Modul 1 · 1.1
Vad är molnet, och vem kan komma åt dina data?
Modul 1: Varför ett europeiskt moln? · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du förklara vad "molnet" är, vilka parter som kan komma åt dina data och varför datacentrets plats inte är hela historien.
Nyckelbegrepp: moln, SaaS, PaaS, IaaS, leverantör, datacenter, jurisdiktion, administratörsåtkomst, kryptering under överföring, kryptering i vila, totalsträckskryptering (end to end), nyckelhantering
Molnet är någon annans dator
"Molnet" låter som något vagt som svävar ovanför oss. I verkligheten är det väldigt konkret: dina filer, mejl och kalender finns på datorer (servrar) som ägs av ett annat företag, i en byggnad full av servrar: ett datacenter. Du hyr en liten del av de datorerna och använder den via internet.
Ta Bakkerij De Korrel (Gryn), ett bageri med tolv anställda och domännamnet example.com. Ägaren, Sanne, har i flera år använt ett känt paket från ett stort amerikanskt techföretag: mejl på info@example.com, en delad kalender för utkörningsrutterna, recept och offerter i onlinemappar och en chatt med personalen. Det fungerar bra. Men Sanne vet egentligen inte var de uppgifterna finns, och vem som kan komma åt dem.
Tre typer av moln
Du stöter på tre förkortningar. Skillnaden ligger i hur mycket leverantören sköter åt dig:
| Typ | Vad du hyr | Exempel | Vad du gör själv |
|---|---|---|---|
| SaaS (software as a service) | En färdig tjänst | Mejl online, onlinelagring, onlinekontorspaket | Bara använda och ställa in |
| PaaS (platform as a service) | En plattform att köra din egen programvara på | En hanterad databas eller webbhotell | Underhålla din egen applikation |
| IaaS (infrastructure as a service) | Bara servrar, lagring och nätverk | En virtuell server (VPS) | Allt från operativsystemet och uppåt |
Den här kursen handlar framför allt om SaaS: de tjänster som en liten organisation använder varje dag. Vid SaaS sköter leverantören nästan allt. Det är bekvämt, men det betyder också att leverantören har nästan allt i sin hand.
Vem kan komma åt dina data?
När dina data finns hos en molntjänst är det fler parter än bara du själv som i princip kan komma åt dem:
- Du och dina kollegor, med era konton. Och alla du delar något med.
- Leverantören: administratörer som underhåller systemen, supportpersonal som hjälper dig, och automatiska system (till exempel spamfilter eller virusskanner) som läser dina data för att göra sitt jobb.
- Parter som leverantören anlitar: datacentret, ett företag som sköter supporten i ett annat land, en backupleverantör. De kallas underbiträden (lektion 1.2 och 9.2).
- Myndigheter: polis, åklagare och underrättelsetjänster i det land som leverantören lyder under, om lagen tillåter det. Vilka lagar det handlar om kan du läsa om i lektion 1.3.
- Angripare, om säkerheten brister eller om någon kommer över ditt lösenord.
Punkt 1 och 5 styr du till stor del själv, med bra lösenord och tvåfaktorsautentisering (2FA) (lektion 7.3). Punkt 2, 3 och 4 beror på vilken leverantör du väljer. Det är det den här kursen handlar om.
Varför datacentret inte är hela historien
Många leverantörer säger numera: "Dina data finns i Europa." Det är bra, men det är bara en del av svaret. Det finns tre lager:
- Var finns servern? Landet där datacentret ligger. Det avgör till exempel vilken polis som fysiskt kan komma åt maskinen.
- Vem är leverantören, och vem är ägaren? Ett företag lyder under lagen i det land där det är etablerat. Om den europeiska leverantören är ett dotterbolag till ett amerikanskt företag kan det amerikanska moderbolaget av en amerikansk domstol tvingas lämna ut data som det har "i sin makt", även om de finns i Europa.
- Vem har nyckeln? Om data är krypterade är frågan vem som kan dekryptera dem.
Ordet för "under vilken lagstiftning något lyder" är jurisdiktion. En server i Frankfurt som tillhör ett företag med ett moderbolag i USA lyder alltså under två jurisdiktioner samtidigt. I lektion 2.1 lär du dig fem frågor som du kan använda för att ta reda på detta hos vilken leverantör som helst.
Kryptering: tre typer, en avgörande fråga
Att kryptera betyder att göra data oläsliga för alla utan rätt nyckel. Du stöter på tre typer:
| Typ | Vad skyddar den? | Vem kan komma åt den? |
|---|---|---|
| Kryptering under överföring (https, TLS) | Data mellan din enhet och servern | Leverantören ser allt så snart det anländer |
| Kryptering i vila (krypterade diskar) | Data på diskarna i datacentret, till exempel om en disk blir stulen | Leverantören har nyckeln och kan alltså läsa data |
| Totalsträckskryptering (end to end, e2e) | Data är bara läsbara på dina egna enheter | Bara du (och den du ger nyckeln till) |
Den avgörande frågan är alltid: vem hanterar nyckeln? Vid kryptering under överföring och i vila är det leverantören. Det behövs, för annars kan leverantören inte visa dina filer i webbläsaren, inte göra dem sökbara och inte låta dig redigera dem i ett onlinekontorspaket. Det betyder också: om leverantören tvingas lämna ut data kan den göra det rent tekniskt.
Totalsträckskryptering löser det, men det kostar bekvämlighet. Att tillsammans arbeta i webbläsaren med ett dokument, söka i innehållet och återställa ett lösenord fungerar då oftast inte. Och tappar du bort nyckeln kan ingen längre öppna dina filer. För de flesta av ett bageris data behövs ingen e2e, men för till exempel en mapp med personalakter kan det vara värt att överväga.
Vad det här betyder för Bakkerij De Korrel
Sanne går igenom det hela. Hennes mejl, kalender och filer finns hos ett amerikanskt företag. Enligt det företagets webbplats finns uppgifterna "i Europa". Men företaget självt lyder under amerikansk rätt, och det är företaget som har nycklarna. Det är ingen anledning till panik: inget har gått fel. Men Sanne har ingen insyn i vem som kan komma åt informationen i framtiden, och hon har inget inflytande över reglerna. Det är precis den fråga den här kursen handlar om: vill du att det ska förbli så, och om inte, hur byter du då utan att förlora något?
Viktigt att säga direkt: en europeisk leverantör är inte automatiskt säkrare. En dåligt skyddad europeisk tjänst är sämre än en väl skyddad amerikansk. Det handlar om två saker samtidigt: bra säkerhet och en jurisdiktion vars regler du känner till och kan få prövade av en europeisk domstol.
Det här är en förklaring, inte juridisk rådgivning.
I praktiken: så här ser det ut hos en leverantör
En leverantör bör kunna svara på de här frågorna utan problem. Hos WebOké står det till exempel i Nextcloud-manualen: uppgifterna finns i två nederländska datacenter, trafiken går via https, diskarna är krypterade, och den som vill kan slå på totalsträckskryptering för en mapp, med de begränsningar det innebär. Andra europeiska leverantörer har liknande sidor, ofta under namn som "Säkerhet", "Trust center" eller "Integritet". Står det ingenstans, fråga då. En leverantör som inte kan säga var dina data finns och vem som kan komma åt dem är inget bra val.
Sammanfattning
- Molnet är någon annans dator: servrar i ett företags datacenter.
- Vid SaaS sköter leverantören nästan allt, och har därmed också nästan allt i sin hand.
- Förutom du själv kan leverantören, dess underbiträden, myndigheter och angripare i princip komma åt dina data.
- Datacentrets plats är ett lager; leverantörens etablering och ägare avgör också vilken lagstiftning dina data lyder under.
- Vid kryptering under överföring och i vila har leverantören nyckeln; bara vid totalsträckskryptering har du den själv, med mindre bekvämlighet som följd.
Quiz
Uppgift
Uppgift A1.1: Var finns din data nu? Fyll i ditt eget domännamn (eller ett domän som tillhör din organisation). Programmet söker upp var din e post kommer in (MX) och var din webbplats ligger (A/AAAA), samt vilken nätverksägare de IP-adresserna tillhör. Du fyller i förväg i vilket företag och vilket land du förväntar dig. Sedan jämför du.
Uppgift E1.1: Vem kommer åt vad? Välj en tjänst du använder dagligen (mejl, lagring eller chatt). Sök på leverantörens webbplats upp var uppgifterna finns, vilket företag leverantören är och var det är etablerat, samt vilken typ av kryptering som används. Fyll i de fem parterna från den här lektionen för den tjänsten.
Uppgift E1.1: Vem kommer åt vad?
Välj en tjänst (e-post, lagring eller chatt) och sök upp informationen på leverantörens webbplats.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i de här artiklarna gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.
- Nextcloud-guide 1.1: Vad är Nextcloud och vad är en WebOké Nextcloud?
- Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
- Nextcloud-guide 3.9: End-to-end-kryptering: när ja, när nej
- WebOké manual 14.3: WHOIS, IP lookup och SSL-kontroll
- NIST SP 800-145, The NIST Definition of Cloud Computing (definition av SaaS, PaaS och IaaS)