Guía de solicitudes de datos policiales y gubernamentales DigitalOcean

Esta guía ofrece orientación general y práctica para agentes del orden, fiscales e investigadores de ciberdelincuencia que necesiten datos de DigitalOcean, un proveedor de alojamiento en la nube con sede en EE. UU. No constituye asesoramiento legal. Cada solicitud descrita aquí asume que usted actúa bajo la autoridad legal adecuada en su jurisdicción y que seguirá las leyes y procedimientos que rigen la divulgación obligatoria donde usted opera. DigitalOcean publica sus propias Law Enforcement Guidelines y opera una Trust Platform; este artículo resume ese material público y explica cómo ponerlo en práctica, pero los términos publicados actualmente por el proveedor siempre prevalecen.

Qué almacena DigitalOcean

DigitalOcean vende infraestructura como servicio: Droplets (máquinas virtuales), Spaces (almacenamiento de objetos), App Platform, bases de datos gestionadas e instantáneas. Debido a que realmente ejecuta los servidores subyacentes, los datos que puede almacenar van mucho más allá de lo que un proxy de front-end puede ofrecer. Las categorías realistas son:

• Datos de cuenta y registro: nombre y apellidos del cliente, dirección de correo electrónico, número de teléfono, dirección física y la dirección IP con fecha y hora desde la que se creó la cuenta o recurso.
• Datos de facturación y pago: registros de transacciones vinculados a procesadores como PayPal o Stripe, que pueden ser un vínculo sólido con una identidad real.
• Contenido del servidor e instantáneas: el contenido del Droplet de un cliente, almacenamiento de objetos y copias de seguridad o instantáneas. Estos son datos de contenido y conllevan el umbral legal más alto.
• Registros de acceso y autenticación: registros de seguridad y acceso que pueden revelar la actividad y los movimientos de un usuario durante un período de tiempo, además de la configuración de la cuenta o del recurso.
• Asignaciones de IP: qué cliente tenía asignada una dirección IP determinada en una fecha, hora y zona horaria específicas.

Informes de abuso frente a procesos legales

Existen dos canales distintos, y elegir el correcto es importante.

• Los informes de abuso se envían a [email protected] (o mediante el formulario web en digitalocean.com/company/contact). Utilice esto para denunciar phishing, comando y control de malware, sitios de fraude, nodos de botnets u otras violaciones de la Política de Uso Aceptable alojadas en DigitalOcean. Incluya la dirección IP, las URL, las marcas de tiempo con zona horaria y los registros de respaldo. Esta vía puede lograr que un sitio malicioso o un Droplet sea eliminado, pero no le entregará datos de suscriptor.
• El proceso legal es cómo usted obtiene registros de clientes, logs o contenido. Debe enviarse a través del Law Enforcement Request Portal de DigitalOcean, alojado en Kodex, donde usted crea una cuenta verificada de fuerzas del orden.

Muchas operaciones abusivas se alojan en máquinas virtuales en la nube baratas precisamente porque son rápidas de crear y descartar, lo que convierte a DigitalOcean en un objetivo común tanto para la eliminación de contenido como para la obtención de datos. Presentar un informe de abuso y presentar un proceso legal no son mutuamente excluyentes; los investigadores a menudo hacen ambas cosas.

Procesos legales y umbrales

DigitalOcean se rige por la Ley de Privacidad de las Comunicaciones Electrónicas de EE. UU. (ECPA / Stored Communications Act), que establece una estructura escalonada: cuanto más sensibles sean los datos, mayor será el estándar legal. Excepto en emergencias, DigitalOcean divulga información protegida solo bajo un proceso válido.

Preservación frente a producción

Una solicitud de preservación pide a DigitalOcean que copie y almacene de forma segura los datos del suscriptor y/o el contenido en previsión de un futuro proceso legal. No es una demanda para producir nada. Ante una solicitud de preservación válida, DigitalOcean preserva la información de cuenta disponible en un archivo fuera de línea por hasta 90 días, y la extenderá por un período adicional de 90 días ante una solicitud renovada. Utilice la preservación como su primer movimiento en el momento en que identifique una IP o cuenta relevante, luego elabore y presente la citación, orden u orden judicial apropiada para obtener realmente los datos.

Divulgación de emergencia

Cuando existe una amenaza inminente de muerte o daño físico grave a una víctima identificable, DigitalOcean puede divulgar información del usuario sin una citación u orden judicial. Estas solicitudes de emergencia se realizan a través del Law Enforcement Request Portal y deben explicar claramente la naturaleza de la emergencia, el daño específico, por qué se necesitan los datos sin demora y la información limitada que se busca. La divulgación de emergencia es para exigencias genuinas, no un atajo para evitar el proceso rutinario.

Fuerzas del orden extranjeras y MLAT

DigitalOcean es una empresa estadounidense, por lo que la ley de EE. UU. se aplica a la divulgación obligatoria. Las autoridades fuera de los Estados Unidos generalmente no pueden obligar directamente a la entrega de contenido. Las vías reconocidas son una orden judicial de EE. UU., una solicitud realizada a través de un tratado de asistencia jurídica mutua (MLAT) aplicable, o una orden de un gobierno extranjero que califique bajo un marco transfronterizo como 18 U.S.C. 2523 (por ejemplo, un acuerdo ejecutivo de la CLOUD Act). El MLAT puede ser lento, por lo que los investigadores extranjeros deben enviar una solicitud de preservación temprano para mantener los datos activos mientras se ejecuta el canal formal. Algunas solicitudes de suscriptores básicos que no implican contenido pueden manejarse con mayor facilidad, pero el contenido casi siempre requiere la vía formal reconocida por EE. UU.

El flujo de trabajo práctico

1. Atribuya el objetivo. Establezca la dirección IP del Droplet, sitio o punto final de almacenamiento abusivo y confirme a través de WHOIS / RDAP que la IP se encuentra dentro del rango de DigitalOcean. Registre la fecha, la hora y la zona horaria de la actividad.
2. Preserve inmediatamente. Envíe una solicitud de preservación a través del Kodex Law Enforcement Request Portal para que el contenido del servidor, las instantáneas y los registros no se destruyan antes de que su proceso llegue a su destino.
3. Presente un informe de abuso si es necesario retirar el contenido. Para daños en tiempo real, envíe la IP, las URLs, las marcas de tiempo y los registros a [email protected] en paralelo.
4. Haga coincidir el instrumento legal con los datos. Citación para datos de suscriptor/facturación, orden 2703(d) para registros, orden de registro para contenido. Mantenga cada solicitud limitada y vinculada a la IP preservada y al rango de fechas.
5. Notifique a través del portal. Envíe a través de su cuenta verificada de Kodex, el canal que utiliza DigitalOcean para recibir y responder a procesos legales.
6. Planifique la notificación al cliente. Asuma que se le informará al cliente a menos que obtenga una orden de no divulgación; incorpore esto en su cronograma (consulte las FAQ).
7. Corrobore. Trate los datos de cuenta y pago devueltos como una pista y confirme la identidad de forma independiente antes de actuar sobre ellos.

Preguntas frecuentes

¿DigitalOcean le dirá al cliente sobre mi solicitud? Sí, de forma predeterminada. DigitalOcean notifica a los propietarios de cuentas afectados enviando un correo electrónico a su dirección verificada y proporciona una copia del proceso legal, y en la mayoría de los casos se le otorgan al usuario 7 días calendario para presentar una objeción ante el tribunal. Para evitar la notificación, necesita una orden judicial de no divulgación o de sellado presentada con su solicitud.

¿Puede DigitalOcean realmente darme el contenido de un servidor? Sí, cuando lo posee. Debido a que DigitalOcean aloja las máquinas virtuales y el almacenamiento reales, una orden de registro válida puede obligar a entregar el contenido del Droplet, las instantáneas y el almacenamiento de objetos de un cliente. Esta es una diferencia clave con respecto a un proxy o CDN, que normalmente solo contiene metadatos y registros.

¿Qué sucede si el cliente utilizó otro proveedor detrás de DigitalOcean, o viceversa? Siga la infraestructura. Si un sitio utiliza una CDN frente a un Droplet de DigitalOcean, es posible que necesite que la CDN revele la IP de origen y luego notificar a DigitalOcean para obtener los datos del host. Por el contrario, la atribución puede encadenarse a un procesador de pagos o a un servicio operado por separado.

¿Cuánto tiempo conserva DigitalOcean los registros? DigitalOcean no publica un período de retención universal fijo para todos los datos, y los registros pueden sobrescribirse. No asuma que los datos seguirán existiendo; envíe una solicitud de preservación tan pronto como tenga una IP y un rango de fechas.

Guías relacionadas

• Evidencia en la nube: obtención de datos de AWS, Azure y Google Cloud
• Solicitud de datos de las fuerzas del orden a Cloudflare: guía para la policía y el gobierno
• Atribución de IP y dominio: convertir una dirección en un sospechoso

Para obtener el directorio completo de portales de solicitudes de las fuerzas del orden de las plataformas, consulte nuestro centro de portales LERS.

Imagen principal: Cableado de servidor en un centro de datos. · Crédito: Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · fuente