Зашифрованное облачное хранилище: полное руководство

Проблема стандартных облачных хранилищ

Облачное хранилище стало незаменимым. Документы, фотографии, резервные копии, рабочие файлы — мы храним всё большую часть нашей цифровой жизни на удалённых серверах. Такие сервисы, как Google Диск, iCloud, Dropbox и OneDrive, делают это простым. Но простота не означает конфиденциальность.

Когда вы загружаете файл в стандартное облачное хранилище, компания может получить доступ к вашим данным. Они шифруют их для защиты от внешних хакеров, но хранят ключи шифрования у себя. Это означает, что сотрудники компании потенциально могут получить доступ к вашим файлам. Компания может сканировать ваш контент для различных целей. Государственные органы с соответствующими полномочиями могут получить ваши данные. Взлом систем компании раскрывает ваши незашифрованные файлы.

Google прямо указывает, что сканирует файлы в Google Диске для «обнаружения злоупотреблений, таких как спам, вредоносное ПО и незаконный контент». Dropbox обрабатывает метаданные файлов и хеши содержимого. Apple может получить доступ к данным iCloud, если не включена расширенная защита данных (которая не активирована по умолчанию). Удобство стандартного облачного хранилища обходится дорогой ценой для конфиденциальности.

Три уровня облачного шифрования

Уровень 1: Транспортное шифрование (HTTPS)

Все надёжные облачные провайдеры шифруют данные при передаче между вашим устройством и их серверами с помощью TLS/HTTPS. Это предотвращает перехват во время передачи, но не обеспечивает защиту после того, как ваши данные попадут на сервер. Ваши файлы прибывают зашифрованными, расшифровываются на сервере и хранятся в виде, доступном провайдеру.

Уровень 2: Серверное шифрование

Такие провайдеры, как Google и Dropbox, шифруют ваши файлы на своих серверах с помощью ключей, которыми они управляют. Это защищает от физической кражи жёстких дисков и определённых типов взлома серверов, но провайдер сохраняет полный доступ к вашим данным. Именно такой стандарт предлагает большинство массовых провайдеров.

Уровень 3: Клиентское шифрование с нулевым разглашением

При шифровании с нулевым разглашением ваши файлы шифруются на вашем устройстве до загрузки. Ключи шифрования никогда не покидают ваше устройство, и провайдер не может получить к ним доступ. Сервер хранит только зашифрованные данные, которые не может прочитать. Это единственный уровень, обеспечивающий подлинную конфиденциальность, и именно его реализует ShadowVault для своего облачного хранилища.

Нулевое разглашение: единственная настоящая конфиденциальность

Шифрование с нулевым разглашением — это единственная архитектура, обеспечивающая математическую уверенность в конфиденциальности ваших облачных данных. При серверном шифровании вы должны доверять провайдеру, что он не будет обращаться к вашим данным — доверие, основанное на политике, а не на технологии. При шифровании с нулевым разглашением провайдер архитектурно не способен получить доступ к вашим данным, независимо от политики, юридического давления или внутренних злоупотреблений.

Практические последствия значительны. Если провайдер с нулевым разглашением подвергнется взлому, атакующие получат только зашифрованные данные, которые не смогут прочитать. Если провайдер получит правительственную повестку, он может предоставить только зашифрованные данные. Если недобросовестный сотрудник попытается получить доступ к данным пользователей, система предотвратит это на уровне архитектуры, а не только политики.

Это особенно важно для конфиденциальных данных: финансовых документов, медицинских записей, юридической переписки, личных фотографий, бизнес-планов и интеллектуальной собственности. Любые данные, которые вы не хотели бы показывать незнакомцу, должны храниться с шифрованием с нулевым разглашением.

Как работает зашифрованное облачное хранилище

Технический процесс за зашифрованным облачным хранилищем с нулевым разглашением следует чёткой логике:

1. Генерация ключа — При создании аккаунта мастер-ключ шифрования выводится из вашего пароля на вашем устройстве с помощью функции деривации ключа (например, Argon2). Этот ключ никогда не передаётся на сервер.
2. Шифрование файла — Перед загрузкой каждый файл шифруется с помощью AES-256 (или эквивалента) уникальным ключом файла. Ключ файла сам шифруется вашим мастер-ключом. Это означает, что даже отдельные ключи файлов защищены.
3. Шифрование метаданных — Имена файлов, структуры папок и другие метаданные также шифруются. Сервер не знает имена или типы файлов, которые вы храните.
4. Загрузка — Зашифрованный файл и зашифрованные метаданные загружаются на сервер. Сервер хранит их как непрозрачные двоичные объекты.
5. Скачивание и дешифрование — Когда вы обращаетесь к файлу, зашифрованные данные скачиваются на ваше устройство. Ваш мастер-ключ (выведенный из пароля) расшифровывает ключ файла, который расшифровывает файл. Всё это происходит локально.

Риски незашифрованного облачного хранилища

Использование облачного хранилища без шифрования с нулевым разглашением подвергает вас нескольким конкретным рискам:

• Утечки данных — Облачные провайдеры являются высокоценными целями. Когда (не если) они подвергаются взлому, ваши незашифрованные файлы оказываются раскрыты. Dropbox был взломан в 2012 году, что привело к утечке 68 миллионов аккаунтов. Аккаунты iCloud были скомпрометированы в 2014 году. Ни один провайдер не является неуязвимым.
• Государственная слежка — В рамках таких программ, как PRISM, спецслужбы имеют прямой доступ к данным, хранящимся у крупных технологических компаний. Постановление суда FISA может обязать любого американского провайдера передать данные пользователей без их ведома.
• Доступ сотрудников — Внутренний контроль доступа настолько надёжен, насколько надёжны люди, которые его реализуют. Были случаи, когда недобросовестные сотрудники облачных компаний обращались к данным пользователей в личных целях.
• Изменения условий обслуживания — Провайдеры могут изменить свою политику обработки данных в любое время. Данные, загруженные при одной политике конфиденциальности, могут использоваться иначе при будущих политиках.
• Корпоративные поглощения — Если ваш провайдер будет приобретён, ваши данные могут быть переданы компании с совершенно другими стандартами конфиденциальности.

Как выбрать зашифрованного провайдера

При оценке провайдеров зашифрованного облачного хранилища обращайте внимание на следующие критерии:

• Клиентское шифрование — Убедитесь, что шифрование происходит на вашем устройстве до загрузки, а не на сервере.
• Архитектура с нулевым разглашением — Подтвердите, что провайдер не может получить доступ к вашим ключам шифрования или вашим данным.
• Алгоритм шифрования — Ищите AES-256 или эквивалент. Избегайте проприетарных или непроверенных алгоритмов.
• Независимый аудит безопасности — Проходила ли платформа аудит от авторитетной третьей стороны?
• Открытый исходный код — Можно ли независимо проверить код?
• Юрисдикция — Где зарегистрирована компания и какие законы применяются к запросам данных?
• Шифрование метаданных — Шифрует ли провайдер имена файлов и метаданные, или только содержимое файлов?
• Варианты восстановления ключей — Что произойдёт, если вы забудете пароль? Истинное нулевое разглашение означает, что провайдер не может помочь вам восстановить данные, но некоторые предлагают варианты с ключом восстановления.

Сравнение провайдеров

Самостоятельное шифрование для существующего облака

Если вы ещё не готовы менять провайдера, можно добавить шифрование к существующему облачному хранилищу. Cryptomator — это инструмент с открытым исходным кодом, который создаёт зашифрованные хранилища, синхронизирующиеся с любым облачным провайдером. Вы работаете с файлами обычным образом внутри хранилища, а Cryptomator автоматически обрабатывает шифрование и дешифрование. Зашифрованные файлы синхронизируются с вашим облачным провайдером, но провайдер видит только зашифрованные данные.

Другой вариант — VeraCrypt, который создаёт зашифрованные тома, которые можно хранить на любом облачном сервисе. VeraCrypt обеспечивает надёжное шифрование, но менее удобен для регулярного доступа к файлам, поскольку весь том должен быть доступен локально.

Хотя самостоятельные решения работают, они добавляют сложность и потенциальные точки отказа. Изначально зашифрованный облачный сервис, такой как ShadowVault, обеспечивает более цельный опыт, где шифрование встроено в рабочий процесс, а не наложено сверху.

Лучшие практики облачной безопасности

1. Используйте хранилище с нулевым разглашением для конфиденциальных файлов — ShadowVault предоставляет это изначально.
2. Поддерживайте локальные резервные копии — Облачное хранилище должно дополнять, а не заменять локальные резервные копии. Следуйте правилу 3-2-1: три копии, два разных носителя, одна удалённая.
3. Используйте надёжные уникальные пароли — Ваш пароль от облачного хранилища защищает все ваши хранящиеся данные. Используйте самый надёжный пароль, какой можете.
4. Включите двухфакторную аутентификацию — Добавьте дополнительный уровень защиты для предотвращения несанкционированного доступа, даже если ваш пароль скомпрометирован.
5. Регулярно проверяйте доступ — Проверяйте, какие устройства и приложения имеют доступ к вашему облачному хранилищу. Отзывайте ненужный доступ.
6. Шифруйте перед загрузкой конфиденциальных файлов — Даже при использовании зашифрованного хранилища дополнительное шифрование наиболее важных документов обеспечивает глубокую защиту.
7. Будьте осторожны с общим доступом — Общие файлы и папки могут не сохранять ту же защиту шифрования. Проверяйте, как общий доступ работает с моделью шифрования вашего провайдера.