I dati nel cloud: cifratura, chi detiene la chiave, e i link di condivisione

Un provider cloud ti dirà quasi sempre che i tuoi dati sono cifrati, e di solito è vero. È anche, da sola, un’affermazione piuttosto debole, perché tralascia il dettaglio che decide chi può effettivamente leggere quei dati se costretto, violato, o semplicemente curioso: chi detiene la chiave.

Cifratura a riposo e in transito, per impostazione predefinita

La documentazione di Google Cloud descrive ciò che fanno per impostazione predefinita la maggior parte dei grandi provider: “Tutti i dati archiviati da Google sono cifrati a livello di archiviazione usando l’algoritmo Advanced Encryption Standard (AES), AES-256”, applicato automaticamente, senza alcuna configurazione richiesta dal cliente. I dati in transito tra il tuo dispositivo e il provider sono protetti separatamente da TLS, trattato nel corso di crittografia di questa università. Questa base è davvero utile — protegge, ad esempio, contro qualcuno che ruba fisicamente un disco rigido da un data center — ma risponde solo a una parte della domanda.

Chi detiene la chiave cambia cosa protegge davvero

Per impostazione predefinita, Google Cloud afferma chiaramente: “possediamo e gestiamo le chiavi usate nella cifratura a riposo predefinita.” Questa è pratica standard in tutto il settore, ed è esattamente per questo che questa impostazione predefinita ti protegge dal furto fisico o da un aggressore esterno, ma non dal provider stesso: se il provider detiene la chiave, può tecnicamente accedere ai dati, e così può chiunque lo costringa legalmente a farlo. I provider offrono anche opzioni di chiavi gestite dal cliente per le organizzazioni che hanno bisogno di detenere le proprie chiavi, anche se questo aggiunge una vera complessità operativa — perdere la propria chiave senza un ripiego del provider può significare perdere i dati per sempre.

Opzioni con cifratura end-to-end: il cliente detiene l’unica chiave

Un numero minore di funzioni rivolte ai consumatori va oltre la cifratura a riposo gestita dal provider, estendendo la vera cifratura end-to-end (la garanzia esplorata nel corso di crittografia) allo stesso archivio cloud. La Protezione avanzata dei dati di Apple per iCloud ne è un esempio documentato: quando attivata, estende la cifratura end-to-end a Backup di iCloud, Foto, Note, iCloud Drive e altro, e Apple afferma che “i tuoi dispositivi attendibili mantengono l’accesso esclusivo alle chiavi di cifratura per la maggior parte dei tuoi dati di iCloud” — il che significa che Apple stessa non può decifrarli, nemmeno sotto costrizione legale, e lo dichiara chiaramente: “Nessun altro può accedere ai tuoi dati cifrati end-to-end — nemmeno Apple.” Il compromesso che Apple documenta insieme a questo è reale: poiché Apple non detiene alcuna chiave, non può nemmeno aiutare a recuperare quei dati se perdi l’accesso e non hai impostato in anticipo un contatto di recupero o una chiave di recupero. Protezione forte e recupero facile dell’account tirano in direzioni opposte, e la Protezione avanzata dei dati ti chiede di scegliere.

I link di condivisione: il modo silenzioso in cui i dati escono dal modello sopra

Tutto quanto sopra può essere annullato da una singola condivisione fatta con leggerezza. Un’impostazione “chiunque abbia il link può visualizzare” su un documento cloud trasforma una forte cifratura a riposo in qualcosa di simile a una pagina web pubblica: il link stesso diventa l’unica cosa che sta tra i tuoi dati e chiunque lo riceva, lo inoltri, o lo indovini. Questo conta più di quanto possa sembrare, perché tali link vengono inoltrati banalmente oltre il destinatario previsto, finiscono spesso indicizzati o memorizzati nella cache in luoghi inaspettati, e raramente scadono da soli. Prima di condividere qualcosa di sensibile, vale la pena verificare se il link può essere limitato a persone specifiche che devono già aver effettuato l’accesso, dotato di una data di scadenza, e revocato una volta che non serve più — opzioni che la maggior parte dei grandi provider offre ma non attiva per impostazione predefinita.