DigitalOcean: Przewodnik dla policji i organów ścigania
Jak policja, prokuratura i śledczy mogą uzyskać dane z DigitalOcean: zgłoszenia nadużyć, zabezpieczanie danych, wezwania, nakazy i portal zgłoszeniowy.
Niniejszy przewodnik oferuje ogólne, praktyczne wskazówki dla funkcjonariuszy organów ścigania, prokuratorów oraz śledczych zajmujących się cyberprzestępczością, którzy potrzebują danych od DigitalOcean, dostawcy usług hostingu w chmurze z siedzibą w USA. Nie jest to porada prawna. Każde opisane tutaj żądanie zakłada, że działają Państwo w ramach odpowiednich uprawnień prawnych w swojej jurysdykcji oraz że przestrzegają Państwo przepisów i procedur regulujących przymusowe ujawnienie danych w miejscu, w którym Państwo działają. DigitalOcean publikuje własne Wytyczne dla organów ścigania (Law Enforcement Guidelines) i obsługuje platformę Trust Platform; niniejszy artykuł podsumowuje te publicznie dostępne materiały i wyjaśnia, jak je wykorzystać, jednak zawsze nadrzędne są aktualne, opublikowane warunki świadczenia usług przez dostawcę.
- W przeciwieństwie do odwrotnego proxy lub sieci CDN, DigitalOcean często jest rzeczywistym hostem, więc może przechowywać faktyczną zawartość serwera, migawki (snapshots) dropletów i dane pamięci masowej, a nie tylko metadane.
- Formalne procedury prawne składa się za pośrednictwem portalu Law Enforcement Request Portal firmy DigitalOcean w serwisie Kodex; zgłoszenia dotyczące nadużyć należy kierować oddzielnie na adres [email protected].
- Ujawnianie danych w prawie amerykańskim jest stopniowane: wezwanie (subpoena) pozwala uzyskać dane subskrybenta i rozliczeniowe, nakaz sądowy na podstawie ECPA pozwala uzyskać logi, a nakaz przeszukania jest wymagany w przypadku treści.
- DigitalOcean oferuje zabezpieczenie danych na okres do 90 dni z możliwością jednorazowego przedłużenia i powiadamia klienta (zazwyczaj w ciągu 7-dniowego okna na wniesienie sprzeciwu), chyba że prawo stanowi inaczej.
- Firma ma siedzibę w USA, więc zagraniczne organy zazwyczaj potrzebują umowy MLAT, amerykańskiego nakazu sądowego lub kwalifikowanego nakazu transgranicznego, aby wymusić udostępnienie treści.
Co przechowuje DigitalOcean
DigitalOcean sprzedaje infrastrukturę jako usługę (IaaS): Droplety (maszyny wirtualne), Spaces (pamięć obiektowa), App Platform, zarządzane bazy danych oraz migawki. Ponieważ firma faktycznie obsługuje serwery bazowe, przechowywane dane wykraczają daleko poza to, co może zaoferować proxy typu front-end. Realne kategorie danych to:
- Dane konta i rejestracyjne: imię i nazwisko klienta, adres e-mail, numer telefonu, adres fizyczny oraz adres IP z datą i godziną utworzenia konta lub zasobu.
- Dane rozliczeniowe i płatnicze: rejestry transakcji powiązane z procesorami płatności, takimi jak PayPal lub Stripe, co może stanowić silny łącznik z rzeczywistą tożsamością.
- Zawartość serwera i migawki: zawartość Dropleta klienta, pamięci obiektowej oraz kopii zapasowych lub migawek. Są to dane o treści, które podlegają najwyższemu progowi prawnemu.
- Logi dostępu i uwierzytelniania: logi bezpieczeństwa i dostępu, które mogą ujawnić aktywność użytkownika i jego ruchy w określonym czasie, a także ustawienia konta lub zasobów.
- Przypisania adresów IP: informacja o tym, któremu klientowi przypisano dany adres IP w określonym dniu, godzinie i strefie czasowej.
Zgłoszenia nadużyć a procedury prawne
Istnieją dwa odrębne kanały i wybór właściwego ma znaczenie.
- Zgłoszenia nadużyć (Abuse reports) należy kierować na adres [email protected] (lub za pomocą formularza internetowego na stronie digitalocean.com/company/contact). Użyj tego kanału, aby zgłosić phishing, serwery sterujące malware (C&C), strony wyłudzające dane, węzły botnetów lub inne naruszenia zasad dopuszczalnego użytkowania (Acceptable Use Policy) hostowane w DigitalOcean. Dołącz adres IP, adresy URL, znaczniki czasu ze strefą czasową oraz logi pomocnicze. Ta droga może doprowadzić do usunięcia złośliwej strony lub Dropleta, ale nie pozwoli na uzyskanie danych subskrybenta.
- Procedury prawne to sposób na uzyskanie danych klienta, logów lub treści. Muszą być składane za pośrednictwem portalu Law Enforcement Request Portal firmy DigitalOcean, hostowanego w serwisie Kodex, gdzie należy utworzyć zweryfikowane konto organu ścigania.
Wiele nadużyć odbywa się na tanich maszynach wirtualnych w chmurze właśnie dlatego, że można je szybko uruchomić i usunąć, co czyni DigitalOcean częstym celem zarówno zgłoszeń o usunięcie treści, jak i żądań danych. Zgłaszanie nadużyć i prowadzenie procedur prawnych nie wykluczają się; śledczy często korzystają z obu tych metod.
Procedury prawne i progi
DigitalOcean podlega amerykańskiej ustawie o prywatności komunikacji elektronicznej (ECPA / Stored Communications Act), która ustanawia strukturę stopniowaną: im bardziej wrażliwe dane, tym wyższy standard prawny. Z wyjątkiem sytuacji awaryjnych, DigitalOcean ujawnia chronione informacje tylko na podstawie ważnych procedur prawnych.
| Typ danych / żądania | Co pozwala uzyskać | Typowy próg prawny |
|---|---|---|
| Wniosek o zabezpieczenie (Preservation request) | Zamraża istniejące dane konta i/lub zawartość w trybie offline, aby nie zostały utracone; brak ujawnienia | Oficjalny wniosek organu ścigania (nie jest wymagany nakaz sądowy do zabezpieczenia) |
| Wezwanie (Subpoena) | Podstawowe dane subskrybenta i rejestracyjne: imię i nazwisko, e-mail, telefon, adres, IP utworzenia ze znacznikiem czasu, informacje o płatnościach/transakcjach | Ważne wezwanie (subpoena) |
| Nakaz sądowy ECPA | Logi dostępu i bezpieczeństwa, ustawienia konta/zasobów, aktywność w czasie (dane inne niż treść) | Nakaz sądowy na podstawie 18 U.S.C. 2703(d) |
| Nakaz przeszukania (Search warrant) | Treść: zawartość Dropleta/VM, pamięć obiektowa, migawki, komunikacja z obsługą klienta | Nakaz przeszukania oparty na uzasadnionym podejrzeniu (probable cause) |
| Ujawnienie w sytuacjach awaryjnych | Informacje niezbędne do zapobieżenia bezpośredniemu zagrożeniu życia lub poważnego uszczerbku na zdrowiu | Wniosek awaryjny przez portal LE |
Zabezpieczenie a udostępnienie danych
Wniosek o zabezpieczenie (preservation request) prosi DigitalOcean o skopiowanie i bezpieczne przechowywanie danych subskrybenta i/lub treści w oczekiwaniu na przyszłe procedury prawne. Nie jest to żądanie wydania czegokolwiek. Na podstawie ważnego wniosku o zabezpieczenie, DigitalOcean przechowuje dostępne informacje o koncie w pliku offline przez okres do 90 dni i przedłuży ten okres o kolejne 90 dni na podstawie ponownego wniosku. Użyj zabezpieczenia jako pierwszego kroku w momencie zidentyfikowania odpowiedniego adresu IP lub konta, a następnie przygotuj i doręcz odpowiednie wezwanie, nakaz lub postanowienie, aby faktycznie uzyskać dane.
Ujawnienie w sytuacjach awaryjnych
W przypadku bezpośredniego zagrożenia życia lub poważnego uszczerbku na zdrowiu zidentyfikowanej ofiary, DigitalOcean może ujawnić informacje o użytkowniku bez wezwania lub nakazu. Takie wnioski awaryjne składa się za pośrednictwem portalu Law Enforcement Request Portal i powinny one jasno wyjaśniać charakter sytuacji awaryjnej, konkretne zagrożenie, powód, dla którego dane są potrzebne bez zwłoki, oraz zakres poszukiwanych informacji. Ujawnienie w sytuacjach awaryjnych służy do rzeczywistych, nagłych przypadków, a nie jako skrót omijający rutynowe procedury.
Zagraniczne organy ścigania i MLAT
DigitalOcean jest firmą amerykańską, więc w kwestii przymusowego ujawnienia danych stosuje się prawo USA. Organy spoza Stanów Zjednoczonych zazwyczaj nie mogą bezpośrednio wymusić udostępnienia treści. Uznanymi drogami są: amerykański nakaz sądowy, wniosek złożony w ramach obowiązującej umowy o wzajemnej pomocy prawnej (MLAT) lub nakaz rządu zagranicznego, który kwalifikuje się w ramach ram transgranicznych, takich jak 18 U.S.C. 2523 (na przykład porozumienie wykonawcze w ramach CLOUD Act). Procedura MLAT może być powolna, dlatego zagraniczni śledczy powinni wcześnie wysłać wniosek o zabezpieczenie danych, aby zachować je w stanie nienaruszonym podczas trwania formalnej ścieżki. Niektóre wnioski o podstawowe dane subskrybenta (niebędące treścią) mogą być rozpatrywane szybciej, ale w przypadku treści prawie zawsze wymagana jest formalna ścieżka uznawana przez USA.
Praktyczny przebieg pracy
- Przypisz cel. Ustal adres IP nadużywającego Dropleta, witryny lub punktu końcowego pamięci masowej i potwierdź za pomocą WHOIS / RDAP, że adres IP mieści się w zakresie DigitalOcean. Zarejestruj datę, godzinę i strefę czasową aktywności.
- Zabezpiecz natychmiast. Prześlij wniosek o zabezpieczenie danych za pośrednictwem portalu Kodex Law Enforcement Request Portal, aby zawartość serwera, migawki i logi nie zostały zniszczone, zanim wpłynie Twoje żądanie.
- Zgłoś nadużycie, jeśli wymagane jest usunięcie treści. W przypadku bezpośredniego zagrożenia, prześlij adres IP, adresy URL, znaczniki czasu i logi na adres [email protected] równolegle.
- Dopasuj instrument prawny do danych. Wezwanie sądowe (subpoena) w celu uzyskania danych subskrybenta/rozliczeniowych, nakaz 2703(d) dla logów, nakaz przeszukania dla zawartości. Każdy wniosek powinien być precyzyjny i powiązany z zabezpieczonym adresem IP oraz zakresem dat.
- Dostarcz za pośrednictwem portalu. Prześlij wniosek przez zweryfikowane konto Kodex, kanał, którego DigitalOcean używa do otrzymywania i odpowiadania na procesy prawne.
- Zaplanuj powiadomienie klienta. Zakładaj, że klient zostanie poinformowany, chyba że uzyskasz nakaz zachowania poufności; uwzględnij to w swoim harmonogramie (zobacz FAQ).
- Zweryfikuj. Traktuj zwrócone dane konta i płatności jako wskazówkę i niezależnie potwierdź tożsamość przed podjęciem działań.
Najczęściej zadawane pytania
Czy DigitalOcean poinformuje klienta o moim wniosku? Tak, domyślnie. DigitalOcean powiadamia właścicieli kont, których dotyczy sprawa, wysyłając wiadomość e-mail na ich zweryfikowany adres i dostarcza kopię procesu prawnego, a w większości przypadków użytkownik otrzymuje 7 dni kalendarzowych na złożenie sprzeciwu w sądzie. Aby zapobiec powiadomieniu, musisz dołączyć do swojego wniosku wydany przez sąd nakaz zachowania poufności lub nakaz utajnienia akt.
Czy DigitalOcean naprawdę może przekazać mi zawartość serwera? Tak, jeśli ją przechowuje. Ponieważ DigitalOcean hostuje rzeczywiste maszyny wirtualne i pamięć masową, ważny nakaz przeszukania może wymusić udostępnienie zawartości Dropleta klienta, migawek i pamięci obiektowej. Jest to kluczowa różnica w porównaniu z proxy lub CDN, które zazwyczaj przechowują tylko metadane i logi.
Co jeśli klient korzystał z innego dostawcy za pośrednictwem DigitalOcean lub odwrotnie? Podążaj za infrastrukturą. Jeśli witryna korzysta z CDN przed Dropletem DigitalOcean, może być konieczne zwrócenie się do CDN o ujawnienie źródłowego adresu IP, a następnie skierowanie wniosku do DigitalOcean o dane hosta. Z kolei przypisanie może prowadzić dalej do procesora płatności lub oddzielnie obsługiwanej usługi.
Jak długo DigitalOcean przechowuje logi? DigitalOcean nie publikuje stałego, uniwersalnego okresu przechowywania dla wszystkich danych, a logi mogą być nadpisywane. Nie zakładaj, że dane nadal istnieją; wyślij wniosek o zabezpieczenie danych, gdy tylko będziesz mieć adres IP i zakres dat.
Powiązane przewodniki
- Dowody w chmurze: uzyskiwanie danych z AWS, Azure i Google Cloud
- Wniosek organów ścigania o dane z Cloudflare: przewodnik dla policji i rządu
- Przypisanie adresu IP i domeny: jak zmienić adres w podejrzanego
Pełny katalog portali dla organów ścigania znajduje się w naszym centrum portali LERS.
Obraz główny: Okablowanie serwerów w centrum danych. · Autor: Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · źródło