Guia de solicitações de dados policiais e governamentais DigitalOcean
Como autoridades obtêm dados de utilizadores, conteúdos e logs da DigitalOcean, incluindo denúncias, preservação, intimações, ordens judiciais e portal.
Este guia oferece orientações gerais e práticas para agentes da autoridade, procuradores e investigadores de cibercrime que necessitem de dados da DigitalOcean, um fornecedor de alojamento na nuvem sediado nos EUA. Não constitui aconselhamento jurídico. Todos os pedidos aqui descritos pressupõem que está a agir ao abrigo da autoridade legal adequada na sua jurisdição e que seguirá as leis e procedimentos que regem a divulgação compulsiva onde opera. A DigitalOcean publica as suas próprias Law Enforcement Guidelines e opera uma Trust Platform; este artigo resume esse material público e explica como colocá-lo em prática, mas os termos publicados atuais do fornecedor prevalecem sempre.
- Ao contrário de um proxy reverso ou CDN, a DigitalOcean é frequentemente o anfitrião real, pelo que pode deter conteúdo de servidor real, snapshots de droplets e dados de armazenamento, não apenas metadados.
- O processo legal formal é submetido através do Law Enforcement Request Portal da DigitalOcean no Kodex; as queixas de abuso seguem separadamente para [email protected].
- A divulgação é escalonada ao abrigo da lei dos EUA: uma intimação (subpoena) fornece dados de subscritor e faturação, uma ordem judicial ao abrigo da ECPA fornece registos (logs), e é necessário um mandado de busca para conteúdo.
- A DigitalOcean oferece preservação por até 90 dias, renovável uma vez, e notifica o cliente (tipicamente com uma janela de objeção de 7 dias), a menos que legalmente impedida.
- Como está sediada nos EUA, as autoridades estrangeiras necessitam geralmente de um MLAT, de uma ordem judicial dos EUA ou de uma ordem transfronteiriça elegível para obrigar à entrega de conteúdo.
O que a DigitalOcean detém
A DigitalOcean vende infraestrutura como serviço: Droplets (máquinas virtuais), Spaces (armazenamento de objetos), App Platform, bases de dados geridas e snapshots. Como gere efetivamente os servidores subjacentes, os dados que pode deter vão muito além do que um proxy de front-end pode oferecer. As categorias realistas são:
- Dados de conta e registo: o nome próprio e apelido do cliente, endereço de e-mail, número de telefone, endereço físico e o endereço IP com data/hora a partir do qual a conta ou recurso foi criado.
- Dados de faturação e pagamento: registos de transações ligados a processadores como PayPal ou Stripe, que podem ser uma ligação forte a uma identidade real.
- Conteúdo de servidor e snapshots: o conteúdo do Droplet de um cliente, armazenamento de objetos e cópias de segurança ou snapshots. Estes são dados de conteúdo e possuem o limiar legal mais elevado.
- Registos de acesso e autenticação: registos de segurança e acesso que podem revelar a atividade e movimentos de um utilizador durante um período de tempo, além de definições de conta ou recurso.
- Atribuições de IP: que cliente tinha atribuído um determinado endereço IP numa data, hora e fuso horário específicos.
Relatórios de abuso vs. processo legal
Existem dois canais distintos, e escolher o correto é importante.
- Relatórios de abuso seguem para [email protected] (ou para o formulário web em digitalocean.com/company/contact). Utilize isto para denunciar phishing, comando e controlo de malware, sites de fraude, nós de botnet ou outras violações da Política de Utilização Aceitável alojadas na DigitalOcean. Inclua o endereço IP, URLs, carimbos de data/hora com fuso horário e registos de suporte. Esta via pode levar à remoção de um site malicioso ou Droplet, mas não lhe fornecerá dados de subscritor.
- Processo legal é a forma como obtém registos de clientes, logs ou conteúdo. Deve ser submetido através do Law Enforcement Request Portal da DigitalOcean, alojado no Kodex, onde cria uma conta verificada de autoridade policial.
Muitas operações abusivas residem em máquinas virtuais na nuvem baratas precisamente porque são rápidas de criar e descartar, o que torna a DigitalOcean um alvo comum tanto para remoções como para dados. Apresentar um relatório de abuso e servir um processo legal não são mutuamente exclusivos; os investigadores fazem frequentemente ambos.
Processo legal e limiares
A DigitalOcean é regida pela Lei de Privacidade das Comunicações Eletrónicas dos EUA (ECPA / Stored Communications Act), que estabelece uma estrutura escalonada: quanto mais sensíveis forem os dados, mais elevado é o padrão legal. Exceto em emergências, a DigitalOcean divulga informações protegidas apenas mediante um processo válido.
| Tipo de dados / pedido | O que fornece | Limiar legal típico |
|---|---|---|
| Pedido de preservação | Congela dados de conta e/ou conteúdo existentes offline para que não se percam; sem divulgação | Pedido oficial das autoridades (não é necessária ordem judicial para preservar) |
| Intimação (Subpoena) | Dados básicos de subscritor e registo: nome, e-mail, telefone, endereço, IP de criação com carimbo de data/hora, informações de pagamento/transação | Intimação válida |
| Ordem judicial ECPA | Registos de acesso e segurança, definições de conta/recurso, atividade ao longo do tempo (registos que não são conteúdo) | Ordem judicial 18 U.S.C. 2703(d) |
| Mandado de busca | Conteúdo: conteúdos de Droplet/VM, armazenamento de objetos, snapshots, comunicações de apoio ao cliente | Mandado de busca com causa provável |
| Divulgação de emergência | Informações necessárias para evitar morte iminente ou danos físicos graves | Pedido de emergência via portal LE |
Preservação vs. produção
Um pedido de preservação solicita à DigitalOcean que copie e armazene de forma segura dados de subscritor e/ou conteúdo na expetativa de um futuro processo legal. Não é um pedido para produzir nada. Mediante um pedido de preservação válido, a DigitalOcean preserva as informações de conta disponíveis num ficheiro offline por até 90 dias, e irá prolongá-lo por um período adicional de 90 dias mediante um pedido renovado. Utilize a preservação como o seu primeiro passo no momento em que identificar um IP ou conta relevante, e depois construa e sirva a intimação, ordem ou mandado apropriado para obter efetivamente os dados.
Divulgação de emergência
Quando existe uma ameaça iminente de morte ou dano físico grave a uma vítima identificável, a DigitalOcean pode divulgar informações do utilizador sem uma intimação ou mandado. Estes pedidos de emergência são feitos através do Law Enforcement Request Portal e devem explicar claramente a natureza da emergência, o dano específico, por que razão os dados são necessários sem demora e as informações restritas procuradas. A divulgação de emergência destina-se a exigências genuínas, não a um atalho para contornar o processo de rotina.
Autoridades estrangeiras e MLAT
A DigitalOcean é uma empresa dos EUA, pelo que a lei dos EUA se aplica à divulgação compulsiva. As autoridades fora dos Estados Unidos geralmente não podem obrigar diretamente à entrega de conteúdo. As vias reconhecidas são uma ordem judicial dos EUA, um pedido feito através de um tratado de assistência jurídica mútua (MLAT) aplicável, ou uma ordem de um governo estrangeiro que se qualifique ao abrigo de um quadro transfronteiriço, como a 18 U.S.C. 2523 (por exemplo, um acordo executivo ao abrigo do CLOUD Act). O MLAT pode ser lento, pelo que os investigadores estrangeiros devem enviar um pedido de preservação precocemente para manter os dados ativos enquanto o canal formal decorre. Alguns pedidos de dados básicos de subscritor que não sejam conteúdo podem ser tratados mais rapidamente, mas o conteúdo requer quase sempre a via formal reconhecida pelos EUA.
O fluxo de trabalho prático
- Atribua o alvo. Estabeleça o endereço IP do Droplet, site ou endpoint de armazenamento abusivo e confirme via WHOIS / RDAP que o IP se encontra dentro da gama da DigitalOcean. Registe a data, hora e fuso horário da atividade.
- Preserve imediatamente. Submeta um pedido de preservação através do Kodex Law Enforcement Request Portal para que o conteúdo do servidor, snapshots e registos não sejam destruídos antes de o seu processo chegar.
- Apresente um relatório de abuso se for necessária a remoção. Para danos em tempo real, envie o IP, URLs, carimbos de data/hora e registos para [email protected] em paralelo.
- Corresponda o instrumento legal aos dados. Intimação para dados de subscritor/faturação, ordem 2703(d) para registos, mandado de busca para conteúdo. Mantenha cada pedido restrito e vinculado ao IP preservado e ao intervalo de datas.
- Notifique através do portal. Submeta através da sua conta Kodex verificada, o canal que a DigitalOcean utiliza para receber e responder a processos legais.
- Planeie a notificação ao cliente. Assuma que o cliente será informado, a menos que obtenha uma ordem de não divulgação; integre isso no seu cronograma (ver FAQ).
- Corrobore. Trate os dados de conta e pagamento devolvidos como uma pista e confirme a identidade de forma independente antes de agir com base neles.
Perguntas frequentes
A DigitalOcean informará o cliente sobre o meu pedido? Sim, por predefinição. A DigitalOcean notifica os proprietários das contas afetadas enviando um e-mail para o endereço verificado e fornece uma cópia do processo legal e, na maioria dos casos, é concedido ao utilizador um prazo de 7 dias de calendário para apresentar uma objeção junto do tribunal. Para impedir a notificação, necessita de uma ordem de não divulgação ou de selagem emitida pelo tribunal, apresentada juntamente com o seu pedido.
A DigitalOcean pode realmente fornecer-me o conteúdo de um servidor? Sim, quando o detém. Como a DigitalOcean aloja as VMs e o armazenamento reais, um mandado de busca válido pode obrigar à entrega do conteúdo do Droplet, snapshots e armazenamento de objetos de um cliente. Esta é uma diferença fundamental em relação a um proxy ou CDN, que normalmente detém apenas metadados e registos.
E se o cliente utilizou outro fornecedor por trás da DigitalOcean, ou vice-versa? Siga a infraestrutura. Se um site utiliza uma CDN à frente de um Droplet da DigitalOcean, poderá necessitar que a CDN revele o IP de origem e, em seguida, notificar a DigitalOcean para obter os dados do anfitrião. Inversamente, a atribuição pode estender-se a um processador de pagamentos ou a um serviço operado separadamente.
Durante quanto tempo a DigitalOcean mantém os registos? A DigitalOcean não publica um período de retenção universal fixo para todos os dados, e os registos podem ser substituídos. Não assuma que os dados ainda existirão; envie um pedido de preservação assim que tiver um IP e um intervalo de datas.
Guias relacionados
- Prova na nuvem: obter dados da AWS, Azure e Google Cloud
- Pedido de dados de aplicação da lei à Cloudflare: guia para a polícia e governo
- Atribuição de IP e domínio: transformar um endereço num suspeito
Para o diretório completo de portais de pedidos de aplicação da lei das plataformas, consulte o nosso centro de portais LERS.
Imagem de destaque: Cablagem de servidor num centro de dados. · Crédito: Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · fonte