Guide des demandes de données judiciaires pour DigitalOcean

Ce guide offre des conseils pratiques et généraux aux agents des forces de l'ordre, aux procureurs et aux enquêteurs spécialisés dans la cybercriminalité qui ont besoin de données provenant de DigitalOcean, un fournisseur d'hébergement cloud basé aux États-Unis. Il ne s'agit pas d'un conseil juridique. Chaque demande décrite ici suppose que vous agissez sous une autorité légale appropriée dans votre juridiction et que vous respecterez les lois et procédures régissant la divulgation forcée là où vous opérez. DigitalOcean publie ses propres Law Enforcement Guidelines et exploite une Trust Platform ; cet article résume ces documents publics et explique comment les utiliser, mais les conditions publiées actuellement par le fournisseur prévalent toujours.

Ce que détient DigitalOcean

DigitalOcean vend de l'infrastructure en tant que service (IaaS) : des Droplets (machines virtuelles), des Spaces (stockage d'objets), App Platform, des bases de données gérées et des snapshots. Comme l'entreprise exploite réellement les serveurs sous-jacents, les données qu'elle peut détenir vont bien au-delà de ce qu'un proxy frontal peut offrir. Les catégories réalistes sont :

• Données de compte et d'enregistrement : le nom et le prénom du client, son adresse e-mail, son numéro de téléphone, son adresse physique et l'adresse IP horodatée à partir de laquelle le compte ou la ressource a été créé(e).
• Données de facturation et de paiement : les enregistrements de transactions liés à des processeurs tels que PayPal ou Stripe, qui peuvent constituer un lien fort vers une identité réelle.
• Contenu des serveurs et snapshots : le contenu du Droplet d'un client, le stockage d'objets ainsi que les sauvegardes ou snapshots. Il s'agit de données de contenu, soumises au seuil juridique le plus élevé.
• Journaux d'accès et d'authentification : les journaux de sécurité et d'accès qui peuvent révéler l'activité et les mouvements d'un utilisateur sur une période donnée, ainsi que les paramètres du compte ou de la ressource.
• Attributions d'adresses IP : quel client s'est vu attribuer une adresse IP donnée à une date, une heure et un fuseau horaire spécifiques.

Signalements d'abus vs procédure judiciaire

Il existe deux canaux distincts, et il est important de choisir le bon.

• Les signalements d'abus doivent être envoyés à [email protected] (ou via le formulaire web sur digitalocean.com/company/contact). Utilisez ce canal pour signaler le phishing, le contrôle de serveurs de logiciels malveillants, les sites de fraude, les nœuds de botnets ou toute autre violation de la politique d'utilisation acceptable hébergée sur DigitalOcean. Incluez l'adresse IP, les URL, les horodatages avec fuseau horaire et les journaux justificatifs. Cette voie peut permettre de faire supprimer un site malveillant ou un Droplet, mais elle ne vous permettra pas d'obtenir les données de l'abonné.
• La procédure judiciaire est le moyen par lequel vous obtenez les dossiers, journaux ou contenus des clients. Elle doit être soumise via le Law Enforcement Request Portal de DigitalOcean, hébergé sur Kodex, où vous devez créer un compte vérifié pour les forces de l'ordre.

De nombreuses opérations abusives utilisent des machines virtuelles cloud bon marché précisément parce qu'elles sont rapides à créer et à supprimer, ce qui fait de DigitalOcean une cible courante tant pour les demandes de suppression que pour les demandes de données. Déposer un signalement d'abus et engager une procédure judiciaire ne sont pas mutuellement exclusifs ; les enquêteurs font souvent les deux.

Procédure judiciaire et seuils

DigitalOcean est régi par l'Electronic Communications Privacy Act (ECPA / Stored Communications Act) des États-Unis, qui établit une structure hiérarchisée : plus les données sont sensibles, plus la norme juridique est élevée. Sauf en cas d'urgence, DigitalOcean ne divulgue des informations protégées que sur la base d'une procédure valide.

Conservation vs production

Une demande de conservation demande à DigitalOcean de copier et de stocker en toute sécurité les données de l'abonné et/ou le contenu en prévision d'une future procédure judiciaire. Il ne s'agit pas d'une demande de production. Sur réception d'une demande de conservation valide, DigitalOcean conserve les informations disponibles sur le compte dans un fichier hors ligne pendant une durée maximale de 90 jours, et la prolongera pour une période supplémentaire de 90 jours sur demande renouvelée. Utilisez la conservation comme première mesure dès que vous identifiez une IP ou un compte pertinent, puis préparez et servez l'assignation, l'ordonnance ou le mandat approprié pour obtenir réellement les données.

Divulgation d'urgence

En cas de menace imminente de décès ou de dommages corporels graves pour une victime identifiable, DigitalOcean peut divulguer des informations sur l'utilisateur sans assignation ni mandat. Ces demandes d'urgence sont effectuées via le Law Enforcement Request Portal et doivent expliquer clairement la nature de l'urgence, le préjudice spécifique, la raison pour laquelle les données sont nécessaires sans délai, et les informations précises recherchées. La divulgation d'urgence est réservée aux situations d'exigence réelle, et non comme un raccourci pour contourner la procédure habituelle.

Forces de l'ordre étrangères et MLAT

DigitalOcean est une entreprise américaine, le droit américain s'applique donc à la divulgation forcée. Les autorités situées en dehors des États-Unis ne peuvent généralement pas contraindre directement à la divulgation de contenu. Les voies reconnues sont une ordonnance d'un tribunal américain, une demande effectuée via un traité d'entraide judiciaire (MLAT) applicable, ou une ordonnance d'un gouvernement étranger qui se qualifie dans le cadre d'un dispositif transfrontalier tel que le 18 U.S.C. 2523 (par exemple, un accord exécutif CLOUD Act). Le processus MLAT peut être lent ; les enquêteurs étrangers doivent donc envoyer une demande de conservation rapidement pour maintenir les données disponibles pendant que le canal formel suit son cours. Certaines demandes concernant des données d'abonné de base (hors contenu) peuvent être traitées plus facilement, mais le contenu nécessite presque toujours le recours à la voie formelle reconnue par les États-Unis.

Le flux de travail pratique

1. Attribuez la cible. Établissez l'adresse IP du Droplet, du site ou du point de terminaison de stockage abusif et confirmez via WHOIS / RDAP que l'adresse IP se trouve dans la plage de DigitalOcean. Enregistrez la date, l'heure et le fuseau horaire de l'activité.
2. Préservez immédiatement. Soumettez une demande de conservation via le Kodex Law Enforcement Request Portal afin que le contenu du serveur, les instantanés et les journaux ne soient pas détruits avant que votre procédure n'aboutisse.
3. Déposez un rapport d'abus si un retrait est nécessaire. En cas de préjudice immédiat, envoyez l'adresse IP, les URL, les horodatages et les journaux à [email protected] en parallèle.
4. Faites correspondre l'instrument juridique aux données. Assignation à comparaître pour les informations sur l'abonné/la facturation, ordonnance 2703(d) pour les journaux, mandat de perquisition pour le contenu. Gardez chaque demande limitée et liée à l'adresse IP préservée et à la plage de dates.
5. Signifiez via le portail. Soumettez via votre compte Kodex vérifié, le canal que DigitalOcean utilise pour recevoir et répondre aux procédures judiciaires.
6. Prévoyez l'avis au client. Partez du principe que le client sera informé, sauf si vous obtenez une ordonnance de non-divulgation ; intégrez cela dans votre calendrier (voir FAQ).
7. Corroborez. Traitez les données de compte et de paiement retournées comme une piste et confirmez l'identité de manière indépendante avant d'agir en conséquence.

Foire aux questions

DigitalOcean informera-t-il le client de ma demande ? Oui, par défaut. DigitalOcean notifie les propriétaires de comptes concernés en envoyant un e-mail à leur adresse vérifiée et fournit une copie de la procédure judiciaire ; dans la plupart des cas, l'utilisateur dispose de 7 jours calendaires pour déposer une objection auprès du tribunal. Pour empêcher la notification, vous devez obtenir une ordonnance de non-divulgation ou de mise sous scellés émise par un tribunal et signifiée avec votre demande.

DigitalOcean peut-il vraiment me donner le contenu d'un serveur ? Oui, lorsqu'il le détient. Étant donné que DigitalOcean héberge les machines virtuelles et le stockage réels, un mandat de perquisition valide peut contraindre à la remise du contenu du Droplet, des instantanés et du stockage d'objets d'un client. Il s'agit d'une différence clé par rapport à un proxy ou un CDN, qui ne détient généralement que des métadonnées et des journaux.

Que se passe-t-il si le client a utilisé un autre fournisseur derrière DigitalOcean, ou vice versa ? Suivez l'infrastructure. Si un site utilise un CDN devant un Droplet DigitalOcean, vous devrez peut-être demander au CDN de révéler l'adresse IP d'origine, puis signifier DigitalOcean pour les données de l'hôte. Inversement, l'attribution peut se poursuivre vers un processeur de paiement ou un service exploité séparément.

Combien de temps DigitalOcean conserve-t-il les journaux ? DigitalOcean ne publie pas de période de rétention universelle fixe pour toutes les données, et les journaux peuvent être écrasés. Ne présumez pas que les données existeront toujours ; envoyez une demande de conservation dès que vous disposez d'une adresse IP et d'une plage de dates.

Guides associés

• Preuves dans le cloud : obtenir des données d'AWS, Azure et Google Cloud
• Demande de données aux forces de l'ordre par Cloudflare : guide pour la police et le gouvernement
• Attribution d'IP et de domaine : transformer une adresse en suspect

Pour le répertoire complet des portails de demande des forces de l'ordre des plateformes, consultez notre hub du portail LERS.

Image principale : Câblage de serveur dans un centre de données. · Crédit : Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · source