Guia de solicitações de dados policiais e governamentais Cloudflare
Como investigadores trabalham com a Cloudflare: canais de abuso e legais, divulgação de emergência, política de notificação e o processo MLAT.
Este guia oferece orientação geral e profissional para agentes da autoridade, procuradores e investigadores de cibercrime que necessitem de registos relacionados com um website que utiliza a Cloudflare. Não constitui aconselhamento jurídico. Os investigadores devem agir ao abrigo da autoridade legal adequada à sua jurisdição e confirmar os procedimentos atuais diretamente com o fornecedor antes de se basearem em qualquer passo descrito aqui.
- A Cloudflare encaminha-o normalmente para o alojamento, não é o alojamento. Para a maioria dos seus produtos, faz o proxy do tráfego e não armazena o conteúdo do website.
- A coisa mais útil que lhe pode fornecer é, muitas vezes, a identidade do fornecedor de alojamento de origem por detrás de um site com proxy, além dos detalhes da conta e de faturação do cliente.
- A Cloudflare distingue um relatório de abuso de um processo legal formal. Os dados do subscritor requerem geralmente uma intimação (subpoena), e registos mais sensíveis requerem geralmente uma ordem judicial ou mandado.
- A Cloudflare notifica geralmente o seu cliente de um pedido legal, a menos que esteja legalmente proibida de o fazer, o que é importante quando planeia uma detenção ou apreensão.
- A Cloudflare está sediada nos EUA, pelo que as agências não americanas encaminham geralmente os pedidos formais através de um tribunal dos EUA, frequentemente via tratado de assistência jurídica mútua (MLAT).
O que é realmente a Cloudflare
A Cloudflare é uma rede de entrega de conteúdos (CDN), fornecedor de DNS, proxy inverso e serviço de proteção contra DDoS. Para a grande maioria dos sites que a utilizam, a Cloudflare coloca-se à frente de um website que está alojado noutro local. O tráfego dos visitantes atinge primeiro a periferia (edge) da Cloudflare, e a Cloudflare encaminha-o para o servidor real do cliente, conhecido como origem. Devido a este modelo de passagem, a Cloudflare não é, geralmente, o alojamento do conteúdo do website e não armazena esse conteúdo no sentido tradicional.
Existe uma exceção importante. Quando um cliente utiliza os produtos de plataforma da própria Cloudflare para servir conteúdo na periferia, tais como Pages, Workers, Workers KV, Stream, Images ou armazenamento R2, a Cloudflare pode ser ela própria o alojamento de origem para esse conteúdo específico. Para esses produtos, os pedidos relacionados com o conteúdo podem ser dirigidos à Cloudflare. Para websites comuns com proxy, não podem.
O que a Cloudflare detém, e o que não detém
A Cloudflare mantém informações limitadas sobre a conta do cliente. De acordo com as suas diretrizes para as autoridades, isso inclui normalmente o nome do cliente, endereço de e-mail, endereço físico, número de telefone e os meios ou fonte de pagamento, juntamente com detalhes da atividade da conta, tais como horas de início de sessão e endereços IP associados.
O que a Cloudflare geralmente não possui para sites com proxy é o conteúdo do website, e não recolhe nem retém rotineiramente dados sobre os utilizadores finais que visitam os sites dos clientes. Declara que raramente possui dados que respondam a ordens que solicitem registos de IP de visitantes ou datas de acesso, porque qualquer informação desse tipo é retida apenas por um período de tempo limitado. Planeie em conformidade: não assuma que a Cloudflare consegue reconstruir quem visitou um site.
| O que pretende | Quem o detém realmente | Como obtê-lo |
|---|---|---|
| O conteúdo ou ficheiros do website (site com proxy) | O fornecedor de alojamento de origem, não a Cloudflare | Identifique o alojamento através da Cloudflare e, em seguida, envie o processo legal ao alojamento |
| Detalhes da conta, faturação e contacto do cliente | Cloudflare | Intimação (subpoena) para dados básicos do subscritor para a Cloudflare |
| Identidade do alojamento de origem por detrás de um domínio com proxy | Cloudflare | Processo legal para a Cloudflare, ou em casos urgentes um pedido de emergência |
| Conteúdo servido por Pages, Workers, Stream, Images ou R2 | Cloudflare (é a origem aqui) | Ordem judicial ou mandado para a Cloudflare |
| Registos de IP de visitantes e horas de acesso | Muitas vezes ninguém retém estes dados a longo prazo; verifique com o alojamento de origem | Ordem judicial, mas espere dados limitados ou nenhuns |
Porque é que o proxy oculta a origem e porque é que os investigadores recorrem à Cloudflare
Quando um domínio utiliza proxy, as pesquisas públicas como WHOIS e DNS resolvem para os endereços IP da Cloudflare em vez do servidor real do cliente. Isto é intencional e protege a origem de ataques diretos. O efeito secundário para os investigadores é que a localização real do alojamento fica mascarada. Essa é a razão principal pela qual as autoridades contactam a Cloudflare: não para obter o conteúdo do site, mas para contornar o proxy e descobrir qual o fornecedor de alojamento que está por detrás dele, para que o conteúdo e os registos do servidor possam ser perseguidos no alojamento real.
Relatório de abuso versus processo legal formal
Estes são dois canais separados e produzem resultados muito diferentes.
- Relatório de abuso. A Cloudflare opera um formulário de relatório de abuso na sua página de abuso (a secção de relatório de abuso do Trust Hub liga ao formulário atual). Para sites com proxy, a Cloudflare encaminha normalmente a queixa para o operador do website e para o fornecedor de alojamento responsável, e fornece ao denunciante as informações de contacto do fornecedor de alojamento. Esta é uma forma rápida de identificar o alojamento e de apresentar uma queixa à parte que pode realmente agir sobre o conteúdo. Não substitui o processo legal e não lhe fornecerá registos de subscritores.
- Processo legal formal. Para obrigar à entrega de registos de clientes, deve apresentar um processo legal válido. As diretrizes da Cloudflare indicam que os dados básicos do subscritor requerem geralmente uma intimação (subpoena), enquanto informações mais sensíveis ou adicionais requerem geralmente um mandado emitido pelo tribunal ou outra ordem judicial. Os agentes devem contactar o canal de autoridades da Cloudflare ([email protected]) e devem fornecer detalhes de identificação, tais como número de identificação e de processo, posto, agência e unidade.
O fluxo de trabalho prático
- Confirme se o site está realmente por detrás da Cloudflare (WHOIS ou DNS a resolver para gamas da Cloudflare, cabeçalhos de resposta).
- Decida o que precisa. Se pretende conteúdo ou registos do lado do servidor, o seu alvo real é o alojamento de origem, não a Cloudflare.
- Utilize a Cloudflare para identificar a origem. Submeta um relatório de abuso para obter os detalhes de contacto do fornecedor de alojamento, ou envie um processo legal para obrigar à entrega das informações da conta e da origem do cliente.
- Envie o processo ao alojamento de origem. Assim que souber qual é o fornecedor de alojamento, direcione a sua intimação, ordem judicial ou mandado para conteúdo e registos para esse alojamento.
- Em paralelo, envie o processo à Cloudflare para os registos que esta detém, nomeadamente a conta do cliente, faturação e informações de contacto.
- Envie um pedido de preservação antecipadamente às partes relevantes para que os dados não sejam perdidos enquanto o processo legal é preparado.
Preservação, divulgação de emergência e notificação ao cliente
Preservação versus produção. Um pedido de preservação solicita a um fornecedor que retenha registos existentes para que não sejam eliminados; por si só, não divulga nada. A produção requer o processo legal apropriado. Dada a curta retenção de dados transitórios pela Cloudflare, envie os pedidos de preservação prontamente.
Divulgação de emergência. Quando um pedido envolve um perigo iminente de morte ou lesão física grave a uma pessoa, a Cloudflare pode divulgar informações sem demora, avaliadas caso a caso ao abrigo da lei dos EUA. Utilize o canal de autoridades e documente claramente a emergência.
Agências não americanas e MLAT
A Cloudflare é uma empresa sediada nos EUA. Espera que governos não americanos sigam os mesmos requisitos de devido processo legal e, geralmente, prefere que os pedidos sejam feitos através de um tribunal dos EUA por meio de um processo diplomático, como um pedido de tratado de assistência jurídica mútua. Investigadores não americanos devem considerar este encaminhamento, e o tempo que ele leva, nos seus planos, enquanto utilizam o canal de abuso para identificar o anfitrião nesse meio tempo. A Cloudflare publica um relatório de transparência de forma recorrente e mantém diretrizes públicas para as autoridades; reveja as versões atuais antes de submeter.
Perguntas frequentes
A Cloudflare pode dar-me o conteúdo do site? Para sites comuns com proxy, não. A Cloudflare não aloja esse conteúdo; ela faz o proxy do mesmo. Obtém o conteúdo do fornecedor de alojamento de origem. A exceção é o conteúdo servido através dos próprios produtos de edge da Cloudflare, como Pages, Workers, Stream, Images e R2, onde a Cloudflare pode ser o anfitrião.
Como encontro o anfitrião real por trás de um site da Cloudflare? Pergunte à Cloudflare. Um relatório de abuso normalmente fornece as informações de contacto do fornecedor de alojamento, e um processo legal formal pode obrigar à revelação da conta do cliente e dos detalhes de origem. Depois, notifique esse anfitrião diretamente.
Que processo legal preciso e o cliente será informado? Dados básicos do subscritor geralmente precisam de uma intimação (subpoena); registos mais sensíveis geralmente precisam de uma ordem judicial ou mandado. A Cloudflare geralmente notifica o cliente, a menos que seja legalmente proibido, por isso procure uma ordem de não divulgação se o sigilo for importante.
Estou fora dos Estados Unidos. O que faço? Utilize o canal de abuso para identificar o anfitrião rapidamente, mas encaminhe os pedidos formais de divulgação obrigatória através do processo legal dos EUA apropriado, geralmente via um pedido de MLAT.
Guias relacionados
- Provas na nuvem: obter dados da AWS, Azure e Google Cloud
- Atribuição de IP e domínio: transformar um endereço num suspeito
- Obter provas de plataformas de redes sociais: registos, preservação e processo legal
Para o diretório completo de portais de pedidos de autoridades para plataformas, consulte o nosso centro de portais LERS.
Imagem de destaque: Um cabo de rede de fibra ótica. · Crédito: Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · fonte