Cloudflare Law Enforcement Data Request: Przewodnik dla policji i władz
Jak śledczy współpracują z Cloudflare: dlaczego kierujemy do hostingu, kanały zgłoszeń, ujawnienia w sytuacjach awaryjnych i procedura MLAT dla organów.
Niniejszy przewodnik zawiera ogólne, profesjonalne wskazówki dla funkcjonariuszy organów ścigania, prokuratorów i śledczych zajmujących się cyberprzestępczością, którzy potrzebują danych powiązanych ze stroną internetową korzystającą z Cloudflare. Nie jest to porada prawna. Śledczy powinni działać zgodnie z właściwymi uprawnieniami prawnymi dla swojej jurysdykcji i potwierdzić aktualne procedury bezpośrednio u dostawcy, zanim polegną na jakimkolwiek pojedynczym kroku opisanym w tym dokumencie.
- Cloudflare zazwyczaj wskazuje na hosta, ale sam w sobie nie jest hostem. W przypadku większości swoich produktów pośredniczy w ruchu i nie przechowuje treści strony internetowej.
- Najbardziej użyteczną informacją, jaką można uzyskać, jest często tożsamość dostawcy hostingu źródłowego stojącego za stroną korzystającą z proxy, a także dane konta i rozliczeniowe klienta.
- Cloudflare odróżnia zgłoszenie nadużycia od formalnego procesu prawnego. Dane subskrybenta zazwyczaj wymagają wezwania sądowego (subpoena), a bardziej wrażliwe dane zazwyczaj wymagają nakazu sądowego lub przeszukania.
- Cloudflare zazwyczaj powiadamia swojego klienta o wniosku prawnym, chyba że jest to prawnie zabronione, co ma znaczenie przy planowaniu aresztowania lub zajęcia mienia.
- Cloudflare ma siedzibę w USA, więc agencje spoza USA zazwyczaj kierują formalne wnioski przez sąd w USA, często za pośrednictwem umowy o wzajemnej pomocy prawnej (MLAT).
Czym właściwie jest Cloudflare
Cloudflare to sieć dostarczania treści (CDN), dostawca DNS, odwrotne proxy (reverse proxy) oraz usługa ochrony przed atakami DDoS. W przypadku zdecydowanej większości stron, które z niego korzystają, Cloudflare znajduje się przed stroną internetową, która jest hostowana gdzie indziej. Ruch odwiedzających trafia najpierw do brzegu sieci (edge) Cloudflare, a Cloudflare przekazuje go do rzeczywistego serwera klienta, znanego jako źródło (origin). Ze względu na ten model przekazywania, Cloudflare zazwyczaj nie jest hostem treści strony internetowej i nie przechowuje tych treści w tradycyjnym sensie.
Istnieje ważny wyjątek. Gdy klient korzysta z własnych produktów platformowych Cloudflare do serwowania treści na brzegu sieci, takich jak Pages, Workers, Workers KV, Stream, Images lub pamięć masowa R2, Cloudflare może sam w sobie być hostem źródłowym dla tych konkretnych treści. W przypadku tych produktów wnioski dotyczące treści mogą być kierowane do Cloudflare. W przypadku zwykłych stron korzystających z proxy – nie mogą.
Co przechowuje Cloudflare, a czego nie
Cloudflare przechowuje ograniczone informacje o koncie klienta. Zgodnie z wytycznymi dla organów ścigania, zazwyczaj obejmują one nazwę klienta, adres e-mail, adres fizyczny, numer telefonu oraz sposób lub źródło płatności, wraz ze szczegółami aktywności na koncie, takimi jak czasy logowania i powiązane adresy IP.
Czego Cloudflare zazwyczaj nie posiada w przypadku stron korzystających z proxy, to treści strony internetowej; nie zbiera też rutynowo ani nie przechowuje danych o użytkownikach końcowych odwiedzających strony klientów. Firma stwierdza, że rzadko posiada dane odpowiadające na wnioski o logi IP odwiedzających lub daty dostępu, ponieważ wszelkie takie informacje są przechowywane tylko przez ograniczony czas. Zaplanuj działania odpowiednio: nie zakładaj, że Cloudflare jest w stanie odtworzyć, kto odwiedził stronę.
| Czego potrzebujesz | Kto faktycznie to posiada | Jak to uzyskać |
|---|---|---|
| Treść strony lub pliki (strona z proxy) | Dostawca hostingu źródłowego, nie Cloudflare | Zidentyfikuj hosta przez Cloudflare, a następnie skieruj proces prawny do hosta |
| Konto klienta, dane rozliczeniowe i kontaktowe | Cloudflare | Wezwanie sądowe (podstawowe dane subskrybenta) do Cloudflare |
| Tożsamość hosta źródłowego za domeną z proxy | Cloudflare | Proces prawny do Cloudflare lub w pilnych przypadkach wniosek awaryjny |
| Treści serwowane przez Pages, Workers, Stream, Images lub R2 | Cloudflare (tutaj jest źródłem) | Nakaz sądowy lub przeszukania do Cloudflare |
| Logi IP odwiedzających i czasy dostępu | Często nikt nie przechowuje ich długoterminowo; sprawdź hosta źródłowego | Nakaz sądowy, ale spodziewaj się ograniczonych danych lub ich braku |
Dlaczego proxy ukrywa źródło i dlaczego śledczy zwracają się do Cloudflare
Gdy domena korzysta z proxy, publiczne wyszukiwania, takie jak WHOIS i DNS, wskazują na adresy IP Cloudflare, a nie na rzeczywisty serwer klienta. Jest to zamierzone działanie, które chroni źródło przed bezpośrednim atakiem. Efektem ubocznym dla śledczych jest zamaskowanie rzeczywistej lokalizacji hostingu. To główny powód, dla którego organy ścigania zwracają się do Cloudflare: nie po to, by uzyskać treść strony, ale by przebić się przez proxy i dowiedzieć się, który dostawca hostingu stoi za nim, aby można było dochodzić treści i logów serwera u rzeczywistego hosta.
Zgłoszenie nadużycia a formalny proces prawny
Są to dwa oddzielne kanały, które prowadzą do bardzo różnych rezultatów.
- Zgłoszenie nadużycia (Abuse report). Cloudflare obsługuje formularz zgłaszania nadużyć na swojej stronie dotyczącej nadużyć (sekcja zgłaszania nadużyć w Trust Hub zawiera link do aktualnego formularza). W przypadku stron z proxy, Cloudflare zazwyczaj przekazuje skargę operatorowi strony internetowej i odpowiedzialnemu dostawcy hostingu, a zgłaszającemu przekazuje dane kontaktowe dostawcy hostingu. Jest to szybki sposób na zidentyfikowanie hosta i przedstawienie skargi stronie, która faktycznie może podjąć działania dotyczące treści. Nie jest to substytut procesu prawnego i nie zapewni dostępu do danych subskrybenta.
- Formalny proces prawny. Aby wymusić udostępnienie danych klienta, należy przeprowadzić ważny proces prawny. Wytyczne Cloudflare wskazują, że podstawowe dane subskrybenta zazwyczaj wymagają wezwania sądowego, podczas gdy bardziej wrażliwe lub dodatkowe informacje zazwyczaj wymagają nakazu wydanego przez sąd lub innego orzeczenia sądowego. Funkcjonariusze kontaktują się z kanałem organów ścigania Cloudflare ([email protected]) i powinni podać dane identyfikacyjne, takie jak numer odznaki i sprawy, stopień, agencję i jednostkę.
Praktyczny przebieg pracy
- Potwierdź, że strona faktycznie znajduje się za Cloudflare (WHOIS lub DNS wskazujący na zakresy Cloudflare, nagłówki odpowiedzi).
- Zdecyduj, czego potrzebujesz. Jeśli chcesz treści lub logów po stronie serwera, twoim rzeczywistym celem jest host źródłowy, a nie Cloudflare.
- Użyj Cloudflare, aby zidentyfikować źródło. Złóż zgłoszenie nadużycia, aby uzyskać dane kontaktowe dostawcy hostingu, lub skieruj proces prawny, aby wymusić dane konta klienta i informacje o źródle.
- Skieruj proces prawny do hosta źródłowego. Gdy znasz dostawcę hostingu, skieruj do niego wezwanie sądowe, nakaz lub nakaz przeszukania w celu uzyskania treści i logów.
- Równolegle skieruj proces prawny do Cloudflare w celu uzyskania danych, które posiada, czyli danych konta klienta, rozliczeniowych i kontaktowych.
- Wyślij wniosek o zabezpieczenie danych (preservation request) odpowiednio wcześnie do właściwych stron, aby dane nie zostały utracone podczas przygotowywania procesu prawnego.
Zabezpieczenie danych, ujawnienie w sytuacjach awaryjnych i powiadomienie klienta
Zabezpieczenie a udostępnienie. Wniosek o zabezpieczenie danych prosi dostawcę o zachowanie istniejących rekordów, aby nie zostały usunięte; sam w sobie nie ujawnia żadnych informacji. Udostępnienie wymaga odpowiedniego procesu prawnego. Biorąc pod uwagę krótki czas przechowywania danych przejściowych przez Cloudflare, wysyłaj wnioski o zabezpieczenie niezwłocznie.
Ujawnienie w sytuacjach awaryjnych. W przypadku, gdy wniosek dotyczy bezpośredniego zagrożenia życia lub poważnego uszczerbku na zdrowiu osoby, Cloudflare może ujawnić informacje bez zwłoki, oceniając sprawę indywidualnie zgodnie z prawem USA. Użyj kanału dla organów ścigania i wyraźnie udokumentuj sytuację awaryjną.
Agencje spoza USA i MLAT
Cloudflare to firma z siedzibą w USA. Oczekuje ona, że rządy państw spoza USA będą przestrzegać tych samych wymogów dotyczących należytego procesu prawnego i generalnie preferuje, aby wnioski były kierowane za pośrednictwem amerykańskiego sądu w drodze procesu dyplomatycznego, takiego jak wniosek o wzajemną pomoc prawną (MLAT). Śledczy spoza USA powinni uwzględnić tę ścieżkę oraz czas jej trwania w swoich planach, korzystając w międzyczasie z kanału zgłaszania nadużyć w celu identyfikacji hosta. Cloudflare regularnie publikuje raport przejrzystości i utrzymuje publiczne wytyczne dla organów ścigania; przed wysłaniem wniosku należy zapoznać się z aktualnymi wersjami.
Często zadawane pytania
Czy Cloudflare może udostępnić mi zawartość strony internetowej? W przypadku zwykłych witryn korzystających z proxy – nie. Cloudflare nie hostuje tych treści; jedynie pośredniczy w ich przesyłaniu. Treści uzyskuje się od pierwotnego dostawcy hostingu. Wyjątkiem są treści udostępniane za pośrednictwem własnych produktów brzegowych Cloudflare, takich jak Pages, Workers, Stream, Images i R2, w przypadku których Cloudflare może być hostem.
Jak znaleźć rzeczywistego hosta stojącego za stroną korzystającą z Cloudflare? Należy zapytać Cloudflare. Zgłoszenie nadużycia zazwyczaj pozwala uzyskać dane kontaktowe dostawcy hostingu, a formalny proces prawny może wymusić ujawnienie danych konta klienta oraz szczegółów dotyczących źródła. Następnie należy skierować wniosek bezpośrednio do tego hosta.
Jakiego procesu prawnego potrzebuję i czy klient zostanie o tym poinformowany? Podstawowe dane subskrybenta zazwyczaj wymagają wezwania sądowego (subpoena); bardziej wrażliwe dane zazwyczaj wymagają nakazu sądowego lub nakazu przeszukania. Cloudflare zazwyczaj powiadamia klienta, chyba że jest to prawnie zabronione, więc jeśli zachowanie poufności jest istotne, należy wystąpić o nakaz zachowania poufności (non-disclosure order).
Jestem poza Stanami Zjednoczonymi. Co mam zrobić? Należy skorzystać z kanału zgłaszania nadużyć, aby szybko zidentyfikować hosta, ale formalne wnioski o ujawnienie danych należy kierować za pośrednictwem odpowiedniego amerykańskiego procesu prawnego, zazwyczaj poprzez wniosek MLAT.
Powiązane przewodniki
- Dowody w chmurze: uzyskiwanie danych z AWS, Azure i Google Cloud
- Atrybucja IP i domeny: jak zmienić adres w podejrzanego
- Uzyskiwanie dowodów z platform mediów społecznościowych: rejestry, zabezpieczanie i proces prawny
Pełny katalog portali dla organów ścigania znajduje się w naszym centrum portali LERS.
Zdjęcie główne: Kabel sieci światłowodowej. · Autor: Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · źródło