas žurnāli. Okta darbojas tikai mākonī; tās ES šūna klientu datus glabā Vācijā un Īrijā, bet apakšapstrādātāju sarakstā SMS un e-pasta piegādei nosaukti ASV pakalpojumu sniedzēji. Microsoft EU Data Boundary (ES datu robežas) dokumentācijā teikts, ka Authenticator push pieteikšanās un pieteikšanās pa tālruni var tikt apstrādāta ārpus šīs robežas un ka ar krāpšanu saistītās IP adreses tiek publicētas globāli.

Eiropas piegādātājam, kas izmanto ASV lielo mākoņa infrastruktūras nodrošinātāju (hyperscaler), ir līdzīgs risks vienu līmeni zemāk, jo infrastruktūru kontrolē šis nodrošinātājs. Tas attiecas arī uz mums, ja izvēlaties mūsu mākoni, tāpēc tālāk to pasakām atklāti.

Lokālā Notakey iekārta: nav nekā, ko mums varētu likt izsniegt

Notakey iekārta ir virtuālā mašīna, ko darbināt savā infrastruktūrā. Autentifikācijas serveris, tā savienojums ar jūsu Active Directory, LDAP vai RADIUS, reģistrēto ierīču sertifikāti un katrs apstiprinājuma ieraksts atrodas tur. Notakey iekārtai nepiekļūst, ja vien jūs piekļuvi nepiešķirat atbalsta pieteikuma vajadzībām, tāpēc mūsu valdījumā, glabāšanā vai kontrolē nav nekā, ko nodot. Rīkojums par šiem datiem būtu jāadresē jums, saskaņā ar to likumu, kas attiecas uz jums.

Katra lietotāja privātā atslēga tiek ģenerēta tālruņa drošības mikroshēmā un to nekad nepamet, tāpēc kopija nepastāv nekur citur, arī iekārtā ne. Vienīgais ārējais saskares punkts apstiprinājumā ir push paziņojums. Tajā ir tas pats salasāmais teksts, kas redzams apstiprinājuma kartītē lietotnē, piemēram, servisa nosaukums, konts un avota adrese, pēc veidnes, ko nosaka jūsu administratori, un nekas vairāk: ne atslēgas, ne iespēja apstiprināt. Apple un Google push pakalpojumi šo tekstu pārsūta. Pieskaroties paziņojumam, atveras lietotne, kas pa HTTPS ielādē pieprasījumu no jūsu iekārtas, pārbauda, vai tas atbilst paziņojumam, un tikai tad paraksta apstiprinājumu.

Notakey mākonis: godīgā versija

SIA Notakey Latvia ir Latvijas uzņēmums, kas darbojas saskaņā ar Latvijas likumiem, bez mātesuzņēmuma ASV. Mūsu mākoņpakalpojums notakey.cloud darbojas Oracle Cloud Infrastructure Frankfurtes reģionā. Oracle ir ASV uzņēmums, tāpēc jums jāpieņem, ka mūsu mākoņa mitināšanas slānis ir ASV tiesisko procesu tvērumā, tāpat kā jebkuram Eiropas pakalpojumam, kas darbojas AWS, Azure vai Google Cloud. Mēs savu mākoņa piedāvājumu nesaucam par suverēnu, jo tas tāds nav.

Ko glabā mākoņa instance: jūsu izvēlētos lietotājvārdus vai identifikatorus, reģistrēto ierīču publiskās atslēgas un sertifikātus, push marķierus un parakstītos apstiprinājuma ierakstus. Privātās atslēgas nekad, un paroles tikai tad, ja vadības panelī veidojat lokālus lietotājus, nevis pieslēdzat savu direktoriju. Ja mitināšanas slāņa risks jums ir būtisks, lokālā iekārta ir tas pats produkts ar to pašu mobilo lietotni, un uz vienu lietotāju tā maksā mazāk.

Trīs jautājumi, ko uzdot jebkuram piegādātājam

Vārds “suverēns” tiek piekārts daudziem produktiem. Jautājumi, kas palīdz saprast, kas aiz tā patiesībā slēpjas, ir vieni un tie paši gan mums, gan visiem citiem.

• ▪Saskaņā ar kuras valsts likumiem darbojas uzņēmums, kas glabā datus, un vai tam ir mātesuzņēmums citur?
• ▪Kurš uztur serverus, un saskaņā ar kuras valsts likumiem šis uzņēmums darbojas?
• ▪Kas nonāk pie Apple un Google, kad iesaistīts tālrunis, un vai tajā ietilpst pieprasījuma saturs?