Kto może zostać zobowiązany do wydania Państwa danych uwierzytelniania

Co mówi CLOUD Act

Ustawa Clarifying Lawful Overseas Use of Data Act z 2018 roku dodała do prawa USA jedno zdanie, które ma tu znaczenie: dostawca musi zabezpieczyć lub ujawnić dane będące w jego „possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States”, a więc w jego posiadaniu, pieczy lub pod jego kontrolą, niezależnie od tego, czy znajdują się na terytorium Stanów Zjednoczonych, czy poza nim. Zasięg ustawy wynika z kontroli nad danymi i z jurysdykcji USA nad firmą, a nie z lokalizacji serwera. Departament Sprawiedliwości USA stwierdza, że unijna spółka zależna amerykańskiej firmy nie jest automatycznie wyłączona spod jej działania.

Unijne organy ochrony danych zajęły stanowisko w 2019 roku: dopóki umowa międzynarodowa nie uczyni takiego nakazu wykonalnym, usługodawca podlegający prawu UE nie może zgodnie z prawem oprzeć na nim ujawnienia danych. UE nie ma takiej umowy ze Stanami Zjednoczonymi. Amerykański dostawca z klientami w UE może więc otrzymać nakaz zrobienia czegoś, czego prawo UE mu zabrania. Zapytany pod przysięgą przez komisję francuskiego Senatu w czerwcu 2025 roku, czy może zagwarantować, że dane francuskiego sektora publicznego nigdy nie zostaną przekazane władzom USA bez zgody Francji, dyrektor prawny Microsoft France odpowiedział: „Non, je ne peux pas le garantir.” („Nie, nie mogę tego zagwarantować”).

Czego ta ustawa nie robi

CLOUD Act nie tworzy nowego rodzaju nakazu i nie zezwala na masowe zbieranie danych. Dostęp do treści nadal wymaga nakazu sędziego wydanego na podstawie uzasadnionego podejrzenia konkretnego przestępstwa, a ustawa jest wyraźnie neutralna wobec szyfrowania: nie daje żadnych uprawnień do wymuszenia odszyfrowania. Microsoft oświadczył na tym samym posiedzeniu, że od czasu, gdy zaczął publikować raporty przejrzystości, żaden europejski klient z sektora przedsiębiorstw ani z sektora publicznego nie został objęty takim nakazem.

Realne ryzyko ma więc charakter prawny, a nie operacyjny. Nie chodzi o to, że ktoś rutynowo czyta Państwa logi uwierzytelniania. Pytanie, które zadaje regulator, audytor albo ocena ryzyka na potrzeby NIS2, jest węższe: kogo można zobowiązać, na podstawie jakiego prawa i czy dostawca może dać Państwu gwarancję. W przypadku amerykańskiej usługi chmurowej uczciwa odpowiedź na tę ostatnią część brzmi: nie.

Większość MFA to amerykańska usługa chmurowa

To nie zarzut wobec dostawców; to treść ich własnej dokumentacji. Cisco Duo to usługa chmurowa hostowana w Amazon Web Services, z dostępnymi regionami w UE, a jej lokalny Authentication Proxy przekazuje żądania do tej chmury. Jej karta prywatności danych wymienia nazwy użytkowników, numery telefonów, identyfikatory urządzeń, adresy IP użytkowników końcowych i logi uwierzytelniania jako dane przechowywane w usłudze. Okta działa wyłącznie w chmurze; jej komórka UE przechowuje dane klientów w Niemczech i Irlandii, a lista jej podwykonawców przetwarzania wymienia dostawców z USA odpowiedzialnych za dostarczanie SMS-ów i e-maili. Dokumentacja Microsoftu dotycząca EU Data Boundary stwierdza, że powiadomienia push Authenticatora i logowania przez telefon mogą być przetwarzane poza tą granicą, a adresy IP powiązane z nadużyciami są publikowane globalnie.

Europejski dostawca na amerykańskim hiperskalerze jest narażony podobnie, tylko o jedną warstwę niżej, bo to hiperskaler kontroluje infrastrukturę. Dotyczy to także nas, gdy wybierają Państwo naszą chmurę, dlatego piszemy o tym poniżej.

Notakey on-premise: nie mamy czego wydać

Appliance Notakey to maszyna wirtualna, którą uruchamiają Państwo we własnej infrastrukturze. Serwer uwierzytelniania, jego połączenie z Państwa Active Directory, LDAP lub RADIUS, certyfikaty zarejestrowanych urządzeń i każdy zapis zatwierdzenia znajdują się właśnie tam. Notakey nie ma dostępu do appliance, chyba że udzielą go Państwo na potrzeby zgłoszenia serwisowego, więc nie ma nic w naszym posiadaniu, pieczy ani pod naszą kontrolą, co moglibyśmy wydać. Nakaz dotyczący tych danych musiałby zostać skierowany do Państwa, na podstawie prawa, które Państwa obowiązuje.

Klucz prywatny każdego użytkownika jest generowany w bezpiecznym module sprzętowym telefonu i nigdy go nie opuszcza, więc jego kopia nie istnieje nigdzie indziej, w tym na appliance. Jedynym zewnętrznym punktem styku przy zatwierdzeniu jest powiadomienie push. Zawiera ono ten sam czytelny tekst, co karta zatwierdzenia w aplikacji, na przykład nazwę usługi, konto i adres źródłowy, według szablonu, o którym decydują Państwa administratorzy, i nic więcej: żadnych kluczy ani możliwości zatwierdzenia. Usługi push Apple i Google ten tekst jedynie przekazują. Dotknięcie powiadomienia otwiera aplikację, która pobiera żądanie przez HTTPS z Państwa appliance, sprawdza, czy zgadza się ono z powiadomieniem, i dopiero wtedy podpisuje zatwierdzenie.

Chmura Notakey: wersja uczciwa

Notakey Latvia, SIA to łotewska spółka działająca na podstawie prawa łotewskiego, bez amerykańskiej spółki matki. Nasza usługa chmurowa, notakey.cloud, działa w Oracle Cloud Infrastructure w regionie Frankfurt. Oracle to amerykańska firma, więc należy przyjąć, że warstwa hostingowa naszej chmury jest w zasięgu amerykańskich procedur prawnych, tak jak każda europejska usługa na AWS, Azure czy Google Cloud. Nie nazywamy oferty chmurowej suwerenną, bo nią nie jest.

Co przechowuje instancja chmurowa: nazwy użytkowników lub wybrane przez Państwa identyfikatory, klucze publiczne i certyfikaty zarejestrowanych urządzeń, tokeny push oraz podpisane zapisy zatwierdzeń. Nigdy nie przechowuje kluczy prywatnych, a hasła tylko wtedy, gdy zamiast podłączyć własny katalog, tworzą Państwo lokalnych użytkowników w panelu. Jeśli ekspozycja warstwy hostingowej ma dla Państwa znaczenie, appliance on-premise to ten sam produkt z tą samą aplikacją mobilną, a w przeliczeniu na użytkownika kosztuje mniej.

Trzy pytania do każdego dostawcy

Słowo „suwerenny” przykleja się dziś do wielu produktów. Pytania, które pozwalają przebić się przez tę etykietę, są takie same dla nas i dla wszystkich innych.

• ▪Na podstawie jakiego prawa działa firma przechowująca dane i czy ma spółkę matkę w innym kraju?
• ▪Kto obsługuje serwery i jakiemu prawu podlega ta firma?
• ▪Co trafia do Apple i Google, gdy w grę wchodzi telefon, i czy obejmuje to treść żądania?