Guida Cloudflare per forze dell'ordine e autorità governative
Come gli investigatori lavorano con Cloudflare: perché indica l'hosting provider, canali di abuso e legali, disclosure d'emergenza e procedure MLAT.
Questa guida offre indicazioni generali e professionali per le forze dell'ordine, i pubblici ministeri e gli investigatori specializzati in crimini informatici che necessitano di documenti relativi a un sito web che utilizza Cloudflare. Non costituisce consulenza legale. Gli investigatori devono agire in virtù della corretta autorità legale prevista dalla propria giurisdizione e confermare le procedure attuali direttamente con il fornitore prima di fare affidamento su qualsiasi singolo passaggio qui descritto.
- Cloudflare solitamente ti indirizza all'host, non è l'host. Per la maggior parte dei suoi prodotti, agisce come proxy del traffico e non memorizza il contenuto del sito web.
- La cosa singola più utile che può fornirti è spesso l'identità del fornitore di hosting di origine dietro un sito sotto proxy, oltre ai dettagli dell'account e di fatturazione del cliente.
- Cloudflare distingue una segnalazione di abuso da un procedimento legale formale. I dati dell'abbonato richiedono generalmente un mandato di comparizione (subpoena), mentre i documenti più sensibili richiedono solitamente un ordine del tribunale o un mandato di perquisizione.
- Cloudflare generalmente notifica al proprio cliente la ricezione di una richiesta legale, a meno che non sia legalmente proibito farlo, il che è importante quando si pianifica un arresto o un sequestro.
- Cloudflare ha sede negli Stati Uniti, pertanto le agenzie non statunitensi solitamente inoltrano le richieste formali tramite un tribunale statunitense, spesso attraverso un trattato di assistenza giudiziaria reciproca (MLAT).
Cos'è effettivamente Cloudflare
Cloudflare è una rete di distribuzione di contenuti (CDN), un fornitore DNS, un reverse proxy e un servizio di protezione DDoS. Per la grande maggioranza dei siti che lo utilizzano, Cloudflare si posiziona davanti a un sito web ospitato altrove. Il traffico dei visitatori raggiunge prima l'edge di Cloudflare, che lo inoltra al server reale del cliente, noto come origine. A causa di questo modello di passaggio, Cloudflare non è generalmente l'host del contenuto del sito web e non memorizza tale contenuto nel senso tradizionale.
Esiste un'eccezione importante. Quando un cliente utilizza i prodotti della piattaforma Cloudflare per servire contenuti all'edge, come Pages, Workers, Workers KV, Stream, Images o l'archiviazione R2, Cloudflare potrebbe essere esso stesso l'host di origine per quel contenuto specifico. Per quei prodotti, le richieste relative ai contenuti possono essere indirizzate a Cloudflare. Per i normali siti web sotto proxy, ciò non è possibile.
Cosa conserva Cloudflare e cosa no
Cloudflare conserva informazioni limitate sull'account del cliente. Secondo le sue linee guida per le forze dell'ordine, queste includono solitamente il nome del cliente, l'indirizzo email, l'indirizzo fisico, il numero di telefono e i mezzi o la fonte di pagamento, insieme ai dettagli sull'attività dell'account come gli orari di accesso e gli indirizzi IP associati.
Ciò che Cloudflare generalmente non possiede per i siti sotto proxy è il contenuto del sito web, e non raccoglie o conserva abitualmente dati sugli utenti finali che visitano i siti dei clienti. Dichiara di avere raramente dati rispondenti a ordini che richiedono log IP dei visitatori o date di accesso, poiché tali informazioni vengono conservate solo per un periodo di tempo limitato. Pianifica di conseguenza: non dare per scontato che Cloudflare possa ricostruire chi ha visitato un sito.
| Cosa cerchi | Chi lo possiede effettivamente | Come ottenerlo |
|---|---|---|
| Contenuto o file del sito web (sito sotto proxy) | Il fornitore di hosting di origine, non Cloudflare | Identifica l'host tramite Cloudflare, quindi notifica l'host con un procedimento legale |
| Account cliente, fatturazione e dettagli di contatto | Cloudflare | Mandato di comparizione (dati base dell'abbonato) a Cloudflare |
| Identità dell'host di origine dietro un dominio sotto proxy | Cloudflare | Procedimento legale a Cloudflare, o in casi urgenti una richiesta di emergenza |
| Contenuto servito da Pages, Workers, Stream, Images o R2 | Cloudflare (qui è l'origine) | Ordine del tribunale o mandato a Cloudflare |
| Log IP dei visitatori e orari di accesso | Spesso nessuno li conserva a lungo termine; controlla l'host di origine | Ordine del tribunale, ma aspettati dati limitati o assenti |
Perché il proxy nasconde l'origine e perché gli investigatori si rivolgono a Cloudflare
Quando un dominio è sotto proxy, le ricerche pubbliche come WHOIS e DNS risolvono verso gli indirizzi IP di Cloudflare anziché verso il server reale del cliente. Questo è intenzionale e protegge l'origine da attacchi diretti. L'effetto collaterale per gli investigatori è che la vera posizione di hosting viene mascherata. Questo è il motivo principale per cui le forze dell'ordine si rivolgono a Cloudflare: non per ottenere il contenuto del sito, ma per superare il proxy e scoprire quale fornitore di hosting si trova dietro di esso, in modo che il contenuto e i log del server possano essere perseguiti presso l'host reale.
Segnalazione di abuso rispetto al procedimento legale formale
Si tratta di due canali separati che producono risultati molto diversi.
- Segnalazione di abuso. Cloudflare gestisce un modulo di segnalazione di abuso nella sua pagina dedicata (la sezione segnalazione-abusi del Trust Hub rimanda al modulo corrente). Per i siti sotto proxy, Cloudflare solitamente inoltra il reclamo al gestore del sito web e al fornitore di hosting responsabile, e fornisce al segnalante le informazioni di contatto del fornitore di hosting. Questo è un modo rapido per identificare l'host e sottoporre un reclamo alla parte che può effettivamente intervenire sul contenuto. Non sostituisce il procedimento legale e non ti fornirà i dati dell'abbonato.
- Procedimento legale formale. Per ottenere i dati del cliente, devi notificare un procedimento legale valido. Le linee guida di Cloudflare indicano che i dati base dell'abbonato richiedono generalmente un mandato di comparizione, mentre informazioni più sensibili o aggiuntive richiedono solitamente un mandato emesso dal tribunale o un altro ordine giudiziario. Gli agenti devono contattare il canale per le forze dell'ordine di Cloudflare ([email protected]) e fornire dettagli identificativi come numero di distintivo e di caso, grado, agenzia e unità.
Il flusso di lavoro pratico
- Conferma che il sito sia effettivamente dietro Cloudflare (WHOIS o DNS che risolvono verso i range di Cloudflare, intestazioni di risposta).
- Decidi cosa ti serve. Se desideri contenuti o log lato server, il tuo vero obiettivo è l'host di origine, non Cloudflare.
- Usa Cloudflare per identificare l'origine. Invia una segnalazione di abuso per ottenere i dettagli di contatto del fornitore di hosting, o notifica un procedimento legale per ottenere le informazioni sull'account del cliente e sull'origine.
- Notifica l'host di origine. Una volta conosciuto il fornitore di hosting, indirizza il tuo mandato di comparizione, ordine del tribunale o mandato di perquisizione per contenuti e log a quell'host.
- Parallelamente, notifica Cloudflare per i documenti che effettivamente possiede, ovvero l'account del cliente, la fatturazione e le informazioni di contatto.
- Invia tempestivamente una richiesta di conservazione (preservation request) alle parti interessate affinché i dati non vadano persi mentre viene preparato il procedimento legale.
Conservazione, divulgazione di emergenza e notifica al cliente
Conservazione rispetto alla produzione. Una richiesta di conservazione chiede a un fornitore di mantenere i documenti esistenti affinché non vengano eliminati; di per sé non divulga nulla. La produzione richiede il procedimento legale appropriato. Data la breve conservazione dei dati transitori da parte di Cloudflare, invia le richieste di conservazione tempestivamente.
Divulgazione di emergenza. Laddove una richiesta coinvolga un pericolo imminente di morte o gravi lesioni fisiche a una persona, Cloudflare può divulgare informazioni senza indugio, valutando caso per caso secondo la legge statunitense. Utilizza il canale per le forze dell'ordine e documenta chiaramente l'emergenza.
Agenzie non statunitensi e MLAT
Cloudflare è un'azienda con sede negli Stati Uniti. Si aspetta che i governi non statunitensi seguano gli stessi requisiti di giusto processo e generalmente preferisce che le richieste arrivino tramite un tribunale statunitense attraverso un processo diplomatico, come una richiesta di trattato di assistenza giudiziaria reciproca. Gli investigatori non statunitensi dovrebbero tenere conto di questo instradamento, e del tempo necessario, nei loro piani, continuando nel frattempo a utilizzare il canale di segnalazione abusi per identificare l'host. Cloudflare pubblica regolarmente un rapporto sulla trasparenza e mantiene linee guida pubbliche per le forze dell'ordine; si prega di consultare le versioni correnti prima di inviare richieste.
Domande frequenti
Cloudflare può fornirmi il contenuto del sito web? Per i normali siti in proxy, no. Cloudflare non ospita quel contenuto; lo instrada tramite proxy. Il contenuto si ottiene dal provider di hosting di origine. L'eccezione è costituita dai contenuti serviti tramite i prodotti edge di Cloudflare come Pages, Workers, Stream, Images e R2, dove Cloudflare può essere l'host.
Come trovo l'host reale dietro un sito Cloudflare? Chiedilo a Cloudflare. Una segnalazione di abuso solitamente fornisce le informazioni di contatto del provider di hosting, e un processo legale formale può obbligare alla divulgazione dei dettagli dell'account del cliente e dell'origine. Successivamente, notifica direttamente quell'host.
Di quale processo legale ho bisogno e il cliente verrà informato? I dati di base dell'abbonato richiedono generalmente un mandato di comparizione (subpoena); i record più sensibili richiedono solitamente un ordine del tribunale o un mandato di perquisizione. Cloudflare generalmente notifica il cliente a meno che non sia legalmente proibito, quindi richiedi un ordine di non divulgazione se la riservatezza è importante.
Mi trovo al di fuori degli Stati Uniti. Cosa devo fare? Utilizza il canale di segnalazione abusi per identificare rapidamente l'host, ma instrada le richieste formali di divulgazione coatta attraverso l'appropriato processo legale statunitense, comunemente tramite una richiesta MLAT.
Guide correlate
- Prove nel cloud: ottenere dati da AWS, Azure e Google Cloud
- Attribuzione di IP e dominio: trasformare un indirizzo in un sospettato
- Ottenere prove dalle piattaforme di social media: record, conservazione e processo legale
Per l'elenco completo dei portali di richiesta per le forze dell'ordine delle piattaforme, consulta il nostro hub del portale LERS.
Immagine principale: Un cavo di rete in fibra ottica. · Crediti: Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · fonte