Guida per forze dell'ordine e governo su DigitalOcean

Questa guida offre indicazioni generali e pratiche per le forze dell'ordine, i pubblici ministeri e gli investigatori specializzati in crimini informatici che necessitano di dati da DigitalOcean, un provider di cloud hosting con sede negli Stati Uniti. Non costituisce consulenza legale. Ogni richiesta qui descritta presuppone che si stia agendo sotto la corretta autorità legale nella propria giurisdizione e che si seguiranno le leggi e le procedure che regolano la divulgazione coatta nel luogo in cui si opera. DigitalOcean pubblica le proprie Linee guida per le forze dell'ordine e gestisce una Trust Platform; questo articolo riassume tale materiale pubblico e spiega come metterlo in pratica, ma i termini attualmente pubblicati dal provider hanno sempre la precedenza.

Cosa conserva DigitalOcean

DigitalOcean vende infrastruttura come servizio (IaaS): Droplet (macchine virtuali), Spaces (archiviazione oggetti), App Platform, database gestiti e snapshot. Poiché gestisce effettivamente i server sottostanti, i dati che può conservare vanno ben oltre ciò che un proxy front-end può offrire. Le categorie realistiche sono:

• Dati dell'account e di registrazione: nome e cognome del cliente, indirizzo email, numero di telefono, indirizzo fisico e l'indirizzo IP con data/ora dal quale è stato creato l'account o la risorsa.
• Dati di fatturazione e pagamento: registrazioni delle transazioni legate a processori come PayPal o Stripe, che possono costituire un forte collegamento a un'identità reale.
• Contenuti del server e snapshot: i contenuti del Droplet di un cliente, l'archiviazione oggetti e i backup o snapshot. Questi sono dati di contenuto e comportano la soglia legale più elevata.
• Log di accesso e autenticazione: log di sicurezza e di accesso che possono rivelare l'attività e i movimenti di un utente in un determinato periodo di tempo, oltre alle impostazioni dell'account o della risorsa.
• Assegnazioni IP: quale cliente era assegnato a un determinato indirizzo IP in una specifica data, ora e fuso orario.

Segnalazioni di abuso vs procedimento legale

Esistono due canali distinti e scegliere quello giusto è importante.

• Le segnalazioni di abuso vanno a [email protected] (o tramite il modulo web su digitalocean.com/company/contact). Utilizzalo per segnalare phishing, comando e controllo di malware, siti di frode, nodi di botnet o altre violazioni dell'Acceptable Use Policy ospitate su DigitalOcean. Includi l'indirizzo IP, gli URL, i timestamp con fuso orario e i log di supporto. Questo percorso può portare alla rimozione di un sito o di un Droplet dannoso, ma non ti fornirà i dati dell'abbonato.
• Il procedimento legale è il modo in cui ottieni i record, i log o i contenuti dei clienti. Deve essere presentato tramite il Law Enforcement Request Portal di DigitalOcean, ospitato su Kodex, dove creerai un account verificato per le forze dell'ordine.

Molte operazioni abusive risiedono su VM cloud economiche proprio perché sono veloci da avviare e scartare, il che rende DigitalOcean un bersaglio comune sia per la rimozione che per i dati. Presentare una segnalazione di abuso e notificare un procedimento legale non si escludono a vicenda; gli investigatori spesso fanno entrambe le cose.

Procedimento legale e soglie

DigitalOcean è regolato dallo US Electronic Communications Privacy Act (ECPA / Stored Communications Act), che stabilisce una struttura a livelli: più sensibili sono i dati, più elevato è lo standard legale. Salvo emergenze, DigitalOcean divulga informazioni protette solo a fronte di un procedimento valido.

Conservazione vs produzione

Una richiesta di conservazione chiede a DigitalOcean di copiare e archiviare in modo sicuro i dati dell'abbonato e/o i contenuti in previsione di un futuro procedimento legale. Non è una richiesta di produrre nulla. Su una richiesta di conservazione valida, DigitalOcean conserva le informazioni disponibili sull'account in un file offline per un massimo di 90 giorni, e le estenderà per un ulteriore periodo di 90 giorni su richiesta rinnovata. Usa la conservazione come prima mossa nel momento in cui identifichi un IP o un account rilevante, quindi prepara e notifica la subpoena, l'ordine o il mandato appropriato per ottenere effettivamente i dati.

Divulgazione di emergenza

Quando esiste una minaccia imminente di morte o gravi danni fisici a una vittima identificabile, DigitalOcean può divulgare le informazioni dell'utente senza una subpoena o un mandato. Queste richieste di emergenza vengono effettuate tramite il Law Enforcement Request Portal e dovrebbero spiegare chiaramente la natura dell'emergenza, il danno specifico, il motivo per cui i dati sono necessari senza indugio e le informazioni limitate richieste. La divulgazione di emergenza è per esigenze autentiche, non una scorciatoia rispetto alla procedura ordinaria.

Forze dell'ordine straniere e MLAT

DigitalOcean è una società statunitense, quindi la legge statunitense si applica alla divulgazione coatta. Le autorità al di fuori degli Stati Uniti generalmente non possono imporre direttamente la divulgazione di contenuti. I percorsi riconosciuti sono un ordine del tribunale statunitense, una richiesta effettuata tramite un trattato di assistenza giudiziaria reciproca (MLAT) applicabile, o un ordine di un governo straniero che si qualifica nell'ambito di un quadro transfrontaliero come 18 U.S.C. 2523 (ad esempio un accordo esecutivo CLOUD Act). L'MLAT può essere lento, quindi gli investigatori stranieri dovrebbero inviare una richiesta di conservazione tempestivamente per mantenere i dati attivi mentre il canale formale è in corso. Alcune richieste di base sull'abbonato non relative ai contenuti possono essere gestite più prontamente, ma i contenuti richiedono quasi sempre il percorso formale riconosciuto dagli Stati Uniti.

Il flusso di lavoro pratico

1. Attribuisci il target. Stabilisci l'indirizzo IP del Droplet, del sito o dell'endpoint di archiviazione abusivo e conferma tramite WHOIS / RDAP che l'IP rientri nell'intervallo di DigitalOcean. Registra data, ora e fuso orario dell'attività.
2. Preserva immediatamente. Invia una richiesta di conservazione tramite il Kodex Law Enforcement Request Portal in modo che i contenuti del server, gli snapshot e i log non vengano distrutti prima che la tua procedura abbia effetto.
3. Invia una segnalazione di abuso se è necessaria la rimozione. In caso di danni in corso, invia parallelamente l'IP, gli URL, i timestamp e i log a [email protected].
4. Abbina lo strumento legale ai dati. Mandato di comparizione (subpoena) per i dati dell'abbonato/fatturazione, ordine 2703(d) per i log, mandato di perquisizione per i contenuti. Mantieni ogni richiesta specifica e legata all'IP preservato e all'intervallo di date.
5. Notifica tramite il portale. Invia tramite il tuo account Kodex verificato, il canale che DigitalOcean utilizza per ricevere e rispondere alle procedure legali.
6. Pianifica la notifica al cliente. Dai per scontato che il cliente verrà informato a meno che tu non ottenga un ordine di non divulgazione; includilo nella tua tempistica (vedi FAQ).
7. Corrobora. Tratta i dati dell'account e di pagamento ricevuti come un indizio e conferma l'identità in modo indipendente prima di agire.

Domande frequenti

DigitalOcean informerà il cliente della mia richiesta? Sì, per impostazione predefinita. DigitalOcean notifica i proprietari degli account interessati inviando un'email al loro indirizzo verificato e fornisce una copia della procedura legale; nella maggior parte dei casi, all'utente vengono concessi 7 giorni di calendario per presentare un'obiezione presso il tribunale. Per impedire la notifica, è necessario un ordine di non divulgazione o di segretezza emesso dal tribunale da allegare alla richiesta.

DigitalOcean può davvero fornirmi i contenuti di un server? Sì, laddove li detiene. Poiché DigitalOcean ospita le VM e l'archiviazione effettive, un mandato di perquisizione valido può obbligare alla consegna dei contenuti del Droplet, degli snapshot e dell'archiviazione oggetti di un cliente. Questa è una differenza fondamentale rispetto a un proxy o a una CDN, che solitamente conservano solo metadati e log.

Cosa succede se il cliente ha utilizzato un altro provider dietro DigitalOcean, o viceversa? Segui l'infrastruttura. Se un sito utilizza una CDN davanti a un Droplet di DigitalOcean, potresti aver bisogno che la CDN riveli l'IP di origine, per poi notificare DigitalOcean per i dati dell'host. Al contrario, l'attribuzione può concatenarsi a un processore di pagamento o a un servizio gestito separatamente.

Per quanto tempo DigitalOcean conserva i log? DigitalOcean non pubblica un periodo di conservazione universale fisso per tutti i dati e i log possono essere sovrascritti. Non dare per scontato che i dati esistano ancora; invia una richiesta di conservazione non appena disponi di un IP e di un intervallo di date.

Guide correlate

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• IP and domain attribution: turning an address into a suspect

Per l'elenco completo dei portali per le richieste delle forze dell'ordine delle piattaforme, consulta il nostro LERS portal hub.

Immagine principale: Cablaggio server in un data center. · Crediti: Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · fonte