Dados na nuvem: criptografia, quem guarda a chave e links de compartilhamento

Um provedor de nuvem quase sempre vai dizer que seus dados estão criptografados, e isso costuma ser verdade. Também é, por si só, uma afirmação bastante fraca, porque deixa de fora o detalhe que decide quem realmente consegue ler esses dados se for compelido, sofrer uma invasão, ou simplesmente ficar curioso: quem guarda a chave.

Criptografia em repouso e em trânsito, por padrão

A documentação do Google Cloud descreve o que a maioria dos grandes provedores faz por padrão: “todos os dados armazenados pelo Google são criptografados na camada de armazenamento usando o algoritmo Advanced Encryption Standard (AES), AES-256”, aplicado automaticamente, sem exigir configuração do cliente. Os dados em trânsito entre seu dispositivo e o provedor são protegidos separadamente por TLS, abordado no curso de criptografia desta universidade. Essa base é genuinamente útil — ela protege, por exemplo, contra o roubo físico de um disco rígido de um data center — mas responde apenas parte da pergunta.

Quem guarda a chave muda o que a proteção realmente cobre

Por padrão, o Google Cloud afirma claramente: “nós possuímos e gerenciamos as chaves usadas na criptografia padrão em repouso”. Essa é a prática comum em todo o setor, e é exatamente por isso que esse padrão protege você contra roubo físico ou um atacante externo, mas não contra o próprio provedor: se o provedor guarda a chave, ele tecnicamente consegue acessar os dados, e o mesmo vale para qualquer um que o compela legalmente a fazê-lo. Os provedores também oferecem opções de chaves gerenciadas pelo cliente para organizações que precisam guardar suas próprias chaves, embora isso traga complexidade operacional real — perder sua própria chave sem um plano de contingência do provedor pode significar perder os dados de forma permanente.

Opções de ponta a ponta: só o cliente guarda a chave

Um número menor de recursos voltados ao consumidor vai além da criptografia em repouso gerenciada pelo provedor, estendendo a verdadeira criptografia de ponta a ponta (a garantia explorada no curso de criptografia) ao próprio armazenamento em nuvem. A Proteção Avançada de Dados da Apple para o iCloud é um exemplo documentado: quando ativada, ela estende a criptografia de ponta a ponta ao Backup do iCloud, Fotos, Notas, iCloud Drive e mais, e a Apple afirma que “seus dispositivos confiáveis retêm o acesso exclusivo às chaves de criptografia para a maioria dos seus dados do iCloud” — ou seja, a própria Apple não consegue descriptografá-los, nem mesmo sob ordem judicial, e afirma isso claramente: “ninguém mais pode acessar seus dados criptografados de ponta a ponta — nem mesmo a Apple”. A contrapartida que a Apple documenta junto com isso é real: como a Apple não guarda nenhuma chave, ela também não consegue ajudar a recuperar esses dados se você perder o acesso e não tiver configurado um contato de recuperação ou uma chave de recuperação com antecedência. Proteção forte e recuperação de conta fácil puxam em direções opostas, e a Proteção Avançada de Dados pede que você escolha.

Links de compartilhamento: a forma silenciosa de os dados escaparem desse modelo

Tudo isso pode ser desfeito por um único compartilhamento descuidado. Uma configuração do tipo “qualquer pessoa com o link pode ver” em um documento na nuvem transforma uma criptografia forte em repouso em algo mais parecido com uma página pública na web: o próprio link passa a ser a única coisa entre seus dados e qualquer um que o receba, encaminhe ou adivinhe. Isso importa mais do que parece, porque esses links são encaminhados com facilidade para além do destinatário pretendido, muitas vezes acabam indexados ou armazenados em cache em lugares inesperados, e raramente expiram sozinhos. Antes de compartilhar algo sensível, vale a pena verificar se o link pode ser restrito a pessoas específicas que já precisem estar conectadas, receber uma data de expiração e ser revogado quando não for mais necessário — opções que a maioria dos grandes provedores oferece, mas não ativa por padrão.